Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

2 Erläuterungen zu den einzelnen Bestimmungen

1. Abschnitt: Gegenstand

Art. 1

Diese Bestimmung stützt sich auf die gesetzlichen Grundlagen im «5. Kapitel: Massnahmen des Bundes zum Schutz der Schweiz vor Cyberbedrohungen» des Informationssicherheitsgesetzes (Art. 73a ff. ISG) und orientiert sich auch an Art. 15a Abs. 1 und Abs. 2 Bst. a–g OV-VBS.

Artikel 1 umschreibt den Regelungsgegenstand der Verordnung und gibt mit den Bst. a–d die Struktur der Verordnung wieder, welche auch jeweils den Überschriften der jeweiligen Abschnitte entspricht:

Bst. a: Nationale Cyberstrategie und deren Steuerungsausschuss

Die Verordnung legt in den Artikeln 2–5 fest, dass der Bund in Abstimmung mit den Kantonen eine Nationale Cyberstrategie (NCS) definiert und einen Steuerungsausschuss (StA NCS) für deren Umsetzung einsetzt, wie dieser sich zusammensetzt, organisiert ist und welche Aufgaben diesem zukommen.

Bst. b: Aufgaben des BACS

Diese Verordnung regelt ergänzend in den Artikeln 6–10 die Aufgaben des BACS gemäss Art. 73a Abs. 2 ISG. Bis Ende 2023 waren die Aufgaben des NCSC, der Vorgängerorganisation des BACS, in der aufgehobenen CyRV geregelt. Mit der Ergänzungsrevision des ISG wurden diese Aufgaben in ein hierarchisch übergeordnetes formelles Gesetz übernommen.

Bst. c: Informationsaustausch des BACS mit Behörden und Organisatio-

nen zum Schutz vor Cybervorfällen und Cyberbedrohungen

Diese Verordnung regelt in den Artikeln 11–15 den Informationsaustausch zwischen dem BACS und den Behörden und Organisationen zum Schutz vor Cybervorfällen und Cyberbedrohungen über aktuelle Vorfälle, Bedrohungen und Angriffe im Bereich der Cybersicherheit. Es werden hierbei die Vorgaben, die Zuständigkeiten und Verantwortlichkeiten sowohl für das Kommunikationssystem für den sicheren Informationsaustausch als auch für das Informationssystem für den automatischen Austausch festgelegt, um sicherzustellen, dass relevante Informationen schnell und effektiv an die richtigen Stellen weitergeleitet werden können.

Bst. d: Meldepflicht für Cyberangriffe

In der Vernehmlassung zur Ergänzungsrevision des ISG wurde wiederholt gefordert, dass die Bestimmungen zur Meldepflicht bei Cyberangriffen auf kritische Infrastrukturen auf Verordnungsstufe konkretisiert werden sollen. Diesem Anliegen, das bereits in