Ergebnisbericht

a. geschäftsrelevante Informationen von Unbefugten verändert oder offengelegt werden; oder

b. eine Verletzung der Datensicherheit nach Artikel 24 des Datenschutzgesetzes vom 25. September 2020 vorliegt.

³Ein Cyberangriff gilt als über einen längeren Zeitraum unentdeckt, wenn der Vorfall mehr als 90 Tage zurückliegt.

⁴Ein Cyberangriff gilt als mit Erpressung, Drohung oder Nötigung verbunden, wenn sich diese Handlungen gegen die meldepflichtige Behörde oder Organisation oder gegen deren Verantwortliche oder Mitarbeitende, einschliesslich ehemaliger Verantwortlicher oder Mitarbeitender, oder gegen für die meldepflichtige Behörde oder Organisation tätige Personen richten.

33 Vernehmlassungsteilnehmende haben sich zu den zu meldenden Cyberangriffen vernommen. Keiner hat den Artikel 18 abgelehnt, sondern die Stellungnahmen enthalten überwiegend Vorschläge zur Präzisierung, Erweiterung oder Anpassung des Artikels.

❖ Artikel 18 Absatz 1: Definition meldepflichtiger Cyberangriffe

 Von zahlreichen Vernehmlassungsteilnehmenden wurden Präzisierungen zur Meldepflicht verlangt:

o asut und Salt schlagen vor, die Meldepflicht auf Vorfälle zu beschränken, die direkte Auswirkungen auf den Betrieb der kritischen Infrastruktur haben.

o Flughafen ZH fordert, dass nur erfolgreiche Cyberangriffe mit funktionalen Konsequenzen der Meldepflicht unterliegen sollten.

o economiesuisse und scienceindustries betonen, dass nur erfolgreiche Angriffe mit funktionalen Folgen meldepflichtig sein sollten.

o BL merkt zu Art. 18 Abs. 1 Bst. a an, dass «Systemunterbrüche» präzisiert werden sollen, da wenn beispielsweise das Buchhaltungssystem einen Unterbruch bei der Anwendung einer KI erleidet, dies kaum Auswirkungen auf die Kernkompetenz des Systems haben soll.

o H+ argumentiert, dass die Formulierung zu allgemein gehalten sei und spezifiziert werden sollte.

o GR beantragt eine genauere Definition des Startzeitpunkts eines Cyberangriffs und die ausdrückliche Nennung wesentlicher Anzeichen eines vorbereitenden Angriffs.

o SGV fordert Präzisierungen bezüglich der Definition von meldepflichtigen Cyberangriffen.

o SBB kritisieren die zu generischen und umfassenden Formulierungen und beantragen eine Präzisierung und Eingrenzung.

o SVV argumentiert, dass nur absichtlich ausgelöste Systemunterbrüche meldepflichtig sein sollten.

o Swico schlägt Präzisierungen vor, um klarzustellen, dass es sich um Ereignisse handeln muss, die den Betrieb der Infrastruktur unmittelbar gefährden.

o SwissICT kritisiert die Definition der Funktionsfähigkeitsgefährdung als zu ausufernd und schlägt eine Gewichtung vor.