Ergebnisbericht

❖ Artikel 13 Absatz 2: Registrierungsinformationen und Kontaktangaben

 GE schlägt vor, in der französischen Fassung in Art. 13 einen neuen Buchstaben c in Absatz 2 hinzuzufügen, der die Kontaktdaten der für die Cybersicherheit zuständigen Einheit innerhalb der Organisation oder Behörde spezifiziert.

 SH schlägt vor, dass bei kritischen Meldungen Benachrichtigungen nicht nur an eine einzelne Person erfolgen sollte. Er empfiehlt, die Registrierung mehrerer Personen zu ermöglichen, um die Kontinuität der Informationskette sicherzustellen. Flughafen ZH, digitalswitzerland und Swico äussern sich auch dergestalt, da sie vorschlagen, in Art. 13 Abs. 2 Bst. b anstelle der «Kontaktangaben der gemeldeten Person» den Passus «Angaben zu einer oder mehreren Kontaktpersonen» zu verwenden.

 economiesuisse und scienceindustries fordern die Streichung von Art. 13 Abs. 2 oder zumindest eine Anpassung von Art. 13 Abs. 2 Bst. b, da sie die geforderten Angaben als zu detailliert und formalistisch ansehen.

3.3.2.14 Artikel 14 (Dienstleister)

Art. 14 Dienstleister

¹Die Betreiberinnen kritischer Infrastrukturen können dem BACS Dienstleister melden, die am Informationsaustausch teilnehmen wollen.

²Die Dienstleister müssen sich mit der Firma oder dem Namen sowie Kontaktangaben der gemeldeten Person registrieren.

6 Vernehmlassungsteilnehmende haben sich zu diesem Artikel geäussert. Die Stellungnahmen zeigen eine grundsätzliche Akzeptanz des Artikels, verbunden mit dem Wunsch nach Präzisierungen und Empfehlungen für Ergänzungen.

❖ Artikel 14 Absatz 1: Definition und Umfang der Dienstleister

 FR empfiehlt, in der französischen Fassung den Begriff «fournisseurs de prestations de cybersécurité» (Anbieter von Cybersicherheitsdienstleistungen) zu verwenden, um Verwechslungen zu vermeiden. Dieser Vorschlag zielt darauf ab, den Umfang der betroffenen Dienstleister klarer zu definieren.

 GE schlägt vor, im Verordnungstext zu präzisieren, dass das BACS die Aufnahme der Dienstleister prüft. Dieser Vorschlag berücksichtigt die Sensibilität der auszutauschenden Daten und zielt darauf ab, die Sicherheit des Informationsaustauschs zu erhöhen.

 VS fordert eine Präzisierung, ob sich der Artikel auf alle IT-Dienstleister oder nur auf jene im Zusammenhang mit Cybersicherheit bezieht.

 Swiss Banking und Swiss FS-CSC schlagen vor, den Artikel dahingehend zu präzisieren, dass Betreiberinnen kritischer Infrastrukturen dem BACS Dienstleister melden können, die für sie Dienstleistungen im Rahmen ihrer Geschäftstätigkeit erbringen und deshalb am Informationsaustausch teilnehmen wollen. Sie schlagen vor, den Art. 14 Abs. 1 wie folgt zu präzisieren: «Die Betreiberinnen kritischer Infrastrukturen können dem BACS Dienstleister melden, die für sie Dienstleistungen im Rahmen ihrer Geschäftstätigkeit erbringen (z.B. im Rahmen eines Outsourcings) und deshalb zusammen mit ihnen am Informationsaustausch teilnehmen wollen.» und begründen dies mit der bestehenden Praxis, wonach solche Dienstleister bereits zur Teilnahme am Informationsaustausch zugelassen sind, wenn sie die Anforderungen des BACS erfüllen.