Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

der FINMA betreffend die «Meldepflicht von Cyber-Attacken» orientiert.³³ Da das BACS im Gegensatz zur FINMA keine Aufsichtsfunktion hat, wurden gewisse Angaben nicht übernommen, da sie für die Zwecke der Meldepflicht an das BACS nicht massgeblich sind. So sind zum Beispiel bei der Meldung an das BACS weder Angaben zu den kritischen Funktionen oder den Kommunikationsmassnahmen zu machen, da diese Informationen keinen Mehrwert für die Einschätzung des Cyberangriffs bzw. der Warnung allfälliger weiterer Betroffener bieten würden. Im Übrigen wurden für die Analyse von Cyberangriffen auch wichtige Hinweise aus dem Formular für IT-Sicherheitsvorfälle des deutschen Bundesamtes für Sicherheit in der Informationstechnik (BSI) übernommen.³⁴ Das Meldeformular für Datensicherheitsverletzungen,³⁵ deren Meldungen an den EDÖB erfolgen, wurde für die Meldepflicht bei Cyberangriffen ebenfalls als Orientierungshilfe verwendet.

Art. 74e Abs. 2 ISG nennt den Inhalt der Meldung, d.h. die wesentlichen Informationen, die zur Erfüllung der Meldepflicht notwendig sind. Der konkrete Umfang und Inhalt der zu meldenden Informationen wird in der vorliegenden Ausführungsbestimmung präzisiert und vom BACS in einem Formular auf seinem Kommunikationssystem übernommen. In diesem Formular wird zudem detailliert umschreiben, was unter den jeweils zu meldenden Informationen zu verstehen ist.

Im Übrigen wird an dieser Stelle nochmals darauf hingewiesen, dass zur Erfüllung der Meldepflicht gegenüber dem BACS keine Angaben gemacht werden müssen, die allfällige Berufs- oder Geschäftsgeheimnisse betreffen und diese verletzen oder einer strafrechtlichen Selbstbelastung gleichkommen (vgl. Art. 74e Abs. 4 ISG).

Absatz 1: Informationen zur Art und Ausführung des Cyberangriffs

Die Meldung gemäss Absatz 1 umfasst folgende Informationen über die Art und Ausführung des Cyberangriffs:

− Datum und Uhrzeit der Feststellung des Angriffs (Bst. a): In der Meldung ist der Zeitpunkt der Entdeckung des Cyberangriffs mit Angabe des Datums sowie Uhrzeit aufzuführen.

− Datum und Uhrzeit des Angriffs (Bst. b): In der Meldung sind auch das Datum und die Uhrzeit des Angriffs anzugeben. Falls dieser nicht bekannt ist, kann auch der vermutete Zeitpunkt des Cyberangriffs angegeben werden.

− Art des Angriffs (Bst. c): Zur Art und Ausführung des Cyberangriffs werden im Meldeformular die wichtigsten Angriffsarten (z.B. DDoS, Unautorisierter Zugriff,