Ergebnisbericht

❖ Sonstige Vorschläge und Anmerkungen

 SSV fragt, ob eine Ergänzung der «Allgemeinen Geschäftsbedingungen für IKT-Leistungen» vorgesehen ist und merkt an, dass der erläuternde Bericht zu diesem Artikel schwer verständlich formuliert sei.

 BE schlägt eine Präzisierung des Einleitungssatzes vor, um zwischen Betreiberinnen kritischer Infrastrukturen sowie Behörden und Organisationen zu unterscheiden: «Die folgenden Behörden, Organisationen und Betreiberinnen von kritischen Infrastrukturen sind unter den nachstehenden Voraussetzungen von der Meldepflicht ausgenommen: ...»

 GE merkt an, dass in Art. 16 Abs. 1 Bst. b nicht klar ist, ob die beiden Bedingungen kumulativ oder alternativ sind.

 GR empfiehlt, bei der Definition der Grösse von Institutionen das Risiko der kaskadierenden Ausbreitung eines Datenvorfalls zu berücksichtigen.

 SO findet die vorgesehenen Ausnahmen von der Meldepflicht stimmig und nachvollziehbar.

 VS schlägt vor, die Reihenfolge der Buchstaben c und d in Art. 16 Abs. 1 umzukehren, um der Reihenfolge im ISG zu entsprechen.

 Swiss Banking und Swiss FS-CSC schlagen vor, direkte Verweise auf EU-Gesetzgebungen (siehe hierzu Art. 16 Abs. 1 Bst. c Ziff. 1 und 2 E-CSV) zu vermeiden, da diese häufig angepasst werden und Verweise dann ins Leere zielen, was in der Konsequenz zu Rechtsunsicherheit führt.

 CH++ bemängelt das Fehlen einer Regelung zum Umgang mit Kumulations-Risiken.

3.3.2.17 Artikel 17 (Dokumentationspflicht bei Gesuchen um Auskunft über die Unterstellung unter die Meldepflicht)

Art. 17 Dokumentationspflicht bei Gesuchen um Auskunft über die Unterstellung unter die Meldepflicht Die interessierten Behörden und Organisationen müssen dem BACS alle Unterlagen zur Verfügung stellen, die dieses benötigt, um Auskunft über die Unterstellung unter die Meldepflicht zu erteilen.

1 Teilnehmender hat sich zu dieser Bestimmung geäussert. Dieser hat den Wortlaut von Artikel 17 als unpräzis kritisiert.

 NFP 77 ETHZ UNIL kritisiert die unklare Formulierung des Titels der Bestimmung, zumindest in der französischen Version. Es wird vorgeschlagen, alternative Formulierungen wie «Obligation de mettre à disposition des informations», «Obligation de collaborer» oder «Obligation d'information» zu verwenden.

3.3.2.18 Artikel 18 (Zu meldende Cyberangriffe)

Art. 18 Zu meldende Cyberangriffe

¹Die Funktionsfähigkeit einer kritischen Infrastruktur gilt als gefährdet, wenn:

a. Mitarbeitende oder Dritte von Systemunterbrüchen betroffen sind; oder

b. die betroffene Organisation oder Behörde ihre Tätigkeiten nur noch mit Hilfe von Notfallplänen aufrechterhalten kann.

²Eine Manipulation oder ein Abfluss von Informationen liegt vor, wenn: