Ergebnisbericht

 Swico begrüsst, dass Dienstleister von Betreiberinnen kritischer Infrastrukturen auf freiwilliger Basis Zugang zu den genannten Informationssystemen erhalten können. Der Verband erachtet die vorgesehene Meldung durch die Betreiberinnen und anschliessende Anmeldung des Dienstleisters als sinnvoll.

❖ Artikel 14 Absatz 2: Registrierung der Dienstleister

 Swico schlägt vor, in Artikel 14 Absatz 2 die Formulierung «Kontaktangaben der gemeldeten Person» durch «Angaben zu einer oder mehreren Kontaktpersonen» zu ersetzen: «² Die Dienstleister müssen sich mit der Firma oder dem Namen sowie Kontaktangaben der gemeldeten Person Angaben zu einer oder mehreren Kontaktpersonen registrieren.» Der Verband argumentiert, dass die aktuelle Formulierung eine Verantwortlichkeit der gemeldeten Person implizieren könnte, was vermieden werden sollte.

3.3.2.15 Artikel 15 (Übermittlung und Nutzung der Informationen)

Art. 15 Übermittlung und Nutzung der Informationen

¹Registrierte Unternehmen und Behörden übermitteln Informationen dem BACS und bestimmen dabei, ob und an wen dieses die Informationen weitergegeben darf, soweit eine Weitergabe der Informationen nicht gesetzlich vorgesehen ist.

²Das BACS entscheidet über die Veröffentlichung der zur Weitergabe freigegebenen Informationen auf dem Kommunikationssystem sowie den Informationssystemen für den automatischen Austausch.

³Die Informationsempfänger müssen den Schutz der Informationen gewährleisten.

⁴Die Dienstleister von Betreiberinnen kritischer Infrastrukturen dürfen Informationen, die sie erhalten, ausschliesslich zum Schutz kritischer Infrastrukturen nutzen.

Insgesamt 12 Vernehmlassungsteilnehmende haben sich mit der Übermittlung und Nutzung der Informationen auseinandergesetzt. Niemand hat den Artikel 15 abgelehnt. Die Stellungnahmen enthalten überwiegend Vorschläge zur Präzisierung, Erweiterung oder Anpassung des Artikels.

❖ Allgemeine Anmerkungen zu Artikel 15

 SH erwartet, dass nicht nur eine Filterung, sondern auch eine Kategorisierung der Meldungen durch ein spezialisiertes Supportteam erfolgt. Es wird vorgeschlagen, eine zentrale Bundesbehörde mit explizitem Fachwissen einzurichten, die auf nationaler Ebene beratend tätig ist.

 Swissgrid stellt Fragen zu den Folgen bei Nichteinhaltung der TLP-Klassifizierung und zur Vorgehensweise, wenn der Informationslieferant den Empfängerkreis nicht festlegt. Sie beantragt entsprechende Ergänzungen der Verordnung oder der Erläuterungen.

 NFP 77 ETHZ UNIL schlägt vor, die Bestimmung dahingehend zu präzisieren, dass Unternehmen und Behörden bei der Übermittlung von Informationen angeben müssen, ob und an welche Empfängerkategorien gemäss dem TLP-Protokoll diese weitergeleitet werden können. Sie weisen auf einen möglichen Konflikt zwischen Art. 15 Abs. 1 und Abs. 2 hin und empfehlen eine Klarstellung in der Verordnung. Zudem sollte festgelegt werden, dass das BACS Informationen nur veröffentlichen darf, wenn dies für den Schutz kritischer Infrastrukturen oder der Schweiz vor Cyberbedrohungen erforderlich ist.

❖ Artikel 15 Absatz 1: Übermittlung von Informationen

 Flughafen ZH schlägt vor, dass registrierte Unternehmen und Behörden bestimmen können, welche Informationen und an wen diese weitergegeben werden dürfen.