Ergebnisbericht

1 Ausgangslage

Am 22. Mai 2024 hat der Bundesrat den Entwurf der Cybersicherheitsverordnung (CSV) sowie den erläuternden Bericht verabschiedet und das Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) beauftragt, ein Vernehmlassungsverfahren durchzuführen. Die Vernehmlassung dauerte vom 22. Mai 2024 bis zum 13. September 2024. Die Liste aller Vernehmlassungsteilnehmenden mit den nachfolgend verwendeten Abkürzungen findet sich im Anhang.

Es sind 69 Stellungnahmen eingegangen:

69 Total eingegangene Stellungnahmen

23 Kantonsregierungen

3 Kantonale Konferenzen und Eidgenössische Kommissionen

4 Parteien

2 Gesamtschweizerische Dachverbände der Gemeinden und Städte

19 Gesamtschweizerische Verbände

12 Betroffene Unternehmen

7 Weitere interessierte Kreise

Die Stellungnahmen sind auf der Publikationsplattform des Bundesrechts «Fedlex» aufgeschaltet.¹

2 Gegenstand des Vernehmlassungsentwurfs

Der Bundesrat erteilte dem Eidgenössischen Finanzdepartement (EFD) am 11. Dezember 2020 den Auftrag, die Rechtsgrundlagen für die Einführung einer Meldepflicht für Cyberangriffe auf kritische Infrastrukturen zu erstellen. Sodann verabschiedete der Bundesrat am 2. Dezember 2022 den Entwurf über diese Rechtsgrundlagen und die Botschaft zur Änderung des Bundesgesetzes über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG) vom 18. Dezember 2020² zuhanden des Parlaments. In der Folge hiess das Parlament die Änderungen des ISG am 29. September 2023 gut;³ die Referendumsfrist verstrich am 18. Januar 2024 ungenutzt.

Der Verordnungsentwurf enthält einerseits die Ausführungsbestimmungen zum 5. Kapitel des revidierten ISG über die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen. Andererseits werden auch organisationale Aspekte im Zusammenhang mit der Cybersicherheit geregelt. Die Verordnung soll zusammen mit dem revidierten 5. Kapitel des ISG am 1. April 2025 in Kraft treten.

Das ISG ist – ohne das oben erwähnte revidierte 5. Kapitel über die Aufgaben des neu geschaffenen Bundesamtes für Cybersicherheit (BACS) und die Meldepflicht für Cyberangriffe auf kritische Infrastrukturen – bereits am 1. Januar 2024 in Kraft getreten. Auf diesen Zeitpunkt hin wurde zudem die Verordnung über den Schutz vor Cyberrisiken in der Bundesverwaltung (Cyberrisikenverordnung, CyRV) vom 27. Mai 2020⁴ ausser Kraft gesetzt.⁵ Die darin enthaltenen Bestimmungen wurden teilweise in das revidierte ISG überführt, insbesondere die Begriffsdefinitionen. Jene Bestimmungen, welche in der CyRV die Informatiksicherheit des Bundes regelten, wurden in die Verordnung über die Informationssicherheit in der Bundesverwaltung (Informationssicherheitsverordnung, ISV)⁶ übernommen. Die in der CyRV definierten Aufgaben des Nationalen Zentrums für Cybersicherheit (NCSC) – insbesondere dessen Aufgaben gegenüber der Wirtschaft und der Bevölkerung – werden nicht in der ISV geregelt, da sie mit der Revision des ISG eine neue gesetzliche

²SR 128

³BBl 2023 2296

4 SR 120.73

⁵AS 2023 735 (Anhang 2 Ziff. I).

6 SR 128.1