Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

1 Kontext

Der Bundesrat erteilte dem Eidgenössischen Finanzdepartement (EFD) am 11. Dezember 2020 den Auftrag, die Rechtsgrundlagen für die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen zu erstellen. Sodann verabschiedete der Bundesrat am 2. Dezember 2022 den Entwurf über diese Rechtsgrundlagen und die Botschaft zur Änderung des Bundesgesetzes über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG) vom 18. Dezember 2020¹ zuhanden des Parlaments. In der Folge hiess das Parlament die Änderungen des ISG am 29. September 2023 gut²; die Referendumsfrist verstrich am 18. Januar 2024 unbenutzt.

Der vorliegende Verordnungsentwurf enthält einerseits die Ausführungsbestimmungen zum 5. Kapitel des revidierten ISG über die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Andererseits werden auch organisationale Aspekte im Zusammenhang mit der Cybersicherheit geregelt. Die Verordnung soll zusammen mit dem revidierten 5. Kapitel des ISG auf den 1. Januar 2025 in Kraft treten.

Das Informationssicherheitsgesetz ist – ohne das oben erwähnte revidierte 5. Kapitel über die Aufgaben des neu geschaffenen Bundesamtes für Cybersicherheit (BACS) und die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen – bereits am 1. Januar 2024 in Kraft getreten. Auf diesen Zeitpunkt wurde zudem die Verordnung über den Schutz vor Cyberrisiken in der Bundesverwaltung (Cyberrisikenverordnung,

CyRV) vom 27. Mai 2020³ ausser Kraft gesetzt.⁴ Die darin enthaltenen Bestimmungen wurden teilweise in das revidierte ISG überführt (insbesondere Begriffsdefinitionen). Jene Bestimmungen, welche in der CyRV die Informatiksicherheit des Bundes regelten, wurden in die Verordnung über die Informationssicherheit in der Bundesverwaltung (Informationssicherheitsverordnung, ISV)⁵ übernommen. Die in der CyRV definierten Aufgaben des Nationalen Zentrums für Cybersicherheit (NCSC) – insbesondere dessen Aufgaben gegenüber der Wirtschaft und der Bevölkerung – werden nicht in der ISV geregelt, da sie mit der Revision des ISG eine neue gesetzliche Grundlage erhalten hat. Zudem wurde am 1. Januar 2024 das NCSC in das BACS im Eidgenössischen Department für Verteidigung, Bevölkerungsschutz und Sport (VBS) überführt. Aus diesem Grund finden sich daher organisationale Bestimmungen zum BACS in Art. 15a Abs. 1 und Abs. 2 Bst. a–g OV-VBS⁶.

Die Aufgaben des BACS werden in der vorliegenden Verordnung – zusammen mit der Meldepflicht für Cyberangriffe auf kritische Infrastrukturen – präzisiert und konkreter umschrieben. Die künftige Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV) regelt somit in Ergänzung zur ISV die Aufgaben des BACS und die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Sie regelt daher schwergewichtig das Verhältnis zwischen dem BACS und Adressaten ausserhalb der Bundesverwaltung, während die ISV die Aufgaben und Zuständigkeiten für die Informationssicherheit innerhalb der Bundesverwaltung definiert.