Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

oder schwerwiegend» analog dem Meldeformular der FINMA zugeordnet.³⁶ Gestützt auf diese Erstbeurteilung der Auswirkungen und die Zuordnung der Schweregrade kann unter Umständen eruiert werden, ob sich bei den Auswirkungen ein Trend abzeichnet. Diese Information ist insbesondere dann wertvoll, wenn es Anzeichen für eine Verschlimmerung gibt. Des Weiteren hilft diese Einteilung auch bei der Entscheidfindung im Falle einer beantragten Hilfeleistung des BACS für die konkrete Vorgehensweise bei der Vorfallbewältigung.

− Wirkung des Cyberangriffs auf die Funktionsfähigkeit der betroffenen Einheiten der Organisation oder Behörde (Bst. c): Die Angaben zur Wirkung des Cyberangriffs auf die Funktionsfähigkeit der Organisation oder Behörde müssen darüber informieren, wie beispielsweise der Zugang zu Systemen und Daten, die Verfügbarkeit von Diensten für Kunden oder Bürgerinnen, interne Abläufe sowie Prozesse, die Verfügbarkeit von Strom- und Wasserversorgungssystemen, Gesundheitsdiensten oder andere kritische Infrastrukturen betroffen sind. Die meldepflichtige Organisation oder Behörde kann sich auch zu Angaben über den Zeitrahmen und Dauer der Auswirkungen des Cyberangriffs äussern und kundtun, wie lange die Auswirkungen des Cyberangriffs voraussichtlich anhalten werden.

Absatz 4: Informationen zur meldepflichtigen Behörde oder Organisation

Sofern die meldepflichtige Behörde oder Organisation nicht bereits für die Teilnahme am Informationsaustausch registriert und zum Zeitpunkt der Meldungserstattung keine Registrierung möglich ist (z. B. infolge Ausfalls der Informatikmittel) oder seitens der meldepflichtigen Behörde oder Organisation nicht gemacht werden will,

muss die Meldung des Cyberangriffs gemäss Absatz 4 zusätzlich folgende Informationen zur meldepflichtigen Behörde oder Organisation enthalten:

− Firma, Name oder Bezeichnung und Adresse der meldepflichtigen Behörde oder Organisation (Bst. a): Zur ordentlichen Identifikation der meldepflichtigen Behörden und Organisationen müssen diese ihre Firma, ihren Namen oder ihre Bezeichnung sowie ihre Adresse mit folgenden Angaben: Strasse, Hausnummer, Postleitzahl und Ortsnamen angeben.

− Kontaktangaben der meldenden Person (Bst. b): Die Meldung hat mindestens einen Vornamen sowie den Familiennamen der gemeldeten Person zu enthalten. Des Weiteren sind die Telefonnummer sowie die E-Mail-Adresse der meldenden Person anzugeben, da diese die Kontaktperson für das BACS ist. Organisationen oder Behörden können mehrere Kontaktpersonen anmelden.

Art. 20 Übermittlung der Meldung

Diese Bestimmung stützt sich auf Art. 74f ISG.