Ergebnisbericht

 FER merkt an, dass die Bewertung der Folgen von Cyberangriffen subjektiv sein und von Organisation zu Organisation unterschiedlich ausfallen kann.

 ISSS schlägt vor, zwischen dem Inhalt der Erstmeldung und je nach Klassifizierung des Vorfalls zwischen weiteren Inhalten zu unterscheiden.

 SBB erachten die geforderten Informationen als teilweise unpraktikabel und unrealistisch und beantragen, den Artikel so anzupassen, dass eine Meldung auch ohne Vorhandensein aller Angaben gemacht werden kann.

 SVV empfiehlt eine Harmonisierung der Eintrittsschwelle für ISG-Meldungen mit DSG-Meldungen.

 lughafen ZH fordert, dass das BACS Informationen nicht ohne Zustimmung der meldepflichtigen Behörde oder Organisation an Strafverfolgungsbehörden und weitere Behörden weitergeben darf.

 Switch schlägt vor, die Bestimmung in mehrfacher Hinsicht zu konkretisieren, insbesondere durch die Festlegung einer zeitlichen Grenze und einer Grenze der Anzahl betroffener Personen.

3.3.2.20 Artikel 20 (Übermittlung der Meldung)

Art. 20 Übermittlung der Meldung

Falls die Meldung nicht über das Kommunikationssystem des BACS erfolgt, informiert dieses die Kontaktperson nach Artikel 13 Absatz 2 Buchstabe b über den Ein-gang und den Inhalt der Meldung.

5 Vernehmlassungsteilnehmende haben sich zur Übermittlung der Meldung geäussert. Keiner der Vernehmlassungsteilnehmenden hat den Artikel 20 abgelehnt. Die Stellungnahmen enthalten Vorschläge zur Ergänzung und Präzisierung des Artikels.

❖ Meldung über Drittorganisationen

 Switch schlägt vor, dass sich ein Unternehmen oder mehrere Unternehmen gemeinsam entscheiden können, Meldungen über eine spezialisierte Drittorganisation zu melden, welche auch die Incident Response unterstützt.

 swissuniversities empfiehlt, den Artikel 20 CSV um einen zusätzlichen Absatz zu ergänzen, der es einem oder mehreren Unternehmen ermöglicht, gemeinsam zu entscheiden, Vorfälle über eine spezialisierte Drittorganisation zu melden. Sie schlagen eine konkrete Formulierung für diesen Zusatz vor: «² Eine oder mehrere meldepflichtige Behörden oder Organisationen können beschliessen, den Meldeprozess einzeln oder gemeinsam an eine spezialisierte Drittorganisation auszulagern.»

❖ Anonymität bei Meldungen

 economiesuisse, scienceindustries und digitalswitzerland schlagen eine Anpassung der Formulierung vor, um die Anonymität von Drittmeldungen zu gewährleisten. Sie empfehlen ebenfalls eine Formulierung, die die Weitergabe von Kontaktangaben nur in Fällen erlaubt, in denen dies zum Schutz der Cybersicherheit erforderlich ist: «Falls die eine Meldung nicht über das Kommunikationssystem des BACS erfolgt, informiert dieses die Kontaktperson nach Artikel 13 Absatz 2 Buchstabe b einer registrierten und von der Meldung betroffenen Organisation über den Eingang und den Inhalt der Meldung, indes ohne die Kontaktangaben der meldenden Organisation oder Person, es sei denn, auch die Kontaktangaben sind zum Schutz der Cybersicherheit erforderlich.»