Ergebnisbericht

o Migros argumentiert, dass nicht jeder Systemunterbruch die Funktionsfähigkeit einer kritischen Infrastruktur gefährdet, und schlägt vor, nur Unterbrüche eines «geschäftskritischen Systems» als meldepflichtig zu betrachten.

 Einige Vernehmlassungsteilnehmende verlangen eine Berücksichtigung des Schweregrades. So re-

gen digitalswitzerland, SUVA und CH Post AG an, den Schweregrad eines Cyberangriffs bei der Meldepflicht zu berücksichtigen, um administrativen Aufwand zu vermeiden.

 Es wird von Vernehmlassungsteilnehmenden auch eine Spezifizierung von Begriffen verlangt:

o NEDIK argumentiert, dass die Verordnung präziser definieren und eingrenzen sollte, was unter einem «Systemausfall» zu verstehen ist.

o GE schlägt vor, im erläuternden Bericht zu präzisieren, was unter einem «part importante» zu verstehen ist.

o GL empfiehlt, im erläuternden Bericht deutlicher darauf hinzuweisen, dass Systemunterbrüche nur im Zusammenhang mit einem Cyberangriff dem BACS zu melden sind.

❖ Artikel 18 Absatz 2: Manipulation oder Abfluss von Informationen

 BFK weist darauf hin, dass ein Informationsleck festgestellt werden kann, bevor die Informationen

von unbefugten Personen veröffentlicht werden.

 NFP 77 ETHZ UNIL kritisiert, dass der Verweis auf das DSG nicht ideal ist, da das DSG auch Mel-

depflichten bei nicht vorsätzlichen Verletzungen der Datensicherheit vorsieht.

 SVV argumentiert zu Art. 18 Abs. 1 Bst. a, dass nur absichtlich ausgelöste Systemunterbrüche mel-

depflichtig sein sollten, in Art. 18 Abs. 2 ergänzt werden soll, dass eine Manipulation oder ein Abfluss von Informationen vorliegt, wenn geschäftsrelevante Informationen von Unbefugten verändert, offengelegt, und hierbei «entwendet, zerstört, deaktiviert oder sonst wie bearbeitet werden, welche sich mittel- oder langfristig auf wesentliche Applikationen oder Systeme auswirken». Und Art. 18 Abs. 2 Bst. c durch die Einfügung eines letzten Teilsatzes «welche voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führt» ergänzt werden soll.

 Swiss Banking und Swiss FS-CSC schlagen vor, die Formulierungen zu präzisieren, um den Fokus

konsequent auf Cyberangriffe zu beschränken und weitere Aspekte wie den Datenschutz wegzulassen.

❖ Artikel 18 Absatz 3: 90-Tage-Frist

 ZH regt an, dass eine grundsätzliche Regelung wünschenswert wäre, die sich darüber ausspricht,

welche Logdaten wie lange aufbewahrt werden dürfen.

❖ Artikel 18 Absatz 4: Meldepflicht bei Erpressung, Drohung oder Nötigung

 BE schlägt vor, die Meldepflicht bei Erpressung, Drohung oder Nötigung entweder direkt auf die ehe-

maligen Verantwortlichen oder Mitarbeitenden der Meldepflichtigen auszudehnen oder auf diese Personengruppe ganz zu verzichten.