Ergebnisbericht

Demgegenüber begrüsst SGV die Ausnahme für Gemeinden mit weniger als 1’000 Einwohnern, betont aber die Wichtigkeit freiwilliger Meldungen und technischer Unterstützung für alle Gemeinden.

 Betreffend die Ausnahmen für Hochschulen und andere Institutionen schlägt Switch vor, Hochschu-

len und Registrare in bestimmten Fällen von der Meldepflicht auszunehmen, da eine vollständige Meldepflicht für diese Kategorien unverhältnismässig sei. swissuniversities empfiehlt die Einführung von Schwellenwerten für Hochschulen, basierend auf verschiedenen Kriterien wie Grösse, Infrastruktur und Forschungssysteme.

 Swiss Banking und Swiss FS-CSC schlagen vor, Cyberangriffe mit nur geringfügigen Auswirkungen

auf die Geschäftstätigkeit von Finanzinstituten von der Meldepflicht auszunehmen. Diese könnte als Abs. 1 Bst. d^biswie folgt lauten: «d^bisUnternehmen nach Artikel 74b Absatz 1 Buchstabe e ISG, wenn Cyberangriffe nur geringfügige Auswirkungen auf die Geschäftstätigkeit des Unternehmens haben, insbesondere keine erfolgreichen oder teilweise erfolgreichen Angriffe auf kritische Funktionen sind, deren Ausfall oder Störung den Schutz der Kundinnen und Kunden oder das Funktionieren der Märkte stark beeinträchtigen würde. Diese Bestimmung kann durch eine Verordnung der FINMA oder eine Selbstregulierung der zuständigen Verbände konkretisiert werden.»

 SBB beantragen, die vorgesehenen Ausnahmen für kleinere Bahnen, Betreiber von Gasleitungen

und Elektrizitätswerke zu überdenken, da auch diese von sicherheitsrelevanten Angriffen betroffen sein können.

 CH++ und H+ argumentieren, dass Spitäler unabhängig von ihrer Grösse meldepflichtig sein sollten.

 ASIP beantragt eine Erweiterung der Befreiung von der Meldepflicht für sämtliche registrierten und

nicht registrierten Vorsorgeeinrichtungen (mit und ohne reglementarische Leistungen) bis zu einer Grösse von 30'000 Versicherten. ASIP argumentiert, dass die Verantwortlichkeit für Cybersicherheit beim obersten Organ der Vorsorgeeinrichtung liegen und nicht unnötig durch gesetzliche Bestimmungen eingeschränkt werden sollte.

 Swissgrid beantragt, auch Dienstleister zu erfassen, welche intelligente Mess- und Steuersysteme

steuern, sofern sie bestimmte Grenzwerte erfüllen.

❖ Artikel 16 Absatz 2: Ausnahmen für kleine Strukturen

 BFK hinterfragt die Angemessenheit des Begriffs «kleine Strukturen» für die Befreiung von der Mel-

depflicht und regt an, andere Kriterien wie die Grösse der betroffenen Kundschaft zu berücksichtigen.

 economiesuisse, scienceindustries und Swico schlagen vor, Unternehmen und andere privatrechtli-

che Organisationen von der Meldepflicht auszunehmen, die weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen. Es wird folgender Verordnungswortlaut zu Art. 16 Abs. 2 vorgeschlagen: «² Unternehmen nach Artikel 74b Absatz 1 Buchstaben f, g, h, l und p ISG, für die Absatz 1 nicht anwendbar ist, sind von der Meldepflicht ausgenommen, sofern sie im betroffenen Bereich weniger als 50 Personen beschäftigen und ihr Jahresumsatz beziehungsweise ihre Jahresbilanzsumme im betroffenen Bereich 10 Millionen Franken nicht übersteigt jeweils am 1. Januar eines Jahres weniger als 250 Mitarbeiterinnen und Mitarbeiter beschäftigen.»

 SwissICT empfiehlt, die Ausnahmen basierend auf Mitarbeiterzahl und Umsatz eines Unternehmens

zu streichen, da diese den Sinn und Zweck der Meldepflicht gefährden könnten.