Der Bundesrat ist beauftragt zu pr\u00fcfen, inwiefern Ethisches Hacking als Grundsatz f\u00fcr die Erh\u00f6hung der Cybersicherheit zu institutionalisieren und in Bundesverwaltung und bundesnahen Betrieben mit den folgenden Massnahmen zu f\u00f6rdern:
1. \u00d6ffentliche Verwaltung und bundesnahe Betriebe sollen Offenlegungsrichtlinien, sogenannte Vulnerability Disclosure Guidelines, erarbeiten. Diese Richtlinien sollen einen klar geregelten Ablauf beim Auffinden einer Sicherheitsl\u00fccke in einem Datenverarbeitungssystem vorsehen und eine koordinierte Offenlegung durch Dritte, sogenannte Coordinated Disclosure, sicherstellen.
Die Richtlinien legen insbesondere fest, welche Systeme \u00fcberpr\u00fcft werden d\u00fcrfen, welche Tests dazu erlaubt sind und wohin eine L\u00fccke gemeldet werden kann. Sie schaffen Rechtssicherheit f\u00fcr Ethische Hacker, indem sie den Verzicht auf Strafverfolgung regeln, sofern die Bedingungen der Richtlinien eingehalten worden sind.
2. Die Betriebe sollen ihre Datenverarbeitungssysteme proaktiv im Rahmen von Bug Bounty Programmen auf Schwachstellen pr\u00fcfen lassen. Davon ausgenommen sind klassifizierte Systeme. Da diese Programme in der Regel erfolgsbasiert pr\u00e4miert werden, sollen die Budgets der Staats- und staatsnahen Betriebe entsprechen ausgestaltet werden d\u00fcrfen.
3. Das National Cyber Security Center (NCSC) unterst\u00fctzt diesen Prozess aktiv und begleitet die Umsetzung.
","ReasonText":"Eine nachhaltige Digitalisierung bedarf hoher Standards bei der Sicherheit. Ein konsequenter Schutz von IT Systemen hebt das allgemeine Sicherheitsniveau und die Reputation des Wirtschaftsstandorts als sicherer Datenhafen. Dazu geh\u00f6rt auch das systematische Aufdecken und Schliessen von Schwachstellen in IT Systemen. Hier spielen Ethische Hacker (oder auch Sicherheitsforscher) eine wichtige Rolle. Sie suchen nach Schwachstellen im System in der Absicht, die Sicherheit des Netzwerks zu verbessern, und die w\u00e4hrend des Tests festgestellten Sicherheitsanf\u00e4lligkeiten zu beheben. In der Schweiz wird das Potential von Ethischem Hacking bislang zu wenig ausgesch\u00f6pft.
Offenlegungsrichtlinien geben Ethischen Hackern einen Rahmen, in welchem sie beim Auffinden einer Schwachstelle vorzugehen haben und so ihren Beitrag leisten k\u00f6nnen, eine L\u00fccke zu schliessen. Die Richtlinien signalisieren Interesse an der Zusammenarbeit mit dem Ethischen Hacker, der ansonsten ein rechtliches Risiko auf sich n\u00e4hme. Gem\u00e4ss Schweizer Recht macht er sich n\u00e4mlich beim Eindringen in ein Datenverarbeitungssystem potentiell strafbar.
Deshalb ist es unabdinglich, dass die Vulnerability Disclosure Guideline die Bedingungen f\u00fcr einen Ausschluss der Strafbarkeit klar regelt. Es liegt ausserdem sowohl im Interesse des Betriebes wie des Ethischen Hackers, dass eine koordinierte Offenlegung vereinbart wird, bei der die \u00d6ffentlichkeit informiert wird, nachdem die L\u00fccke geschlossen ist. Insbesondere in den Niederlanden hat man mit den Vulnerability Disclosure Guidelines seit Jahren gute Erfahrungen gemacht.
Bug Bounty Programme dienen der systematischen Durchforschung eines Sicherheitssystems durch Ethische Hacker auf Aufforderung des Unternehmens, um so gezielt nach Schwachstellen zu suchen.
Staatsbetriebe und staatsnahe Betriebe haben eine wichtige Vorbildrolle gegen\u00fcber der Wirtschaft und Gesellschaft. Mit der Insitutionalisierung von Ethischem Hacking senden sie wichtige Signale in Bezug auf ihren kompromisslosen Willen zur Verteidigung ihrer IT-Systeme.
","DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Der Bundesrat beantragt die Annahme des Postulates.","FederalCouncilProposal":18,"FederalCouncilProposalText":"Der Bundesrat beantragt die Annahme des Postulates.","FederalCouncilProposalDate":"\/Date(1613520000000)\/","SubmittedBy":"Bellaiche Judith","BusinessStatus":229,"BusinessStatusText":"Erledigt","BusinessStatusDate":"\/Date(1717583183000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"Departement f\u00fcr Verteidigung, Bev\u00f6lkerungsschutz und Sport","ResponsibleDepartmentAbbreviation":"VBS","IsLeadingDepartment":true,"Tags":"4|9|24|34|1216","Category":null,"Modified":"\/Date(1717669607733)\/","SubmissionDate":"\/Date(1608163200000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Nationalrat","SubmissionCouncilAbbreviation":"NR","SubmissionSession":5107,"SubmissionLegislativePeriod":51,"FirstCouncil1":1,"FirstCouncil1Name":"Nationalrat","FirstCouncil1Abbreviation":"NR","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Staatspolitik|Sicherheitspolitik|Finanzwesen|Medien und Kommunikation|Strafrecht"}}