Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Schadsoftware, Missbrauch / unsachgemässe Benutzung von Technologieinfrastruktur usw.) zur Auswahl vorgegeben. Zusätzlich bietet das Meldeformular die Möglichkeit, den Cyberangriff in einem Freitextfeld zu beschreiben.

− Angriffsmethode (Bst. d): Zu den häufigsten Angriffsmethoden, in der Fachsprache Angriffsvektoren genannt, gehören beispielsweise Phishing-Angriffe, Ausnutzung von Schwachstellen, Überlastungsangriffe auf Server, Identitätsdiebstahl, etc. Im Meldeformular werden die häufigsten Angriffsmethoden/-vektoren angegeben, wobei Mehrfachnennungen möglich sind und auch nicht aufgezählte Methoden bzw. Vektoren genannt werden können.

− Angaben zum Verursacher (Bst. e): Die Identifizierung der Verursacher eines Cyberangriffs kann eine komplexe und herausfordernde Aufgabe sein, da Angreifer oft versuchen, ihre Spuren zu verschleiern und anonym zu bleiben.

Dennoch gibt es verschiedene Arten von Informationen, die zur Identifizierung der Verursacher eines Cyberangriffs beitragen können, wie beispielsweise IP-Adressen, DNS-Records, URL von verdächtigen Seiten, hash-Werte von Malware, Virensignaturen, Anomalien im Netzwerkverkehr oder verdächtiges Verhalten von Software. Sind solche Informationen vorhanden, sind diese der Meldung anzufügen.

Absatz 2: Angaben, ob eine Erpressung, Drohung oder Nötigung im Zusammen-

hang mit dem Cyberangriff erfolgt ist und ob Strafanzeige erstattet wurde

Die Offenlegung von Erpressungsversuchen oder Drohungen im Zusammenhang mit einem Cyberangriff kann dazu beitragen, andere potenzielle Opfer zu warnen und Massnahmen zur Prävention ähnlicher Vorfälle zu ergreifen. Da eine Erpressung,

Drohung oder Nötigung im Zusammenhang mit einem Cyberangriff strafrechtliche Konsequenzen haben kann, kommt es vor, dass meldepflichtige Behörden und Organisationen Strafanzeige erstatten. Die Angabe, ob eine Strafanzeige erstattet wurde, hilft dem BACS dabei, angemessen auf den Vorfall zu reagieren.

Absatz 3: Informationen zu den Auswirkungen des Cyberangriffs

Die gemäss Absatz 3 Buchstaben a–c zu machenden Angaben helfen dem BACS bei einer Erstbeurteilung der Auswirkungen des Cyberangriffs und in welcher Hinsicht Informatikmittel bzw. Daten durch den Cyberangriff beeinträchtigt sind.

− Nennung der betroffenen Einheiten der Organisation oder Behörde (Bst. a): Die Nennung der vom Cyberangriff betroffenen Einheit hilft dem BACS insbesondere bei Grossunternehmen, Konglomeraten und Konzernen mit zahlreichen Tätigkeitsbereichen bei der Beurteilung, ob die Informatikmittel bzw. Daten der kritischen Infrastruktur betroffen sind.

− Schweregrad der Beeinträchtigung der Verfügbarkeit, Integrität und Vertraulichkeit der eigenen Informationen und der Informationen von Dritten (Bst. b): Die meldepflichtige Behörde und Organisation hat abzuschätzen, welche Schutzziele (Verfügbarkeit, Integrität und Vertraulichkeit) durch den Cyberangriff auf die Informatikmittel wie stark betroffen sind. Je nach Einschätzung der Auswirkungen des Cyberangriffs wird die Beeinträchtigung der Schutzziele entsprechend einem Schweregrad mit den Prädikaten «gering, mittel, hoch