Ergebnisbericht

30 Vernehmlassungsteilnehmende haben sich zum Inhalt der Meldung geäussert und niemand hat diese Bestimmung vollständig abgelehnt.

❖ Artikel 19 Absatz 1: Inhalt der Meldung

 Von zahlreichen Vernehmlassungsteilnehmern wurden Präzisierungen zum Umfang und Art der zu

meldenden Informationen im Verordnungstext verlangt:

o BE und NFP 77 ETHZ UNIL schlagen vor, «Angaben zum Verursacher» durch «Angaben zum Angreifer» zu ersetzen.

o GE empfiehlt, in Art. 19 Abs. 1 Bst. e «lorsqu'elles sont disponibles» am Ende des Absatzes hinzuzufügen.

o ZH empfiehlt zur Berücksichtigung von Angriffen auf die Lieferkette und zur angemessenen Beurteilung der nationalen Bedrohungslage durch das BACS, den Inhalt der Meldung um «involvierte Dienstleister oder andere Dritte» zu ergänzen.

o Migros schlägt vor, die Punkte «Art des Angriffs» und «Angriffsmethode» zusammenzufassen.

o VSE schlägt vor, «angegriffene Systeme» in die Liste der zu meldenden Informationen aufzunehmen.

o FDP kritisiert den detaillierten Informationskatalog als zu umfangreich und schwer verständlich.

o Swiss Banking und Swiss FS-CSC empfehlen, den Artikel zu ergänzen, um die Anforderungen an den Inhalt der Meldung zu flexibilisieren und auf das Wissen abzustellen, welches vernünftigerweise vorhanden sein kann.

o CH Post AG und digitalswitzerland sehen die Angaben zum Verursacher der Cyberattacke als problematisch an und schlagen vor, diese nur zu verlangen, falls sie ohne aufwändige forensische Verfahren ermittelt werden können.

o NEDIK weist darauf hin, dass bei der Meldung die Klassifizierung für die Weitergabe der Information fehlt und empfiehlt, diese von Anfang an eindeutig festzulegen.

o Primeo schlägt vor, als zusätzlichen Punkt der Meldepflicht aufzuführen, welcher OT-Bereich von einem Angriff betroffen ist.

o Swissgrid schlägt vor, die Angaben zum Verursacher nur «sofern bekannt» zu verlangen und zusätzlich Informationen zu den angegriffenen Systemen in die Meldung aufzunehmen.

 Zu den Aspekten des Datenschutzes und der Personendaten merken asut, Salt, Switch sowie Sun-

rise an, dass die Meldung auch Personendaten umfassen kann und empfehlen, die Abläufe so zu gestalten, dass Personendaten nur bei gesicherten Vorfällen weitergegeben werden müssen.