Ergebnisbericht

3.3.2.21 Artikel 21 (Frist zur Erfassung der Meldung)

Art. 21 Frist zur Erfassung der Meldung

¹Sind innerhalb der Meldefrist von 24 Stunden nicht alle erforderlichen Informationen bekannt, so gewährt das BACS der betreffenden Behörde oder Organisation eine Frist von 14 Tagen zur Ergänzung der Meldung.

²Liegen bis zum Ablauf der Frist nicht alle erforderlichen Informationen vor, so fordert das BACS die betreffende Behörde oder Organisation auf, diese umgehend zu ergänzen oder zu bestätigen, dass die Informationen nicht vorhanden sind.

10 Vernehmlassungsteilnehmende haben sich zur Frist und Erfassung der Meldung geäussert. Keiner der Vernehmlassungsteilnehmenden hat den Artikel 21 abgelehnt. Die Stellungnahmen enthalten Vorschläge zur Ergänzung und Präzisierung des Artikels.

❖ 24-Stunden-Frist für die Erstmeldung

 NFP 77 ETHZ UNIL empfiehlt, die Formulierung «innerhalb von 24 Stunden nach der Entdeckung des Cyberangriffs» zu präzisieren, um das Verständnis für die meldepflichtigen Behörden und Organisationen zu erleichtern.

 Switch erachtet die Frist von 24 Stunden vor allem für kleinere Organisationen als einen unverhältnismässigen Aufwand. Es wird vorgeschlagen, dass sich die 24-Stunden-Frist auf Arbeitswochen und Bürozeiten bezieht.

 Swissgrid regt an, in der Verordnung zu präzisieren, dass die Meldung innerhalb von 24 Stunden nach der Entdeckung des Cyberangriffs zu erfolgen hat, oder einen direkten Verweis auf Art. 74e Abs. 1 ISG aufzunehmen.

 swissuniversities weist darauf hin, dass die Anforderungen an die 24-Stunden-Meldefrist für kleine Hochschulen grosse Herausforderungen in Bezug auf die Reife der bestehenden Prozesse sowie das eingesetzte oder erforderliche Personal darstellen.

❖ 14-Tage-Frist für Nachmeldungen

 LU regt an, zu präzisieren, ob bei der erwähnten 14-tägigen Frist zur Ergänzung der Meldung Arbeitstage oder Wochentage gemeint sind.

 SwissICT empfiehlt, die 14-tägige Frist für Nachmeldungen zu verkürzen. Zudem wird angeregt, zu ergänzen, was das BACS mit den Informationen tut.

❖ Anpassung der Fristen an internationale Standards

 economiesuisse und scienceindustries plädieren dafür, dass man die Meldepflichten an internationalen Standards ausrichtet und dementsprechend die Fristen jenen der EU-NIS-2-Richtlinie anpasst (24 Stunden für eine Frühwarnung, 72 Stunden für die Meldung eines Vorfalls).