Ergebnisbericht

CERTs und kritischen Infrastrukturen. Swiss Banking und Swiss FS-CSC erscheint es wichtig, dass eine technische Vorfallbewältigung auch auf Anfrage von anderen Behörden und Organisationen unterstützt wird und dementsprechend wird vorgeschlagen, Art. 7 Abs. 1 Bst. a durch den Nebensatz: «dies bei Bedarf auch auf Anfrage von anderen Behörden und Organisationen.» zu ergänzen. SSK stellt fest, dass die Zusammenarbeit mit Strafverfolgungsbehörden nicht explizit erwähnt wird, und schlägt vor, Kontakte zu Strafverfolgungsbehörden in der Verordnung zu institutionalisieren. Switch verlangt, den Austausch des CERT mit nationalen und internationalen Kompetenzzentren in der Verordnung zu verankern. Swissuniversities empfiehlt, die Zusammenarbeit zwischen CERT des BACS, Switch-CERT und Hochschul-Cybersicherheitsorganisationen in der Verordnung zu regeln. Schliesslich plädiert VSE für eine gemeinsame Präzisierung der Leistungen und Zusammenarbeit zwischen BACS, privaten CERTs und kritischen Infrastrukturen.

 Betreffend die Ressourcen und Infrastruktur empfiehlt VS eine gemeinsame Nutzung von Infrastrukturen oder Ressourcen mit anderen Bundesorganisationen.

❖ Artikel 7 Absatz 2: Infrastruktur

 CH++ merkt mit Blick auf Art. 7 Abs. 2 an, dass «resilient» ein nicht genügend präziser Begriff ist.

Die Organisation schlägt vor, mittels einer Formulierung wie «Der Betrieb dieser Infrastruktur muss jederzeit und möglichst unabhängig von Dritten sichergestellt werden können» zusätzliche Klarheit zu schaffen. Zudem wirft CH++ die Frage nach der technischen Infrastruktur für die Analysen auf und empfiehlt eine Präzisierung bezüglich der Verwendung von Cloud-Diensten.

 Flughafen ZH begrüsst die Unabhängigkeit der Infrastruktur des BACS von der restlichen Bundesinformatik und schlägt ein hohes Schutzniveau vor.

❖ Weitere Anmerkungen

 eAHV/IV fordert eine verständlichere Beschreibung der Soforthilfe durch das BACS im erläuternden Bericht.

 GE schlägt vor, in der französischen Fassung im Art. 7 Abs. 1 «qui» durch «laquelle» zu ersetzen, um Mehrdeutigkeiten zu vermeiden.

 SSK empfiehlt auch, Gegenstand, Wirkungsziele und Umfang der «Gegenmassnahmen» zu definieren und die dafür nötigen Kompetenzen des CERT zu umschreiben.

3.3.2.8 Artikel 8 (Priorisierung der Beratung und Unterstützung bei Cyberangriffen)

Art. 8 Priorisierung der Beratung und Unterstützung bei Cyberangriffen

¹Übersteigt die Nachfrage nach Beratung und Unterstützung bei einem Cyberangriff die Kapazitäten des BACS, so kann es die Bearbeitung in Bezug auf den Zeitpunkt und den Umfang der Beratung und Unterstützung priorisieren.

²Es berücksichtigt dabei die öffentliche Sicherheit und Ordnung, das Wohlergehen der Bevölkerung und das Funktionieren der Wirtschaft.

12 Vernehmlassungsteilnehmende haben sich zu dieser Verordnungsbestimmung geäussert.

❖ Allgemeine Anmerkungen zu Artikel 8

 Mit Blick auf die in dieser Bestimmung geregelte Zusammenarbeit und Zuständigkeiten stellt BFK die Frage, ob im Falle einer schweren Krise vorgesehen werden sollte, die Hilfe von privaten Dienstleistern in Anspruch zu nehmen. Gegebenenfalls könnte festgelegt werden, welche Kriterien im Voraus