Bundesrat \u00fcberweist Botschaft zur Meldepflicht f\u00fcr Cyberangriffe bei kritischen Infrastrukturen
Der Bundesrat will eine Meldepflicht f\u00fcr Cyberangriffe bei kritischen Infrastrukturen einf\u00fchren. Zu diesem Zweck hat er an seiner Sitzung vom 2. Dezember 2022 die Botschaft zur \u00c4nderung des Bundesgesetzes \u00fcber die Informationssicherheit beim Bund gutgeheissen und zuhanden des Parlaments verabschiedet. Die Vorlage schafft die gesetzlichen Grundlagen zur Meldepflicht f\u00fcr Betreiberinnen und Betreiber kritischer Infrastrukturen und definiert die Aufgaben des Nationalen Zentrums f\u00fcr Cybersicherheit (NCSC), welches als zentrale Meldestelle f\u00fcr Cyberangriffe vorgesehen ist.
Erfolgreiche Cyberangriffe k\u00f6nnen weitreichende Folgen f\u00fcr die Verf\u00fcgbarkeit und Sicherheit der Schweizer Wirtschaft haben. Die Bev\u00f6lkerung, Beh\u00f6rden und Unternehmen sind t\u00e4glich dem Risiko eines Cyberangriffs ausgesetzt. Heute fehlt eine \u00dcbersicht dar\u00fcber, welche Angriffe wo stattgefunden haben, da Meldungen an das NCSC nur auf freiwilliger Basis erfolgen. Dank einer Meldepflicht erh\u00e4lt das NCSC k\u00fcnftig eine bessere \u00dcbersicht \u00fcber die in der Schweiz erfolgten Cyberangriffe und die Vorgehensweisen der Angreifer. Dadurch wird eine bessere Einsch\u00e4tzung der Bedrohungslage m\u00f6glich und Betreiberinnen und Betreiber kritischer Infrastrukturen k\u00f6nnen fr\u00fchzeitig gewarnt werden. Der Bundesrat will durch die Meldepflicht sicherstellen, dass alle Betreiberinnen und Betreiber von kritischen Infrastrukturen am Informationsaustausch teilnehmen und so zur Fr\u00fchwarnung beitragen.
Vernehmlassung zeigte breite Unterst\u00fctzung einer Meldepflicht
An seiner Sitzung vom 2. Dezember 2022 hat der Bundesrat zudem Kenntnis genommen vom Ergebnis des Vernehmlassungsverfahrens zum Gesetzesentwurf. Insgesamt gingen 99 Stellungnahmen von Kantonen, Betreiberinnen und Betreiber kritischer Infrastrukturen sowie Vertretenden aus Forschung und Wirtschaft ein. Die Vernehmlassung zeigte eine breite Zustimmung f\u00fcr die Vorlage. Die Einf\u00fchrung einer Meldepflicht und die Verankerung des NCSC als nationale Meldestelle werden als wichtige Schritte zu einer Verbesserung der Cybersicherheit in der Schweiz erachtet. Ein wichtiges in der Vernehmlassung genanntes Anliegen ist zudem, dass die Meldepflicht m\u00f6glichst unb\u00fcrokratisch umgesetzt wird und keinen grossen Zusatzaufwand mit sich bringt.
Unterst\u00fctzung des NCSC bei Cyberangriffen
Um eine Meldung so einfach wie m\u00f6glich zu gestalten, wird das NCSC ein elektronisches Meldeformular zur Verf\u00fcgung stellen. Meldungen k\u00f6nnen dadurch einfach erfasst und auf Wunsch direkt weiteren Stellen \u00fcbermittelt werden. Die Gesetzesvorlage verpflichtet zudem nicht nur die Unternehmen zur Mitwirkung beim Schutz vor Cyberangriffen, sondern auch das NCSC, den Meldenden subsidi\u00e4re Unterst\u00fctzung bei der Reaktion auf Cyberangriffe anzubieten. Das Gesetz definiert ausserdem, wie das NCSC die Wirtschaft und Bev\u00f6lkerung beim Schutz vor Cyberbedrohungen unterst\u00fctzt. Es regelt dazu insbesondere die Funktion des NCSC als Anlaufstelle f\u00fcr Fragen zu Cyberbedrohungen und als Meldestelle f\u00fcr Schwachstellen.
","Proceedings":"Nationalrat will eine Meldepflicht f\u00fcr Cyberangriffe einf\u00fchren
Betreiber kritischer Infrastrukturen sollen Cyberangriffe mit grossem Schadenspotenzial k\u00fcnftig melden m\u00fcssen, innerhalb von 24 Stunden. Das hat der Nationalrat entschieden. Wer der Meldepflicht vors\u00e4tzlich nicht nachkommt, riskiert eine Busse.
Die grosser Kammer hiess die n\u00f6tigen \u00c4nderungen im Bundesgesetz \u00fcber die Informationssicherheit beim Bund am Donnerstag mit 132 zu 55 Stimmen gut. Die Nein-Stimmen kamen von der SVP. Die Vorlage geht nun an den St\u00e4nderat.
Auch schwerwiegende Schwachstellen
Auf Antrag seiner Sicherheitspolitischen Kommission (SIK-N) beschloss der Nationalrat eine Ausweitung der Meldepflicht. Diese soll neben Cyberangriffen mit grossen Schadenspotenzial auch schwerwiegende Schwachstellen in Computersystemen umfassen. Die Kommission versprach sich davon eine pr\u00e4ventive Wirkung.
Zentrale Meldestelle f\u00fcr Cyberangriffe soll das Nationale Zentrum f\u00fcr Cybersicherheit (NCSC) sein. Dieses soll ein elektronisches Meldeformular zur Verf\u00fcgung stellen. Meldungen k\u00f6nnten dadurch einfach erfasst und auf Wunsch direkt weiteren Stellen \u00fcbermittelt werden, schrieb der Bundesrat.
Sprecher mehrerer Fraktionen sahen die Schweiz im internationalen Vergleich im R\u00fcckstand. \"Gerade bei digitalen Kompetenzen sind wir relativ schlecht\", stellte Melanie Mettler (GLP/BE) fest.
Umstritten waren im Nationalrat die Frist zwischen Vorfall und Meldung sowie die Bussen f\u00fcr eine Verletzung der Meldepflicht. Auf Antrag der Mehrheit und des Bundesrates schrieb der Rat ins Gesetz, dass die Meldung innert 24 Stunden nach dem Vorfall beim NCSC gemacht werden muss.
Es gehe darum, rasch handeln zu k\u00f6nnen, sagte Ida Glanzmann (Mitte/LU). Es brauche keine kritische Analyse, sondern nur eine Anzeige, dass etwas passiert sei, doppelte Edith Graf-Litscher (SP/TG) nach. International habe sich eine Frist von 24 Stunden durchgesetzt, sagte Verteidigungsministerin Viola Amherd.
Busse f\u00fcr vors\u00e4tzlich unterlassene Meldung
Die SVP h\u00e4tte die Limite bei 72 Stunden setzen wollen, unterlag aber klar. Angegriffene seien zun\u00e4chst mit der Abwehr besch\u00e4ftigt, sagte David Zuberb\u00fchler (SVP/AR). Sie sollten zun\u00e4chst selbst Massnahmen ergreifen k\u00f6nnen und darum mehr Zeit f\u00fcr die Meldung erhalten.
Die SVP wollte auch auf Bussen von bis zu 100'000 Franken f\u00fcr die Verletzung der Meldepflicht verzichten. Statt staatlichen Zwang mit Bussenandrohung brauche es positive Anreize, Vorf\u00e4lle zu melden und einen m\u00f6glichst guten Informationsaustausch, sagte Zuberb\u00fchler. Von Angegriffenen gehe ja keine kriminelle Energie aus.
Der Nationalrat folgte aber auch hier mit 130 zu 55 Stimmen dem Bundesrat. Demnach riskiert eine Busse von bis zu 100'000 Franken, wer die Meldepflicht vors\u00e4tzlich nicht erf\u00fcllt, trotz Aufforderung.
Die Meldepflicht gilt zum Beispiel f\u00fcr Bundesrat und Parlament, die Bundesanwaltschaft, Armee, Hochschulen, Banken, Gesundheits- und Energieversorger, die SRG und Bahnunternehmen. Das NCSC steht Angegriffenen, die Meldung machen, unterst\u00fctzend zur Seite.
Verteidigungsministerin Amherd sah die Freiwilligkeit beim Melden an Grenzen gekommen. Einige Unternehmen meldeten Vorf\u00e4lle. Andere hingegen verzichteten darauf, profitierten aber dennoch davon. Eine Meldepflicht gebe es in vielen L\u00e4ndern, in der EU seit 2018.
Rund 22'000 Meldungen
Heute fehle eine \u00dcbersicht dar\u00fcber, welche Angriffe wo stattgefunden haben, da Meldungen an das NCSC freiwillig seien, schrieb der Bundesrat. Durch die Meldepflicht sollen k\u00fcnftig alle Betreiberinnen und Betreiber kritischer Infrastrukturen am Informationsaustausch teilnehmen und so zur Fr\u00fchwarnung beitragen.
2021 wurden dem NCSC rund 22'000 F\u00e4lle von Cyberkriminalit\u00e4t gemeldet - rund doppelt so viele wie 2020. Bei vielen der gemeldeten Vorf\u00e4lle handelt es sich allerdings um erkannte Angriffsversuche und nicht um erfolgreiche Angriffe. Der Bundesrat hatte das NCSC 2019 geschaffen.
Parlament will eine Meldepflicht bei Cyberangriffen einf\u00fchren
Betreiber kritischer Infrastrukturen sollen Cyberangriffe mit grossem Schadenspotenzial k\u00fcnftig melden m\u00fcssen, innerhalb von 24 Stunden. Das hat nach dem Nationalrat auch der St\u00e4nderat entschieden. Wer der Meldepflicht vors\u00e4tzlich nicht nachkommt, riskiert eine Busse.
Die kleine Kammer hiess am Donnerstag die n\u00f6tigen \u00c4nderungen im Informationssicherheitsgesetz als Zweitrat mit 42 zu 0 Stimmen gut. Die Vorlage geht zur Differenzbereinigung zur\u00fcck an den Nationalrat.
Dieser hatte im M\u00e4rz auf Antrag seiner Sicherheitspolitischen Kommission (SIK-N) eine Ausweitung der Meldepflicht beschlossen. Diese soll nicht nur Cyberangriffe mit grossem Schadenspotenzial umfassen, sondern auch schwerwiegende Schwachstellen in Computersystemen. Die Mehrheit im Nationalrat versprach sich davon pr\u00e4ventive Wirkung.
Keine Ausweitung der Meldepflicht
Im St\u00e4nderat lehnte diese Ausweitung mit 31 zu 13 Stimmen ab. Die Mehrheit erachtete die Meldepflicht als nicht zielf\u00fchrend, da nicht gen\u00fcgend Klarheit \u00fcber die Anzahl betroffener Unternehmen sowie die Art der zu meldenden Schwachstellen bestehe.
\"Die Ausweitung h\u00e4tte einen unbestimmten Mehraufwand f\u00fcr die Betriebe und die Meldestelle zur Folge\", sagte Hans Wicki (FDP/NW). Zudem k\u00f6nne der Begriff \"Schwachstelle\" unterschiedlich ausgelegt werden. Es bestehe Rechtsunsicherheit.
Kommissionssprecherin Andrea Gm\u00fcr-Sch\u00f6nenberger (Mitte/LU) hielt entgegen, dass es sinnvoll w\u00e4re, Schwachstellen zu melden, damit andere Unternehmen, die mit derselben Software arbeiten, vorgewarnt w\u00fcrden. Mathias Zopfi (Gr\u00fcne/GL) versuchte die Kritiker der Ausweitung der Meldepflicht zu beruhigen. \"Wenn Sie eine Cyberschwachstelle haben, sollte es drin liegen, ein Onlineformular auszuf\u00fcllen.\"
Bussen bis zu 100'000 Franken
Verteidigungsministerin Viola Amherd sagte im St\u00e4nderat, dass der Bundesrat mit beiden L\u00f6sungen leben k\u00f6nne - mit oder ohne erweiterte Meldepflicht von Schwachstellen. Zentral sei aber, die Meldepflicht von Cyberangriffen rasch einzuf\u00fchren. Diese seien \"eine zentrale Bedrohung f\u00fcr Gesellschaft, Staat und Wirtschaft\".
Zentrale Meldestelle f\u00fcr Cyberangriffe soll das Nationale Zentrum f\u00fcr Cybersicherheit (NCSC) sein. Dieses soll ein elektronisches Meldeformular zur Verf\u00fcgung stellen. Meldungen k\u00f6nnten dadurch einfach erfasst und auf Wunsch direkt weiteren Stellen \u00fcbermittelt werden, schrieb der Bundesrat in der Botschaft zur Vorlage.
Wer der Meldepflicht vors\u00e4tzlich nicht nachkommt, soll mit bis zu 100'000 Franken geb\u00fcsst werden k\u00f6nnen. Die Meldepflicht gilt zum Beispiel f\u00fcr Bundesrat und Parlament, die Bundesanwaltschaft, die Armee, Hochschulen, Banken, Gesundheits- und Energieversorger, die SRG und Bahnunternehmen. Das NCSC steht Angegriffenen, die Meldung machen, unterst\u00fctzend zur Seite.
F\u00e4lle von Cyberangriffen nehmen zu
Heute fehle eine \u00dcbersicht dar\u00fcber, welche Angriffe wo stattgefunden h\u00e4tten, da Meldungen an das NCSC freiwillig seien, schrieb der Bundesrat in der Botschaft. Durch die Meldepflicht sollen k\u00fcnftig alle Betreiberinnen und Betreiber kritischer Infrastrukturen am Informationsaustausch teilnehmen und so zur Fr\u00fchwarnung beitragen.
Verteidigungsministerin Amherd sah die Freiwilligkeit beim Melden an Grenzen gekommen. Einige Unternehmen meldeten Vorf\u00e4lle. Andere hingegen verzichteten darauf, profitierten aber von Meldungen anderer. Eine Meldepflicht gebe es in vielen L\u00e4ndern, in der EU seit 2018.
Nationalrat f\u00fcr Kompromiss bei Meldepflicht von Cybervorf\u00e4llen
Betreiber kritischer Infrastrukturen sollen Cyberangriffe mit grossem Schadenspotenzial k\u00fcnftig melden m\u00fcssen. Darauf haben sich die R\u00e4te bereits geeinigt. Noch umstritten ist aber, wie weit die Meldepflicht gehen soll.
Die grosse Kammer befasste sich am Montag zum zweiten Mal mit dem Informationssicherheitsgesetz. Der Nationalrat hatte in der ersten Beratungsrunde die vom Bundesrat vorgeschlagene Meldepflicht ausweiten und auch schwerwiegende Schwachstellen in Systemen meldepflichtig machen wollen. Der St\u00e4nderat wollte das bisher nicht.
Die Mehrheit der Sicherheitspolitischen Kommission beantragte nun einen Kompromiss. Den Antrag, eigene Entwicklungen der Unternehmen von der Meldepflicht auszunehmen, nahm der Rat mit 102 zu 80 Stimmen an. Spezifische Eigenentwicklungen w\u00fcrden von anderen Betreibern nicht eingesetzt, sagte Sprecher Gerhard Andrey (Gr\u00fcne/FR) dazu.
SVP und FDP lehnten die Meldepflicht f\u00fcr Schwachstellen ab und wollten dem St\u00e4nderat folgen. Es bestehe das Risiko, dass gemeldete Schwachstellen von Hackern angegriffen und Daten in die H\u00e4nde von Kriminellen gelangen w\u00fcrden, bevor die Sicherheitsl\u00fccken behoben seien, gab David Zuberb\u00fchler (SVP/AR) zu bedenken.
Bundesr\u00e4tin Viola Amherd f\u00fcgte an, dass eine Ausweitung der Meldepflicht eine Vielzahl von Meldungen ausl\u00f6sen w\u00fcrde, weil nicht klar definiert sei, was eine Schwachstelle sei. Auch den Kompromissvorschlag beurteile die Wirtschaft kritisch.
Abweichung
Parlament versenkt Meldepflicht f\u00fcr gravierende Schwachstellen
Betreiber von kritischen Infrastrukturen wie etwa Gesundheits- und Energieversorger und Bahnunternehmen werden k\u00fcnftig Cyberangriffe mit grossem Schadenspotenzial dem Bund melden m\u00fcssen. Wenn sie aber schwerwiegende Schwachstellen in ihren Informatiksystemen feststellen, m\u00fcssen sie das nicht tun.
Darauf haben sich die Eidgen\u00f6ssischen R\u00e4te geeinigt und damit die Beratung von \u00c4nderungen am Informationssicherheitsgesetz abgeschlossen. Der Nationalrat beschloss am Donnerstagmorgen, sich der Position des St\u00e4nderats anzuschliessen und auf eine Meldepflicht f\u00fcr schwerwiegende Schwachstellen zu verzichten.
Im Rat hiess es, es sei besser, jetzt die letzte Differenz zur kleinen Kammer auszur\u00e4umen, als noch mit dem Gesch\u00e4ft in die Einigungskonferenz zu gehen. Die \u00c4nderung des Informationssicherheitsgesetzes ist nun bereit f\u00fcr die Schlussabstimmungen am Ende der Herbstession in den beiden R\u00e4ten.
Die Gegner der Meldepflicht auch f\u00fcr schwerwiegende Schwachstellen argumentierten im St\u00e4nderat, eine solche Bestimmung w\u00e4re nicht zielf\u00fchrend. Es fehlte an gen\u00fcgend Klarheit \u00fcber die Anzahl betroffener Unternehmen sowie die Art der zu meldenden Schwachstellen. Eine Ausweitung der Meldepflicht w\u00fcrde eine Vielzahl von Meldungen ausl\u00f6sen, weil nicht klar definiert sei, was eine Schwachstelle sei.
Vergeblich versuchte der Nationalrat zu Beginn der Herbstsession, eine Br\u00fccke zum St\u00e4nderat zu schlagen. Dies, indem er vorschlug, gravierende Schwachstellen in Eigenentwicklungen der kritischen Infrastrukturbetreiber m\u00fcssten nicht gemeldet werden. Denn spezifische Eigenentwicklungen w\u00fcrden von anderen Betreibern nicht eingesetzt. Auf diesen Kompromissvorschlag ging der St\u00e4nderat am Dienstag nicht ein.
Wer nicht meldet, wird geb\u00fcsst
Laut der nun bereinigten Vorlage wird das Nationale Zentrum f\u00fcr Cybersicherheit (NCSC) die zentrale Meldestelle f\u00fcr Cybervorf\u00e4lle sein. Dieses soll ein elektronisches Meldeformular zur Verf\u00fcgung stellen. Meldungen k\u00f6nnten dadurch einfach erfasst und auf Wunsch direkt weiteren Stellen \u00fcbermittelt werden, schrieb der Bundesrat in der Botschaft zur Vorlage.
Wer der Meldepflicht vors\u00e4tzlich nicht nachkommt, soll mit bis zu 100'000 Franken geb\u00fcsst werden k\u00f6nnen. Die Meldepflicht gilt zum Beispiel f\u00fcr Bundesrat und Parlament, die Bundesanwaltschaft, die Armee, Hochschulen, Banken, Gesundheits- und Energieversorger, die SRG und Bahnunternehmen. Das NCSC steht Angegriffenen, die Meldung machen, unterst\u00fctzend zur Seite.
2021 wurden dem NCSC rund 22'000 F\u00e4lle von Cyberkriminalit\u00e4t gemeldet - rund doppelt so viele wie 2020. Bei vielen der gemeldeten Vorf\u00e4lle handelt es sich allerdings um erkannte Angriffsversuche und nicht um erfolgreiche Angriffe. Der Bundesrat hatte das NCSC 2019 geschaffen.