Ergebnisbericht

 SBB beantragen, die Reichweite von Art. 18 Abs. 4 einzugrenzen, sodass nur strafrechtlich relevante und glaubwürdige Cyberangriffe gemeldet werden müssen.

❖ Weitere Anmerkungen zu Artikel 18

 BA plädiert dafür, dass das BACS Cyberangriffe, die möglicherweise Straftaten darstellen, automatisch den Strafverfolgungsbehörden meldet.

 ISSS kritisiert, dass die verschiedenen Absätze keine Begriffe wie «insbesondere» oder ähnliche Formulierungen enthalten, die eine nicht abschliessende Aufzählung andeuten würden.

 Die Mitte hält fest, dass der Adressatenkreis eine ausreichende Grösse haben muss, damit die Meldepflicht ihre volle Wirkung entfalten kann.

 SH kritisiert, dass Art. 18 zu kurz formuliert sei und die Meldepflicht selbst nicht explizit erwähnt werde.

 UR argumentiert, dass einwohnermässig kleinere Gemeinden, die in einen der zwei Rechenzentrumsverbunde eingebunden sind, nicht von einer Meldepflicht enthoben werden sollten.

 SSK schlägt vor, einen neuen Absatz 5 hinzuzufügen, der das BACS verpflichtet, zumindest Fälle im Sinne von Absatz 4 den zuständigen Strafverfolgungsbehörden zur Anzeige zu bringen.

 swissuniversities weist darauf hin, dass die Meldungen der Hochschulen an das BACS mit Switch-CERT koordiniert werden müssen.

3.3.2.19 Artikel 19 (Inhalt der Meldung)

Art. 19 Inhalt der Meldung

¹Die Meldung muss folgende Informationen zum Cyberangriff enthalten:

a. Datum und Uhrzeit der Feststellung des Angriffs;

b. Datum und Uhrzeit des Angriffs;

c. Art des Angriffs;

d. Angriffsmethode; und

e. Angaben zum Verursacher.

²Sie muss zudem die Information enthalten, ob der Angriff mit Erpressung, Drohung oder Nötigung verbunden war und ob Strafanzeige erstattet wurde.

³Sie muss folgende Informationen zu den Auswirkungen des Cyberangriffs enthalten:

a. betroffene Einheiten der Organisation oder Behörde;

b. Schweregrad der Beeinträchtigung der Verfügbarkeit, Integrität und Vertraulichkeit der eigenen Informationen und der Informationen von Dritten; und

c. Auswirkung des Cyberangriffs auf die Funktionsfähigkeit der betroffenen Einheiten der Organisation oder Behörde.

⁴Erfolgt die Meldung nicht über das Kommunikationssystem des BACS, so muss sie zusätzlich folgende Informationen zur meldepflichtigen Behörde oder Organisation enthalten:

a. Firma, Name oder Bezeichnung und Adresse; und

b. Kontaktangaben der meldenden Person.