2022 wurde \u00fcber die Resultate der Administrativuntersuchung Oberholzer im Zusammenhang mit Informationsbeschaffungen des Nachrichtendienstes des Bundes (NDB) im Bereich Cyber berichtet. Kurz vorher hatte der Bundesrat entschieden, das Nationale Zentrum f\u00fcr Cybersicherheit (NCSC) ab 1.1.2024 im VBS anzusiedeln.
Im Bericht Oberholzer wurde empfohlen, \u00fcber eine \u00abvollst\u00e4ndige Herausl\u00f6sung des Ressorts Cyber NDB aus dem NDB und die Schaffung eines eigenst\u00e4ndigen Expertenpools f\u00fcr die Analyse von Daten des Netzwerkverkehrs\u00bb nachzudenken. Diese sei \u00absinnvollerweise wohl beim NCSC anzusiedeln und st\u00fcnde so allen Organisationseinheiten des Bundes, die im Bereich der Cybersicherheit t\u00e4tig sind, zur Verf\u00fcgung.\u00bb
Am 7.12.2023, kurz vor der \u00dcbersiedlung des NCSC ins VBS, vermelden Medien, dass es zu einem wahren Exodus der Top-Experten gekommen sei: 6 von 9 Spezialisten der Cyber-Schnell-Eingreifgruppe \u00abGovCERT\u00bb machen den Wechsel ins VBS nicht mit, insgesamt verlassen gut 20% der Angestellten das NCSC. Es w\u00fcrden sich \u00abethische Konflikte\u00bb zeigen, die Mitarbeitenden des NCSC seien darum bem\u00fcht, Sicherheitsl\u00fccken zum Schutz der Zivilgesellschaft und der Wirtschaft zu schliessen. Der NDB und das VBS h\u00e4tten jedoch Interesse daran, Sicherheitsl\u00fccken offen zu lassen, weil sie diese zur Informationsgewinnung nutzen wollten.
In der Administrativuntersuchung wurde 2022 gesagt, der damalige Chef des Ressorts Cyber NDB habe \u00abf\u00fcr rechtliche Vorgaben und institutionalisierte Prozessabl\u00e4ufe innerhalb eines staatlichen Dienstes wenig Verst\u00e4ndnis\u00bb gezeigt und dessen Chef habe ihn gew\u00e4hren lassen.
Zu 1) Das neue Bundesamt f\u00fcr Cybersicherheit (BACS) \u00fcbernimmt unver\u00e4ndert die Aufgaben des Nationalen Zentrums f\u00fcr Cybersicherheit (NCSC). Diese sind komplement\u00e4r zu den Aufgaben des Nachrichtendienstes des Bundes (NDB). Der NDB ist ein sicherheitspolitisches Instrument, das pr\u00e4ventiv wirkt. Er ist zust\u00e4ndig f\u00fcr die fr\u00fchzeitige Erkennung sowie Verhinderung von Bedrohungen der inneren und \u00e4usseren Sicherheit, die u. a. von Cyberangriffen ausgehen.
Sowohl der NDB als auch das BACS unterstehen der direkten F\u00fchrung der Departementschefin des VBS. Beide entwickeln ihre Betriebskultur so, dass sie ihre Aufgaben im Rahmen der Nationalen Cyberstrategie (NCS) zum Schutz der Schweiz vor Cyberrisiken bestm\u00f6glich erf\u00fcllen k\u00f6nnen.
Die NCS definiert die Verantwortlichkeiten und Zust\u00e4ndigkeiten von Gesellschaft, Wirtschaft und Staat. Alle Departemente und \u00c4mter der Bundesverwaltung arbeiten komplement\u00e4r mit dem gleichen Ziel: den Schutz der Bev\u00f6lkerung vor Cyberrisiken zu erh\u00f6hen. Dies gilt auch f\u00fcr das BACS und den NDB.
Zu 2) Das Parlament hat am 29. September 2023 der Revision des Informationssicherheitsgesetzes (ISG; SR 128) zur Einf\u00fchrung einer Meldepflicht f\u00fcr Cyberangriffe bei kritischen Infrastrukturen zugestimmt. Artikel 73b Absatz 3 verpflichtet das BACS, k\u00fcnftig die Herstellerinnen von Hard- oder Softwareprodukten umgehend zu informieren, wenn es Kenntnis von einer Schwachstelle in diesen Produkten erh\u00e4lt. Damit wird gesetzlich geregelt, dass das BACS den Prozess der koordinierten Offenlegung von Schwachstellen umsetzt.
Die Aufgaben des NDB sind im Artikel 6 des Nachrichtendienstgesetzes (NDG; SR 121) festgehalten. Alle nachrichtendienstlichen Aktivit\u00e4ten des NDB, die offensiver Natur sind (z. B. die Nutzung von Schwachstellen, vgl. Art. 26 NDG), erfolgen nach einem gesetzlich definierten Genehmigungsverfahren.
Zu 3) Ein automatischer Austausch findet nicht statt. Der NDB hat zudem keinen Zugriff auf Informationen des BACS \u00fcber Schwachstellen. Das BACS gew\u00e4hrt dem NDB Zugriff auf Informationen, welche die Identit\u00e4t und Vorgehensweise von Angreifern betreffen. Die \u00dcberwachung der Informationsbearbeitung durch den NDB erfolgt im Rahmen der Aufsicht \u00fcber die T\u00e4tigkeiten des NDB. Der in der Vergangenheit etablierte Datenaustausch zwischen BACS (bzw. fr\u00fcher NCSC) und dem NDB wird wie bisher weitergef\u00fchrt und ist ebenfalls im NDG und im revidierten ISG geregelt. Mit der Ansiedlung des BACS im VBS \u00e4ndert sich nichts an dieser Praxis.
Zu 4) Das Bundespersonalgesetz (BPG; SR 172.220.1) regelt die Anzeigepflichten und -rechte aller Bundesmitarbeitenden in Art. 22a. Die dem BPG unterstellten Angestellten sind verpflichtet, alle von Amtes wegen zu verfolgenden Verbrechen und Vergehen, die sie bei ihrer amtlichen T\u00e4tigkeit feststellen oder von denen sie erfahren, ihren Vorgesetzten, den Strafverfolgungsbeh\u00f6rden oder der Eidgen\u00f6ssischen Finanzkontrolle (EFK) anzuzeigen (Abs. 1). In Absatz 4 ist ein generelles Recht verankert, dass Angestellte auch andere Unregelm\u00e4ssigkeiten der EFK melden d\u00fcrfen, die sie bei ihrer amtlichen T\u00e4tigkeit feststellen oder von denen sie erfahren.
Der EFK ist es aufgrund ihrer Funktion m\u00f6glich, im Rahmen ihrer Aufsichtst\u00e4tigkeit diskret und vor Ort die Plausibilit\u00e4t der erhobenen Vorw\u00fcrfe zu pr\u00fcfen. Sie ist von Gesetzes wegen verpflichtet, M\u00e4ngel in der Organisation, der Verwaltungsf\u00fchrung oder in der Aufgabenerf\u00fcllung, die sie bei der Aus\u00fcbung ihrer Aufsichtst\u00e4tigkeit feststellt, der zust\u00e4ndigen Verwaltungseinheit zur Kenntnis zu bringen und sich \u00fcber die getroffenen Massnahmen Bericht erstatten zu lassen (Art. 13 Abs. 2 Finanzkontrollgesetz, SR 614.0).
Das bestehende Anzeigesystem gilt f\u00fcr alle Angestellten des Bundes. Eine direkte Meldem\u00f6glichkeit an die AB-ND oder die GPDel durch Mitarbeiterinnen und Mitarbeiter ist weder vorgesehen noch notwendig.