Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

der Botschaft zur Änderung des Informationssicherheitsgesetzes⁷ mehrfach erwähnt wurde, soll mit den Artikeln 16–21 in der vorliegenden Verordnung Rechnung getragen werden. So werden insbesondere die Details der Meldepflicht geregelt, d.h. welche Behörden und Organisationen von der Meldepflicht ausgenommen sind, welche Cyberangriffe gemeldet werden müssen, was der Inhalt und der Umfang der Meldungen und der Ablauf des Meldeprozesses ist.

Erwähnenswert mit Blick auf die in diesem Artikel enthaltene abschliessende Aufzählung des Regelungsgegenstandes ist, dass sämtliche Vorgaben zur Cybersicherheit der Bundesverwaltung, die Zuständigkeiten und Aufgaben der Fachstelle des Bundes für Informationssicherheit und die sich daraus ergebenden Schnittstellen zu den Aufgaben des BACS in der ISV geregelt werden.

Ebenfalls nicht von der Cybersicherheitsverordnung werden die Massnahmen der Cyberverteidigung geregelt. Letztere betreffen die militärischen und nachrichtendienstlichen Massnahmen und umfassen insbesondere die in Art. 37 des Nachrichtendienstgesetzes⁸ vorgesehenen aktiven Massnahmen zur Störung und Verlangsamung von Cyberangriffen. Sie betreffen auch die Massnahmen der Armee zur Gewährleistung ihrer Einsatzbereitschaft in allen Lagen und zur Bereitstellung von Fähigkeiten zur subsidiären Unterstützung der zivilen Behörden. Diese Massnahmen sind im Nachrichtendienstgesetz⁹ und im Militärgesetz¹⁰ sowie in den dazugehörigen Verordnungen geregelt.

2. Abschnitt: Nationale Cyberstrategie und Steuerungsausschuss

Art. 2 Nationale Cyberstrategie

Die Bestimmungen zur nationalen Cyberstrategie waren bis Ende 2023 in Art. 5 der aufgehobenen CyRV geregelt. Der vorliegende Artikel knüpft an die damalige Regelung an und verpflichtet den Bundesrat, die Ziele und Massnahmen im Bereich des Schutzes vor Cyberrisiken in der Nationalen Cyberstrategie (NCS) festzulegen. Innerhalb der Bundesverwaltung ist gemäss Art. 15a Abs. 2 Bst. g OV-VBS das BACS zuständig, die NCS für den Bundesrat zu erarbeiten und deren Umsetzung zu koordinieren.

Die NCS bildet gemäss Absatz 1 den strategischen Rahmen für die Prävention im Bereich der Cybersicherheit, der Früherkennung von Cyberbedrohungen, die Reaktionsmöglichkeiten und der Resilienz bei Vorfällen zum Schutz des Landes vor Cybervorfällen und Cyberbedrohungen. Dies bedeutet, dass die NCS einen umfassenden Ansatz zur Bewältigung von Cybervorfällen und Cyberbedrohungen verfolgt, der verschiedene Aspekte der Cybersicherheit umfasst: