Ergebnisbericht

❖ Artikel 19 Absatz 2: Zusätzliche Informationen

 GE schlägt eine neue Formulierung vor, um das Verständnis zu erleichtern: «…des informations sur l'éventualité ou la réalité d'un chantage, ainsi que d’une dénonciation pénale».

 NEDIK hält fest, dass die Meldung auch beinhalten sollte, bei welcher Behörde Strafanzeige erstattet wurde.

 SwissICT empfiehlt, Art. 19 Abs. 2 CSV ersatzlos zu streichen bzw. diese Informationen im Meldeformular fakultativ abzufragen.

❖ Artikel 19 Absatz 3: Auswirkungen des Cyberangriffs

 SSV fragt nach dem Unterschied zwischen «hoch» und «schwerwiegend» im erläuternden Bericht und schlägt alternative Formulierungen vor.

 Flughafen ZH schlägt vor, dass die Meldung die Funktion der betroffenen Einheiten enthalten soll.  Swiss Banking und Swiss FS-CSC schlagen vor, den Schweregrad des Angriffs pauschal mit leicht, mittel oder schwer zu qualifizieren.

 economiesuisse und scienceindustries fordern die Streichung von Art. 19 Abs. 3, da dieser über die gesetzlichen Vorgaben hinausgehe und zu starr sei.

 VSE hält zu Art. 19 Abs. 3 fest, dass sich dieser auf «betroffene Einheiten der Organisation oder Behörde» bezieht und daher «angegriffene Systeme» ebenfalls in der Meldung gemäss Art. 19 Abs. 1 enthalten sein sollen.

 Migros empfiehlt ebenfalls, diesen Absatz zu streichen, da die relevanten Informationen im Ernstfall stark kontextabhängig sind.

❖ Artikel 19 Absatz 4: Meldeweg

 Flughafen ZH schlägt vor, dass die Meldung für meldepflichtige Organisationen ausschliesslich über das Kommunikationssystem des BACS zu erfolgen hat und dass nicht meldepflichtige Unternehmen ebenfalls einen Cyberangriff an das BACS melden können.

 GE empfiehlt, einen neuen Buchstaben c in Absatz 4 hinzuzufügen, der die Kontaktdaten der für die Cybersicherheit zuständigen Einheit innerhalb der Organisation oder Behörde angibt

❖ Allgemeine Anmerkungen zu Artikel 19

 LU empfiehlt die Einführung von Meldungskategorien basierend auf den Auswirkungen des Ereignisses: Minor-Vorfall (keine Meldung oder optional), Medium-Vorfall (zwingende Meldung innerhalb einer Woche) und Major-Vorfall (zwingende Meldung innerhalb von 24 Stunden). Dies soll sicherstellen, dass dem BACS nur relevante Vorfälle gemeldet werden.

 VS schlägt vor, die Meldungen von Cyberangriffen beim BACS zu zentralisieren, um Mehrfachmeldungen an verschiedene Bundesstellen zu vermeiden.