Ergebnisbericht

 BE schlägt vor, den Absatz wie folgt zu formulieren: «¹ Das BACS sorgt für die koordinierte Offenlegung von Schwachstellen.»

 economiesuisse und scienceindustries schlagen mit Blick auf den Zeitpunkt der Offenlegung vor, dass eine Offenlegung erst nach der Behebung der Schwachstellen erfolgen soll.

❖ Artikel 9 Absatz 2: Frist zur Behebung von Schwachstellen

 Seitens digitalswitzerland, asut, Salt, economiesuisse, sicienceindustries und Swico wird eine Flexibilisierung der Frist gefordert. So fordern economiesuisse, scienceindustries und Swico im Verordnungswortlaut den Passus «angemessene Frist» anstelle einer starren 90-Tage-Frist zu verwenden; asut und Salt plädieren aber dafür, dass man präzisiert, dass die angemessene Frist mindestens 90 Tage dauern soll.

 Betreffend die Spezifizierung der Adressaten schlägt H+ eine Präzisierung auf Hersteller von Hard- oder Software kritischer Infrastrukturen vor und SwissICT fordert eine Ergänzung der Betreiber als potenziell Behebungspflichtige.

❖ Artikel 9 Absatz 3: Information bei akuter Cyberbedrohung

 BE empfiehlt, Art. 9 Abs. 3 zur besseren Verständlichkeit wie folgt zu formulieren: «³ Ist dem BACS eine Schwachstelle bekannt, die für einzelne kritische Infrastrukturen eine akute Cyberbedrohung darstellt, informiert es umgehend deren Betreiberinnen, noch bevor die Schwachstelle veröffentlicht oder behoben wurde».

❖ Artikel 9 Absatz 4: Verkürzung oder Verlängerung der Frist

 CH++ schlägt vor, Art. 9 Abs. 4 strenger zu formulieren, um sicherzustellen, dass die Fristen nicht in zu vielen Fällen verlängert werden.

 Swico macht den Vorschlag zur Anhörung der Herstellerin vor Fristverkürzung und verlangt, Art. 9 Abs. 4 wie folgt zu formulieren: «Es [das BACS] kann die Frist nach Anhörung der Herstellerin verkürzen, wenn eine Schwachstelle: …».

 BFK merkt an, dass ein möglicher Widerspruch zwischen «die Frist verkürzen, wenn die Schwachstelle leicht ausgenutzt werden kann» und «die Frist verlängern, wenn die Beseitigung der Schwachstelle besonders komplex ist» besteht.

❖ Artikel 9 Absatz 5: Information der Betreiber kritischer Infrastrukturen

 CH++ regt an, die Formulierung zu schärfen, um den Eindruck zu vermeiden, das VBS könnte Informationen über Sicherheitslücken in riskanten Situationen zurückhalten, um diese möglicherweise selbst länger offensiv nutzen zu können. CH++ schlägt vor, in Art. 9 Abs. 5 die Kann-Formulierung abzuändern: «Es informiert grundsätzlich die Betreiberinnen kritischer Infrastrukturen bereits vor der Behebung oder Offenlegung über Schwachstellen.»

 Sowohl Migros (sofortige Information) als auch Flughafen ZH (zwingende Information innerhalb von 72 Stunden) verlangen nach einer schnelleren Information.

 NEDIK empfiehlt, dass das BACS die Betreiber grundsätzlich vor der Behebung oder Offenlegung der Schwachstelle informieren sollte, mit der Möglichkeit in bestimmten Fällen abzuwarten.