Ergebnisbericht

 Swiss Banking, Swiss FS-CSC, digitalswitzerland, economiesuisse und scienceindustries schlagen vor, den Zugang auf alle meldepflichtigen Organisationen und Behörden auszuweiten, unabhängig von einem schweizerischen Sitz. Sie argumentieren, dass dies für die Stärkung der Cyberresilienz auf dem Wirtschaftsstandort Schweiz notwendig sei und den grenzüberschreitenden Austausch für globale Unternehmen erleichtert.

❖ Funktionalität und Umsetzung des Kommunikationssystems

 Swico begrüsst das zentrale Kommunikationssystem für den sicheren Informationsaustausch, weist aber auf die Notwendigkeit eines hohen Sicherheitsstandards hin.

 BE fordert eine Verdeutlichung der Abgrenzung der Systeme nach Art. 11 und Art. 12 und argumentiert, dass weder aus den Normen noch aus dem erläuternden Bericht die Abgrenzung beider Systeme, die unterschiedlichen Nutzungsvorgaben und Zwecke klar verständlich hervorgehen.

 SGV betont die Wichtigkeit einer einfachen und unbürokratischen Registrierung für die Teilnahme am Informationsaustausch sowie eines unkomplizierten Zugangs in der Praxis. Der Verband ersucht das BACS, in der praktischen Umsetzung der Verordnung für eine leichte Zugänglichkeit zu sorgen.

 SBB bemängeln fehlende Klarheit bezüglich der Verantwortlichkeiten für die Überwachung neuer Bedrohungen auf der Kommunikationsplattform des BACS sowie der Zugriffrechte. Sie fordert eine Klärung dieser Punkte.

❖ Vorschläge zur Erweiterung und Präzisierung

 BE empfiehlt, eine Registrierungspflicht für meldepflichtige Organisationen und Behörden sowie Betreiberinnen kritischer Infrastrukturen auf dem Kommunikationssystem für den sicheren Informationsaustausch bzw. den Informationssystemen für den automatischen Austausch einzuführen.

 SVV betont die Wichtigkeit einer regelmässigen detaillierten (anonymisierten) Berichterstattung durch das BACS über die eingegangenen Meldungen. Dies wird als entscheidend für die Versicherungsbranche erachtet, um zur Erhöhung der Cyber-Resilienz der Schweizer Wirtschaft beizutragen und gleichzeitig die Versicherungsdurchdringung zu erhöhen.

 eAHV/IV sieht im Rahmen der Umsetzung der Meldepflicht die Möglichkeit, dass das BACS eine Drehscheibenfunktion im Sinne des Once-Only-Prinzips übernehmen sollte.

 Switch empfiehlt, die Subsidiarität des BACS in bestimmten Fällen zu konkretisieren und einen zusätzlichen Absatz einzufügen, der den Grundsatz der Eigenverantwortung von privaten Betreiberinnen für Cybersicherheit festschreibt.

3.3.2.12 Artikel 12 (Informationssysteme für den automatischen Austausch)

Art. 12 Informationssysteme für den automatischen Austausch

¹Das BACS stellt den Betreiberinnen kritischer Infrastrukturen Informationssysteme für den automatischen Austausch von technischen Informationen zu Cyberbedrohungen und Cybervorfällen zur Verfügung.

²Das BACS ist für die Sicherheit der Informationssysteme und die Rechtmässigkeit der Bearbeitung der Daten verantwortlich.

5 Vernehmlassungsteilnehmende haben sich zu dieser Bestimmung geäussert. Die Anträge zum Verordnungstext betreffen die Klarheit und Präzision, Sicherheitsstandards und Datenschutz sowie den Zugang und die Nutzung des Informationssystems.