Cyberangriffe stellen eine erhebliche Bedrohung f\u00fcr die kritischen Infrastrukturen in der Schweiz und damit auch f\u00fcr die Schweizer Bev\u00f6lkerung dar. Im September 2023 hat das Parlament eine Revision des Informationssicherheitsgesetzes (ISG) verabschiedet, die ab dem 1. Januar 2025 eine Meldepflicht f\u00fcr Cyberangriffe auf kritische Infrastrukturen vorsieht. Das revidierte ISG weist dem Bundesamt f\u00fcr Cybersicherheit (BACS) die Aufgabe zu, Meldungen zu Cybervorf\u00e4llen und -bedrohungen entgegenzunehmen und zu bearbeiten (Art. 73a ISG).
Eine der sensibelsten kritischen Infrastrukturen ist das Gesundheitswesen, insbesondere die Spit\u00e4ler. Um diesen Sektor besser zu sch\u00fctzen, hat das BACS das Projekt \u00abHealthcare \u2013 Cyber Security Centre\u00bb lanciert, das sich aktuell in der Umsetzungsphase befindet. Ziel des Projekts ist es, die Spit\u00e4ler besser vor Cyberangriffen zu sch\u00fctzen.
In diesem Zusammenhang bitte ich den Bundesrat um die Beantwortung der folgenden Fragen:
Zu 1) Mit der Schaffung des Bundesamts f\u00fcr Cybersicherheit (BACS) hat der Bundesrat beschlossen, die zivile Cybersicherheit zu st\u00e4rken. Er hat die personellen Mittel des BACS stark ausgebaut. Die Anzahl Mitarbeitende wurde seit 2020 von 28 (im damaligen Nationalen Zentrum f\u00fcr Cybersicherheit) auf aktuell 67 Mitarbeitende erh\u00f6ht. Bei diesem Ausbau wurde antizipiert, dass das BACS mit dem revidierten Informationssicherheitsgesetz (ISG; SR 128) zus\u00e4tzliche Aufgaben \u00fcbernimmt. Der Bundesrat wird pr\u00fcfen, ob der Ausbau ausreichend ist, um sicherzustellen, dass das BACS seine Aufgaben vollumf\u00e4nglich wahrnehmen kann.
Zu 2) Die Spit\u00e4ler geh\u00f6ren zu den kritischen Infrastrukturen der Schweiz, weshalb ihr Schutz vor Cyberbedrohungen h\u00f6chste Priorit\u00e4t hat. In der Schweiz gab es in den vergangenen f\u00fcnf Jahren nur vereinzelt erfolgreiche Cyberangriffe auf Spit\u00e4ler. Im gleichen Zeitraum kam es in anderen L\u00e4ndern (z.B. Frankreich, England) zu verschiedenen erfolgreichen Cyberangriffen mit unmittelbaren Auswirkungen auf den Betrieb grosser Spit\u00e4ler. Dies zeigt, dass die Schweizer Spit\u00e4ler sich verh\u00e4ltnism\u00e4ssig erfolgreich gesch\u00fctzt haben. Die Herausforderungen bleiben aber gross und der Schutz vor Cyberbedrohungen muss weiter ausgebaut werden.
Zu 3) Das Projekt \u00abHealthcare - Cyber Security Centre\u00bb des Gesundheitssektors b\u00fcndelt die Kr\u00e4fte von Schweizer Spit\u00e4lern, des BACS und weiteren Akteuren zur St\u00e4rkung der Cybersicherheit. Das Projekt befindet sich in der Anfangsphase, zeigt jedoch durch die effektive Zusammenarbeit aller Beteiligten bereits vielversprechende Fortschritte.
Zu 4 und 5) Einheitliche Standards und Best Practices sind wichtige Faktoren bei der St\u00e4rkung der Cybersicherheit. Solche bestehen auch bereits f\u00fcr den Gesundheitssektor. F\u00fcr Spit\u00e4ler hat der Verband H+ Leitlinien mit Mindestanforderungen f\u00fcr IT-Sicherheit von Drittsystemen definiert. Das BACS hat zudem 2022 in Absprache mit der Gesundheitsdirektorenkonferenz Best Practices f\u00fcr den Gesundheitssektor ver\u00f6ffentlicht.
Die Verantwortung f\u00fcr die Cybersicherheit liegt bei den Spit\u00e4lern selber. Rechtlich sind sie nach Art. 74 der Medizinprodukteverordnung (SR 812.213) verpflichtet, netzwerkf\u00e4hige Produkte nach Stand der Technik vor Cyberbedrohungen zu sch\u00fctzen. Die Kantone erlassen f\u00fcr Listenspit\u00e4ler Vorgaben und k\u00f6nnen sich dabei an den vorhandenen Leitlinien und Best Practices der Verb\u00e4nde und des BACS orientieren. So gelingt es, einheitliche Standards unter Wahrung bestehender Kompetenzen einzuf\u00fchren.
Zu 6) Ja, die Aufgabenteilung ist unabh\u00e4ngig von der Lage geregelt und etabliert: Das BACS unterst\u00fctzt Spit\u00e4ler subsidi\u00e4r bei Cyberangriffen (Art. 74 ISG). Der Nachrichtendienst des Bundes ist f\u00fcr die fr\u00fchzeitige Erkennung sowie Verhinderung von Cyber-Bedrohungen zust\u00e4ndig (Art. 6 Abs. 1 Bst. a Ziff. 4 NDG; SR 121) und kann gest\u00fctzt auf Art. 26 Abs. 1 Bst. d Ziff. 2 und Art. 37 Abs. 2 NDG Massnahmen ergreifen, um Computersysteme aufzukl\u00e4ren, die genutzt werden, um Betreiber von kritischen Infrastrukturen anzugreifen. F\u00fcr die Strafverfolgung sind kantonale Beh\u00f6rden oder im Falle einer Bundeszust\u00e4ndigkeit nach Art. 23 und Art. 24 der Strafprozessordnung (SR 312) die Bundesanwaltschaft zusammen mit der Bundeskriminalpolizei zust\u00e4ndig.