Ergebnisbericht

3.3.2.9 Artikel 9 (Koordinierte Offenlegung von Schwachstellen)

Art. 9 Koordinierte Offenlegung von Schwachstellen

¹Das BACS sorgt für die koordinierte Offenlegung der Schwachstellen nach international anerkannten Standards.

²Es setzt der Herstellerin der betroffenen Hard- oder Software eine Frist von 90 Tagen zur Behebung der Schwachstellen.

³Es kann die Frist verkürzen, wenn eine Schwachstelle:

a. die Funktionsfähigkeit von kritischen Infrastrukturen gefährdet;

b. besonders leicht für einen Cyberangriff ausgenutzt werden kann; oder

c. weit verbreitete Systeme betrifft.

⁴Es kann die Frist verlängern, wenn sich die Behebung der Schwachstelle als besonders aufwendig erweist.

⁵Es kann die Betreiberinnen kritischer Infrastrukturen bereits vor der Behebung oder Offenlegung über Schwachstellen informieren.

⁶Auf die vom Bundesamt für Kommunikation (BAKOM) im Rahmen seiner Aufsichtskontrollen (Art. 36 ff.

der Verordnung vom 25. November 2015 über Fernmeldeanlagen) entdeckten Schwachstellen sind die Absätze 1 bis 4 nicht anwendbar. Das BAKOM informiert in solchen Fällen das BACS.

⁷Das BACS informiert das BAKOM umgehend über die in Fernmeldeanlagen nach Artikel 3 Buchstabe d des Fernmeldegesetzes vom 30. April 1997 entdeckten Schwachstellen.

Dieser Artikel hat viele Reaktionen hervorgerufen. 25 Vernehmlassungsteilnehmende haben sich zur koordinierten Offenlegung von Schwachstellen geäussert.

❖ Allgemeine Anmerkungen zu Artikel 9

 Mit Blick auf die Definition und den Umgang mit Schwachstellen weist SH allgemein darauf hin, dass man den Herstellern ausreichende Behebungszeit geben muss, bevor Schwachstellen öffentlich gemacht werden. Swiss Banking, Swiss FS-CSC und SBB fordern eine Definition des Begriffs

«Schwachstelle». Zudem fordert SBB Klärungen bezüglich Fristen zur Behebung von Schwachstellen, der Kommunikation zwischen BACS und das Bundesamt für Verkehr (BAV) der Abgrenzung der Meldepflicht zwischen Herstellern und Betreibern, der Verknüpfung von Hersteller und Betreiber.

 Betreffend die Rolle und Aufgaben des BACS erachtet Die Mitte diese als angemessen und notwendig.

 NFP 77 ETHZ UNIL empfiehlt, in der Verordnung die Konsequenzen bei einer Nichtbehebung zu konkretisieren.

 SwissICT äussert Bedenken hinsichtlich zusätzlicher Belastung für Hersteller und Vertraulichkeitsrisiken.

❖ Artikel 9 Absatz 1: Grundsatz der koordinierten Offenlegung

 SP begrüsst die Regelung ausdrücklich und sieht darin eine klare Verbesserung im Vergleich zum Status Quo.

 asut, Salt, digitalswitzerland und ZG schlagen vor, im Verordnungswortlaut die «Best Practices» neben den internationalen Standards zu berücksichtigen. asut, Salt und digitalswitzerland schlagen folgenden Wortlaut von Art. 9 Abs. 1 vor: «¹ Das BACS sorgt für die koordinierte Offenlegung der Schwachstellen nach deren Behebung nach international anerkannten Standards und Best Practices». ZG fordert überdies den Anwendungsbereich auf Betreiber und Dienste auszuweiten.