Ergebnisbericht

3.3.2.16 Artikel 16 (Ausnahmen von der Meldepflicht)

Art. 16 Ausnahmen von der Meldepflicht

¹Die folgenden Behörden und Organisationen sind unter den nachstehenden Voraussetzungen von der Meldepflicht ausgenommen:

a. Stellen nach Artikel 74b Absatz 1 Buchstaben b und c ISG: sofern sie für weniger als 1000 Einwohnerinnen und Einwohner zuständig sind; massgeblich ist die ständige Wohnbevölkerung;

b. Unternehmen nach Artikel 74b Absatz 1 Buchstabe d ISG, sofern sie:

1. als Netzbetreiber, Elektrizitätserzeuger, Elektrizitätsspeicherbetreiber oder Dienstleister im Elektrizitätsbereich gemäss Artikel 5a Absatz 1 und Anhang 1a der Stromversorgungsverordnung vom 14. März 2008 weder das Schutzniveau A noch das Schutzniveau B einhalten müssen,

2. als Betreiber von Gasleitungen nach Artikel 2 Absatz 3 der Rohrleitungssicherheitsverordnung vom 4. Juni 2021 im Durchschnitt der letzten fünf Jahre eine transportierte Energie von weniger als 400 GWh/Jahr aufweisen;

c. Unternehmen nach Art. 74b Absatz 1 Buchstabe n ISG, sofern sie:

1. kein Information Security Management System nach den Artikeln 2 und 4 und dem Anhang II der Verordnung (EU) 2023/203 oder nach Artikel 2 und dem Anhang II der Verordnung (EU) 2022/1645 einrichten müssen,

2. die Vorgaben nach Punkt 1.7 des Anhangs der Verordnung (EU) 2015/1998 in ihrem Security-Programm nach Artikel 2, 12, 13 oder 14 der Verordnung (EG) 300/2008 nicht umsetzen müssen;

d. Eisenbahnunternehmen sowie Seilbahn-, Trolleybus-, Autobus- und Schifffahrtsunternehmen nach Artikel 74b Absatz 1 Buchstabe m ISG, sofern sie:

1. nicht mit Systemaufgaben (Art. 37 des Eisenbahngesetzes vom 20. Dezember 1957 [EBG]) beauftragt sind,

2. über eine Personenbeförderungskonzession nach Artikel 6 des Personenbeförderungsgesetzes vom 20. März 2009 (PBG) verfügen, aber keine durch Bund und Kantone gemeinsam bestellten Angebote erbringen (Art. 28–31c PBG),

3. sie über eine Infrastrukturkonzession nach Artikel 5 EBG verfügen, diese aber nicht erteilt wurde, weil ein öffentliches Interesse am Bau und Betrieb der Infrastruktur besteht (Art. 6 Abs. 1 Bst. a EBG);

e. Anbieterinnen und Betreiberinnen nach Artikel 74b Absatz 1 Buchstabe t ISG: sofern sie einen Sitz in der Schweiz haben und ihre Leistungen weder teilweise noch vollumfänglich gegen Entgelt für Dritte erbringen.

²Unternehmen nach Artikel 74b Absatz 1 Buchstaben f, g, h, l und p ISG, für die Absatz 1 nicht anwendbar ist, sind von der Meldepflicht ausgenommen, sofern sie im betroffenen Bereich weniger als 50 Personen beschäftigen und ihr Jahresumsatz beziehungsweise ihre Jahresbilanzsumme im betroffenen Bereich 10 Millionen Franken nicht übersteigt.

Insgesamt 24 Vernehmlassungsteilnehmende haben sich zu dieser Bestimmung geäussert und keiner hat diese abgelehnt. Es gibt jedoch kritische Stimmen und Vorschläge für Änderungen oder Ergänzungen.

❖ Artikel 16 Absatz 1: Allgemeine Ausnahmen von der Meldepflicht

 AG, SZ, VD und SwissICT kritisieren die Ausnahme für Gemeinden mit weniger als 1'000 Einwohnern, da diese aufgrund geringerer Ressourcen anfälliger für Cyberangriffe sein könnten, diese mit dem Kantonsnetz verbunden sind und Cyberangriffe negative Auswirkungen auf die kantonale Infrastruktur haben könnten, diese oft am verwundbarsten sind und ihre Ausnahme ein falsches Signal senden würde, und kleinere Institutionen wichtig für die Früherkennung von Cyberangriffen sind.