Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Das BACS bestätigt gemäss Artikel 20 den Eingang der Meldung gegenüber der meldepflichtigen Behörde und Organisation umgehend, falls diese nicht über das Kommunikationssystem des BACS erfolgt. Erfolgt die Meldung beispielsweise mittels E-Mail, informiert das BACS allfällige gemäss Artikel 13 Absatz 2 Buchstabe b dieser Verordnung vorgängig registrierte Kontaktpersonen der meldepflichtigen Behörden und Organisationen. Mit dieser Rückmeldung soll sichergestellt werden, dass die meldepflichtige Behörde oder Organisation dem BACS mitteilen können, dass es sich um eine Falschmeldung handelt (z. B. «Scherzmeldung» durch Drittpersonen).

Art. 21 Frist zur Erfassung der Meldung

Diese Bestimmung stützt sich auf Art. 74e Abs. 1 und 3 ISG.

Allgemeines:

Die meldepflichtigen Behörden und Organisationen müssen Cyberangriffe unverzüglich nach Bekanntwerden melden, denn es gilt der Grundsatz: «Schnelligkeit vor Vollständigkeit», da das BACS auf eine unverzügliche Meldung von meldepflichtigen Cyberangriffen angewiesen ist, um jeweils seinem gesetzlichen Auftrag der Frühwarnung gerecht zu werden.

Absatz 1: Ergänzung oder Änderung der Meldung

Da es insbesondere für die Frühwarnung und die Prävention entscheidend ist, dass Cyberangriffe unmittelbar nach ihrer Entdeckung von den meldepflichtigen Behörden und Organisationen gemeldet werden, schreibt Art. 74e Abs. 1 ISG eine Meldefrist von 24 Stunden vor. Der Fristenlauf beginnt nach der Entdeckung des Cyberangriffs. Innerhalb der Frist müssen die bis zu diesem Zeitpunkt bekannten Informationen gemeldet werden. Bei Cyberangriffen ist sehr oft während längerer Zeit unklar, wie gravierend der Angriff ist und was genau passiert ist. Falls die vom BACS gemäss Art. 19 dieser Verordnung verlangten Angaben zum Zeitpunkt der Meldung nur unvollständig vorliegen, können die Betroffenen die Meldung mit den fehlenden Angaben aufgrund neuer Erkenntnisse sowie ausreichendem Kenntnisstand ergänzen oder bestätigen, dass diese Informationen nicht vorhanden sind. Diese Nachmeldung muss dem BACS innerhalb einer Frist von 14 Tagen ab dem Zeitpunkt der Meldung des Cyberangriffs übermittelt werden. Beide Fristen sind nicht verlängerbar, da es sich um gesetzliche Fristen handelt (vgl. Art. 22 Abs. 1 VwVG).

Absatz 2: Aufforderung des BACS

Wenn die meldepflichtige Behörde oder Organisation nicht fristgerecht innerhalb der vorgeschriebenen 14 Tage die verlangten Informationen über den Cyberangriff meldet, so hat das BACS eine Aufforderung an die meldepflichtige Behörde oder Organisation zu erlassen. In dieser Aufforderung verlangt das BACS von der meldepflichtigen Behörde oder Organisation, die Meldung umgehend zu ergänzen oder zu bestätigen, dass diese Informationen nicht vorhanden sind.