Abstimmung - Vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Mehrheit ... 102 Stimmen[GZ]
\nF\u00fcr den Antrag der Minderheit ... 80 Stimmen[GZ]
\n(0 Enthaltungen)
\nDer St\u00e4nderat lehnt die vom Nationalrat beschlossene Ausweitung der Meldepflicht auf Schwachstellen in kritischen Systemen ab. Er folgt damit dem Entwurf des Bundesrates und tr\u00e4gt den Bedenken der Wirtschaft Rechnung. Seitens der Wirtschaft wird bef\u00fcrchtet, dass die Ausweitung zu einer Vielzahl von Meldungen f\u00fchren k\u00f6nnte, weil nicht klar genug definiert wird, was[NB]eine[NB]Schwachstelle ist und ab wann sie meldepflichtig sein soll.
\nIhre Sicherheitspolitische Kommission hat einen Kompromissantrag angenommen. Es sind damit nur noch Schwachstellen meldepflichtig, die bei eingekaufter Soft- und Hardware entdeckt werden. Einzelfehler bei Eigenentwicklungen der betroffenen Unternehmen werden von der Meldepflicht ausgeschlossen. Auch diesem Kompromissantrag stehen Exponenten der Wirtschaft kritisch gegen\u00fcber; sie sind skeptisch bez\u00fcglich einer Ausweitung der Meldepflicht. Einerseits wird bef\u00fcrchtet, dass der Bund eine zentrale Datenbank mit gemeldeten Schwachstellen unterhalten m\u00fcsste, die zum Ziel von Hackerangriffen werden k\u00f6nnte. Andererseits wird infrage gestellt, ob die Meldepflicht f\u00fcr Schwachstellen bei betriebskritischen Systemen wirklich zu einer massgeblichen Verbesserung der pr\u00e4ventiven Fr\u00fchwarnung f\u00fchren kann.
\nBeim Entscheid, ob eine Meldepflicht f\u00fcr Schwachstellen eingef\u00fchrt werden soll, gilt es grunds\u00e4tzlich abzuw\u00e4gen, ob die St\u00e4rkung der Fr\u00fchwarnung vor unbekannten Schwachstellen den Mehraufwand einer Meldepflicht rechtfertigt. Der Bundesrat ist der Ansicht, dass der Meldeaufwand im Vergleich zum erwarteten Mehrwert zu gross ist und dass die Meldung von Schwachstellen weiterhin freiwillig erfolgen soll. Auf dieser Basis kann das f\u00fcr den Informationsaustausch zu Schwachstellen n\u00f6tige Vertrauen zwischen Staat und Wirtschaft weiter ausgebaut werden.
\nIch bitte Sie, dem Antrag des Bundesrates und des St\u00e4nderates zu folgen und die Ausweitung der Meldepflicht auf Schwachstellen abzulehnen.
\nLa s\u00e9curit\u00e9 informatique est l'affaire de toutes et tous. C'est ensemble que nous pourrons d\u00e9tecter et corriger les vuln\u00e9rabilit\u00e9s \u00e0 temps. C'est particuli\u00e8rement le cas pour les infrastructures critiques. Une obligation d'annonce des failles de vuln\u00e9rabilit\u00e9 est, en ce sens, extr\u00eamement importante. Ce ne sera pas un monstre bureaucratique, et cela ne doit pas engendrer un climat de m\u00e9fiance qui nuirait \u00e0 la coop\u00e9ration. Si nous pouvons comprendre que cette nouveaut\u00e9 n'ait, en soi, pas fait l'objet d'une consultation et que certains cantons ou groupes d'int\u00e9r\u00eat souhaiteraient en faire un objet s\u00e9par\u00e9, il nous semble \u00e0 l'inverse qu'elle s'inscrit parfaitement dans le cadre du projet qui a \u00e9t\u00e9 dessin\u00e9 par le Conseil f\u00e9d\u00e9ral.
\nUn r\u00e9cent sondage a montr\u00e9 que presque la moiti\u00e9 des grandes entreprises suisses ont \u00e9t\u00e9 touch\u00e9es par une cyberattaque; c'est donc aussi dans leur int\u00e9r\u00eat. Nous sommes persuad\u00e9s qu'une solution avec elles et pour elles pourra \u00eatre dessin\u00e9e.
\nLe groupe des Verts soutient donc la proposition de la majorit\u00e9 de la commission.
\nC'est un pont en direction du Conseil des Etats, qui pourra lui-m\u00eame encore une fois am\u00e9liorer le projet s'il le souhaite. Mais, s'il vous pla\u00eet, ne jetez pas le b\u00e9b\u00e9 avec l'eau du bain; en effet, si nous acceptons aujourd'hui la proposition de minorit\u00e9 Zuberb\u00fchler, il n'existera plus de divergences avec la version du Conseil des Etats, et cette proposition, qui a \u00e9t\u00e9 accept\u00e9e assez largement par notre conseil au mois de mars, sera totalement abandonn\u00e9e.
\nMerci de soutenir la majorit\u00e9.
\nBeim Informationssicherheitsgesetz diskutieren wir heute \u00fcber die Grundsatzfrage, ob Schwachstellen gemeldet werden m\u00fcssen oder nicht. Wir von der Mitte-Fraktion sind nach wie vor der Meinung, dass erstens eine rasche Meldung eines Cyberangriffes erfolgen soll und dass zweitens danach auch Schwachstellen gemeldet werden sollen.
\nDie Kritik der Verb\u00e4nde erfolgte nach unserer ersten Beratung, mit der Begr\u00fcndung, dass ein administrativer Mehraufwand f\u00fcr Unternehmen und Staat geschaffen w\u00fcrde. Die Frage ist, ob wir noch eine gute L\u00f6sung, allenfalls eine Kompromissl\u00f6sung finden k\u00f6nnen, in deren Rahmen Schwachstellen trotzdem gemeldet werden m\u00fcssen, oder ob es allenfalls in eine Kann-Formulierung ge\u00e4ndert werden kann. Die Frage, ob ein Mehraufwand bei besserer Sicherheit nicht doch gerechtfertigt w\u00e4re, ist wohl berechtigt.
\nWir m\u00fcssen uns hier bewusst sein, dass es bei diesem Gesetz um kritische Infrastrukturen geht und nicht um kleine Firmen. Wenn wir jetzt ein neues Gesetz erarbeiten und nach einem halben Jahr genau diese Formulierung im Gesetz fehlt, w\u00fcrden wir von der Mitte-Fraktion das kaum verstehen. Die Mitte-Fraktion wird deshalb an der Differenz zum St\u00e4nderat festhalten, das heisst mit der Mehrheit stimmen, damit der St\u00e4nderat allenfalls noch einen Kompromiss ausarbeiten kann. Besten Dank, dass Sie dieses Vorgehen ebenfalls unterst\u00fctzen.
\nIch spreche zur Minderheit Zuberb\u00fchler zum 2. Abschnitt, in welchem es um die Pflicht zur Meldung von Cyberangriffen und Schwachstellen geht. Im Sinn der Effizienz spreche ich zeitgleich auch f\u00fcr die SVP-Fraktion.
\nIm Rahmen der Fr\u00fchjahrssession hat unser Rat die Einf\u00fchrung einer Meldepflicht bei Cyberangriffen auf kritische Infrastrukturen beschlossen. Zus\u00e4tzlich hat unser Rat in Abweichung zum Entwurf des Bundesrates der Einf\u00fchrung einer Pflicht zur Meldung von Schwachstellen zugestimmt. W\u00e4hrend der Sommersession hat auch der St\u00e4nderat als Zweitrat das Gesch\u00e4ft beraten. Dabei hat er, wohl auch deshalb, weil selbst der Bundesrat den inhaltlichen Erweiterungen der Meldepflicht skeptisch gegen\u00fcbersteht, die Ausweitung der Meldepflicht auf IT-Schwachstellen ziemlich deutlich verworfen.
\nAusschlaggebend daf\u00fcr war aber wohl nicht nur die skeptische Haltung des Bundesrates, sondern auch die kritische bzw. ablehnende Haltung der vielen Verb\u00e4nde und Unternehmen, die von dieser Erweiterung betroffen w\u00e4ren. Diese Verb\u00e4nde und Unternehmen haben ja einerseits Angst vor einer administrativen Mehrbelastung f\u00fcr die Unternehmen und den Staat. Andererseits haben sie Angst, dass die Sammlung von Informationen zu Schwachstellen bei einer zentralen staatlichen Stelle die kritischen Infrastrukturen mehr gef\u00e4hrdet, als sie diese sch\u00fctzt. Informationen zu allf\u00e4lligen Schwachstellen, die zu melden w\u00e4ren, k\u00f6nnten m\u00f6glicherweise problemlos in die H\u00e4nde von Hackern gelangen, was unter Umst\u00e4nden zu grossen Problemen f\u00fchren k\u00f6nnte. Wenn eine Schwachstellenmeldung von Hackern entdeckt wird, kann dies verschiedene Herausforderungen und Risiken mit sich bringen. In solchen F\u00e4llen besteht das Risiko, dass die Schwachstelle von Hackern ausgenutzt wird, bevor entsprechende Massnahmen ergriffen werden k\u00f6nnen, um sie zu beheben. Dies kann zu potenziellen Angriffen, Datenverlusten oder anderen Sicherheitsverletzungen f\u00fchren.
\nJa, die Bedenken der Verb\u00e4nde und der betroffenen Betreiberinnen kritischer Infrastrukturen sind nicht unberechtigt. Hacker haben ja erst im Juni mehrere Millionen Datens\u00e4tze des Bundesamtes f\u00fcr Polizei (Fedpol) und des Bundesamtes f\u00fcr Zoll und Grenzsicherheit (BAZG) im Darknet ver\u00f6ffentlicht; auch Daten der Milit\u00e4rpolizei landeten dort. Dabei nutzten die Hacker eine Schwachstelle auf den Servern eines Deutschschweizer Unternehmens, das diese potenziell heiklen Daten aufbewahrte. Der Vorfall wie auch der Umstand, dass beim Bund ganz offensichtlich ein Klumpenrisiko besteht, sind derart gravierend, dass der Bundesrat Ende Juni gar einen Krisenstab einberufen hat. Er tat das nicht zu Unrecht. Schliesslich handelte es sich beim Datenklau um einen Super-GAU, weil unter anderem Interpol-Anfragen sowie Sicherheitsdispositive f\u00fcr Staatsg\u00e4ste und Magistraten im Netz frei zug\u00e4nglich waren oder immer noch frei zug\u00e4nglich sind.
\nDas ebenfalls betroffene BAZG schr\u00e4nkte zwar die Tragweite des Cyberangriffes ein, weil Daten des Bundesamtes selbst nicht betroffen waren. Das BAZG r\u00e4umte aber dennoch ein, dass Daten aus der Korrespondenz mit Kunden betroffen waren - und wenn wir von \"Korrespondenz mit Kunden\" h\u00f6ren, dann schrillen bei uns nat\u00fcrlich die Alarmen.
\nDie Schwachstellen, die der St\u00e4nderat aus dem Informationssicherheitsgesetz streichen m\u00f6chte, m\u00fcssen ja auch in irgendeiner Form gemeldet werden. Wie die Vergangenheit gezeigt hat, ist es nicht ausgeschlossen, dass solche Daten eben in die H\u00e4nde von Hackern gelangen. Das ist brandgef\u00e4hrlich. Gef\u00e4hrlich ist es auch deshalb, weil Hacker immer einen Schritt voraus sind und weil die von einem Cyberangriff betroffenen Kreise erst dann reagieren k\u00f6nnen, wenn der Cybervorfall bereits passiert ist.
\nMeine Minderheit und die SVP-Fraktion sind heute der Meinung, dass der Fokus auf die Bew\u00e4ltigung von Cyberangriffen gelegt werden sollte. Eine Ausweitung auf Schwachstellen k\u00f6nnte den Bogen \u00fcberspannen, insbesondere auch deshalb, weil dazu gar keine Vernehmlassung durchgef\u00fchrt wurde und weil die Gefahr einfach zu gross ist, dass hochsensible Daten in die H\u00e4nde von Kriminellen gelangen k\u00f6nnten. Die Folgen k\u00f6nnten sein: gezielte Angriffe auf betroffene Systeme, Datenklau, unautorisierter Zugriff, Verkauf dieser Schwachstellenmeldungen auf dem Schwarzmarkt, Weitergabe an staatliche Akteure zwecks Durchf\u00fchrung von gezielten Cyberoperationen oder Spionageaktivit\u00e4ten, Einschleusung von Schadsoftware oder die Durchf\u00fchrung von anderen sch\u00e4dlichen Aktivit\u00e4ten.
\nDie SVP-Fraktion m\u00f6chte die einzige Differenz mit dem St\u00e4nderat ausr\u00e4umen. Ich mache Ihnen deshalb beliebt, die Minderheit Zuberb\u00fchler zu unterst\u00fctzen und dem St\u00e4nderat zu folgen.
\nGrunds\u00e4tzlich ist unbestritten, dass Cybersicherheit ein wichtiges Anliegen ist und dass kritische Infrastruktur bestm\u00f6glich gesch\u00fctzt werden soll. Die Einf\u00fchrung der Meldepflicht f\u00fcr Cyberangriffe ist daher eine wichtige Errungenschaft, die wir als SP-Fraktion seit L\u00e4ngerem gefordert haben und die wir ausdr\u00fccklich begr\u00fcssen.
\nDie Differenz zum St\u00e4nderat besteht darin, dass gem\u00e4ss dem Beschluss des Nationalrates auch eine Meldepflicht f\u00fcr [PAGE 1479] kritische Schwachstellen eingef\u00fchrt werden soll. Dagegen wehrt sich insbesondere die Wirtschaft, die darin einen erh\u00f6hten Aufwand sieht, die Definition von \"Schwachstelle\" als zu wenig klar erachtet und bezweifelt, dass damit mehr Sicherheit geschaffen w\u00fcrde.
\nEs kann durchaus sein, dass in der Version des Nationalrates noch einige - um es so zu sagen - Schwachstellen vorhanden sind. Aber deswegen ganz auf die Meldung der Schwachstellen zu verzichten, scheint uns zum jetzigen Zeitpunkt als verfr\u00fcht. Wir wissen, das wurde bereits in den vergangenen Debatten gesagt, dass die Schweiz in Sachen Cybersicherheit nicht an vorderster Front rangiert. Wir wissen auch, dass andere L\u00e4nder weit[NB]mehr[NB]f\u00fcr[NB]den[NB]Schutz[NB]von[NB]kritischen Infrastrukturen tun, gerade auch, wenn es um die Meldung von Schwachstellen geht.
\nWenn der Nationalrat hier jetzt also festh\u00e4lt, dann hat der St\u00e4nderat die M\u00f6glichkeit, den Artikel noch einmal anzuschauen, gegebenenfalls auch abzu\u00e4ndern, um den Bedenken etwas mehr Rechnung zu tragen. Wenn der Nationalrat aber dem Minderheitsantrag Zuberb\u00fchler zustimmt, dann ist das Thema vom Tisch. Man muss dazu sagen, dass die Diskussion in der st\u00e4nder\u00e4tlichen Kommission \u00fcberhaupt nicht klar war: Eine Mehrheit der Kommission war f\u00fcr diese Meldepflicht.
\nEin Verzicht scheint uns zum jetzigen Zeitpunkt wirklich nicht sinnvoll zu sein, gerade weil wir diese Probleme mit der Cybersicherheit haben.
\nAus diesem Grund bitte ich Sie im Namen der SP-Fraktion, der Mehrheit Ihrer Sicherheitspolitischen Kommission zu folgen und an dieser Meldepflicht festzuhalten.
\nLe projet qui nous occupe aujourd'hui \u00e9tablit l'obligation de signaler les cyberattaques contre les infrastructures critiques. Nous sommes au niveau des divergences. Il nous en reste encore une avec le Conseil des Etats, qui concerne une obligation d'annoncer les vuln\u00e9rabilit\u00e9s inconnues du public.
\nCette proposition d'ajouter cette obligation a \u00e9t\u00e9 suivie en premi\u00e8re lecture par une majorit\u00e9 forte de votre commission, et accept\u00e9e en pl\u00e9num. Depuis, le Conseil des Etats a refus\u00e9 s\u00e8chement la proposition, mais en indiquant qu'il \u00e9tait ouvert \u00e0 la recherche d'un compromis.
\nLa commission a donc reconsid\u00e9r\u00e9 sa position lors de sa s\u00e9ance du 19 juin et vous propose justement un compromis. L'obligation d'annonce a \u00e9t\u00e9 all\u00e9g\u00e9e, en ce sens qu'elle ne concerne plus les syst\u00e8mes d\u00e9velopp\u00e9s en interne de l'entreprise concern\u00e9e. Autrement dit, l'obligation d'annonce des vuln\u00e9rabilit\u00e9s reste, dans la proposition que nous vous [PAGE 1481] faisons aujourd'hui, lorsqu'il est fort probable qu'elle existe pour une autre infrastructure critique ou une organisation qui ne la conna\u00eetrait pas encore. Cela fait donc sens, aux yeux de la majorit\u00e9 de la commission, pour augmenter la s\u00e9curit\u00e9 face aux cyberattaques en comblant au plus vite les vuln\u00e9rabilit\u00e9s non connues du public.
\nLa commission a pris connaissance des griefs annonc\u00e9s par les milieux \u00e9conomiques. Ces arguments sont essentiellement les suivants: la crainte que les informations fournies au Centre national pour la cybers\u00e9curit\u00e9 (NCSC) puissent \u00eatre pirat\u00e9es et utilis\u00e9es \u00e0 des fins d'attaques, et une augmentation inconsid\u00e9r\u00e9e des t\u00e2ches administratives.
\nCes arguments ont convaincu la minorit\u00e9 de la commission, mais la majorit\u00e9 reste d'avis que le compromis propos\u00e9 permettrait d'augmenter la cybers\u00e9curit\u00e9 de nos infrastructures critiques et ne conduirait pas \u00e0 une augmentation inconsid\u00e9r\u00e9e des co\u00fbts. En effet, les infrastructures critiques doivent de toute mani\u00e8re g\u00e9rer et corriger les vuln\u00e9rabilit\u00e9s qu'elles constatent. Communiquer au Centre national pour la cybers\u00e9curit\u00e9 (NCSC) les vuln\u00e9rabilit\u00e9s non publi\u00e9es hors des syst\u00e8mes d\u00e9velopp\u00e9s en interne ne constituerait pas une t\u00e2che co\u00fbteuse ou inconsid\u00e9r\u00e9e du point de vue des efforts. Pour ce qui est de la crainte que les informations collect\u00e9es par le NCSC soient vol\u00e9es, il est bon de rappeler que le NCSC g\u00e8re d\u00e9j\u00e0 des annonces de vuln\u00e9rabilit\u00e9 non publi\u00e9es.
\nLa commission vous propose de soutenir le compromis par 14 voix contre 9 et 1 abstention.
\nEs ist f\u00fcr die Gr\u00fcnliberalen unbestritten, dass die Sicherheitsbeh\u00f6rden eine wichtige Rolle bei der Gew\u00e4hrleistung der Cybersecurity spielen. Cyberangriffe auf kritische Infrastrukturen sind bereits Teil der aktuellen \"Kriegsf\u00fchrung\"; wir sind solchen Angriffen bereits ausgesetzt. Um ihre Rolle zur Gew\u00e4hrleistung der Sicherheit wahrnehmen zu k\u00f6nnen, m\u00fcssen die Sicherheitsbeh\u00f6rden nat\u00fcrlich auch \u00fcber die notwendigen Informationen verf\u00fcgen. Der Staat ist hier der einzige denkbare Akteur, der diese Position mit einer Gesamtsicht der Bedrohungssituation einnehmen kann bzw. muss.
\nDie Abl\u00e4ufe werden ja auch nicht auf der gr\u00fcnen Wiese gestaltet, sondern sind international bereits gut etabliert. Das NCSC unterst\u00fctzt die Betreiberinnen von kritischen Infrastrukturen beim Schutz vor Cyberbedrohung; das ist seine Hauptaufgabe. Um diese Aufgabe durchf\u00fchren zu k\u00f6nnen, muss es eben wissen, wo Bedrohungen anfallen, wie sie anfallen, wie die Entwicklungen sind, wie sich die Bedrohungslage mit Blick auf die innere und \u00e4ussere Sicherheit entwickelt, um eben auch Empfehlungen machen zu k\u00f6nnen sowie Sensibilisierungsmassnahmen und Unterst\u00fctzungsangebote entwickeln zu k\u00f6nnen. (Glocke und Zwischenruf des Pr\u00e4sidenten: Frau Mettler, Sie k\u00f6nnen weiterfahren.) Ich bin vielleicht selber schuld, wenn ich etwas sage, was alle schon wissen. - Die Meldung beim NCSC f\u00fchrt zu einem subsidi\u00e4ren Unterst\u00fctzungsangebot.
\nBez\u00fcglich der Ausgestaltung der Meldepflicht in den konkreten administrativen Prozessen - darum ging es ja bei den Lobbyingschreiben, die viele von uns erhalten haben - sind die Gr\u00fcnliberalen neutral. Nat\u00fcrlich muss der Informationsfluss einfach und effizient und eben sicher sein. Es ist auch klar, dass die gr\u00f6sseren Organisationen bereits heute professionelle Abl\u00e4ufe haben, eine hohe \"digital literacy\" aufweisen und entsprechend professionell aufgestellt sind. Wichtig f\u00fcr die Cybersecurity in der Schweiz sind aber auch sehr kleine Unternehmen und Organisationseinheiten mit heute noch tiefer \"digital literacy\". Das k\u00f6nnen Gemeindeverwaltungen, kleine Energieversorger, Unternehmen im Bauwesen, Logistikunternehmen, Bildungsinstitutionen usw. sein.
\nHier im Nationalrat wurde die Vorlage mit 132 zu 55 Stimmen unterst\u00fctzt. Jetzt hat der St\u00e4nderat die Verbindlichkeit offenbar reduziert. Er st\u00f6rt sich auch daran, dass bei Nichterf\u00fcllen der Meldepflicht als letzte Eskalationsstufe Sanktionsm\u00f6glichkeiten vorgesehen sind. Die Gr\u00fcnliberalen sind aber der Ansicht, dass es gerade bei kleineren Organisationen - dort liegen ja die Risiken - einen Anreiz braucht, die Unterst\u00fctzungsangebote zu nutzen. Konkrete Vorschl\u00e4ge bez\u00fcglich effizienterer Prozesse begr\u00fcssen die Gr\u00fcnliberalen nat\u00fcrlich, denn es geht hier um die Sicherheit in der Schweiz und nicht darum, eine administrative Datenkrake zu schaffen.
\nWir werden \u00fcberall der Mehrheit folgen.
\nWir haben es geh\u00f6rt: Es bestehen in diesem Gesch\u00e4ft noch Differenzen zum St\u00e4nderat, und zwar in Bezug auf die Schwachstellen. Ich m\u00f6chte aber zuerst noch einmal festhalten, dass eine Mehrheit der Sicherheitspolitischen Kommission die Einf\u00fchrung einer Meldepflicht f\u00fcr Cyberattacken als sehr wichtigen Schritt erachtet, um den immer bedrohlicheren Vorf\u00e4llen entgegenzutreten. Wir haben das im Nationalrat ja auch so beschlossen.
\nK\u00fcnftig sollen es kritische Infrastrukturen m\u00f6glichst rasch dem heutigen NCSC bzw. dem zuk\u00fcnftigen Bundesamt f\u00fcr Cybersicherheit melden, wenn ihre Betriebst\u00fcchtigkeit durch einen Cyberangriff bedroht ist. Damit kann das NCSC einerseits andere Infrastrukturen informieren und andererseits die betroffenen Betreiberinnen unterst\u00fctzen.
\nIn der gleichen Logik beantragt die Mehrheit Ihrer Kommission eine Meldepflicht auch in Bezug auf Schwachstellen. Nicht \u00f6ffentlich bekannte Sicherheitsl\u00fccken, welche die Betriebsf\u00e4higkeit der kritischen Infrastrukturen beeintr\u00e4chtigen k\u00f6nnen, sollen dem NCSC ebenfalls gemeldet werden; dies mit dem Ziel, dass andere Infrastrukturen, welche in ihrem Betrieb ebenfalls solche L\u00fccken haben, so rasch wie m\u00f6glich gewarnt werden und dass damit potenzielle Angriffsm\u00f6glichkeiten f\u00fcr Cyberkriminelle eliminiert werden k\u00f6nnen.
\nEs wird moniert, dass das zu einem gewissen administrativen Aufwand f\u00fchren kann. Das ist sicherlich nicht komplett zu verneinen, hingegen ist auch nicht ausser Acht zu lassen, dass die Unternehmen mit der Begleitung, die angeboten wird, ja durchaus auch von einer Dienstleistung des NCSC profitieren.
\nDer St\u00e4nderat ist dem Anliegen seiner Sicherheitspolitischen Kommission, der nationalr\u00e4tlichen Erweiterung zuzustimmen, nicht gefolgt. Daraufhin hat die SiK-N anl\u00e4sslich der Beratung im Juni die Meldepflicht f\u00fcr Schwachstellen eingegrenzt. Wir haben es soeben von Bundesr\u00e4tin Amherd geh\u00f6rt: So sollen Schwachstellen nur dann gemeldet werden m\u00fcssen, wenn sie allgemein verf\u00fcgbare Softwarekomponenten betreffen, also wenn sie keine Eigenentwicklungen sind. Es ist dies, wie Sie der Fahne entnehmen k\u00f6nnen, eine marginale \u00c4nderung bei Artikel 74d. Damit sollen unn\u00f6tige Meldungen und administrativer Aufwand f\u00fcr die Unternehmen vermieden werden, zumal spezifische Eigenentwicklungen nicht von anderen Betreibern eingesetzt werden und deshalb der Nutzen einer Meldung an das NCSC nicht gegeben ist. Dieser neue Antrag wurde von Ihrer Kommission mit 14 zu 9 Stimmen bei 1 Enthaltung verabschiedet. Eine Minderheit Zuberb\u00fchler lehnt hingegen die Einf\u00fchrung einer Meldepflicht f\u00fcr Schwachstellen generell ab und beantragt, dem Beschluss des St\u00e4nderates zu folgen bzw. am Entwurf des Bundesrates festzuhalten.
\nIm Namen der SiK-N bitte ich Sie, dem Kompromissantrag bez\u00fcglich der Meldepflicht f\u00fcr Schwachstellen zu folgen.
\nZuerst m\u00f6chte ich meine Interessenbindung nochmals offenlegen: Ich bin Pr\u00e4sidentin der Swiss Cybersecurity Days und k\u00e4mpfe in dieser Funktion seit Jahren f\u00fcr ein besseres Verst\u00e4ndnis und f\u00fcr mehr Resilienz im Bereich der Cyberkriminalit\u00e4t.
\nDas Inventar der kritischen Infrastrukturen zeigt auf, welche wichtigen Bauten und Anlagen strategisch von grosser Bedeutung sind. Das sogenannte SKI-Inventar ist nicht \u00f6ffentlich zug\u00e4nglich, jedoch f\u00fcr das Risikomanagement auf allen Stufen - Bund, Kantone, Gemeinden - von grosser Bedeutung. Die sogenannte Digitalisierung in [PAGE 1480] allen Bereichen steht nicht nur f\u00fcr Fortschritt, sondern auch f\u00fcr grosse Verletzlichkeit. Flugh\u00e4fen, \u00f6ffentlicher Verkehr, Stromversorgungs-, Telekommunikations-, Wasserversorgungsinfrastruktur und[NB]vieles mehr: Die Liste kritischer Infrastrukturen ist lang. L\u00e4ngst nicht alles untersteht dem Bund. Sicherheit bleibt aber erste Staatsaufgabe - neben der Eigenverantwortung der Unternehmen.
\nPunkto Cybersicherheit lag die Schweiz im ITU-Ranking 2022 international leider noch nicht auf einem Topplatz. Wir sollten allerdings nicht das Kind mit dem Bade aussch\u00fctten: Die Meldepflicht f\u00fcr IT-Schwachstellen bei nicht bereits erfolgter Cyberkriminalit\u00e4t ginge der FDP-Liberalen Fraktion zu weit. Wir bitten Sie daher, dem Beschluss des St\u00e4nderates und somit der Minderheit Zuberb\u00fchler zu folgen. Die Gr\u00fcnde hierf\u00fcr sind zahlreich. Die Meldungen von IT-Schwachstellen w\u00fcrden mit Sicherheit zu hohen administrativen Mehrbelastungen f\u00fchren; vermutlich w\u00e4re auch das neu geschaffene NCSC unter der Leitung von Florian Sch\u00fctz \u00fcberfordert. Die Eigenverantwortung der Unternehmer w\u00e4re beschnitten, und der Bund h\u00e4tte dar\u00fcber hinaus wohl auch M\u00fche, alles zu bew\u00e4ltigen. Das ist verst\u00e4ndlich.
\nLast, but not least: Kryptow\u00e4hrungen sind nicht der Grund f\u00fcr Cyberkriminalit\u00e4t. Wer in der unternehmerischen Verzweiflung nach einer Cyberattacke glaubt, sich mit Erpressergeldern unbemerkt von Verletzlichkeiten und Cyberkriminalit\u00e4t freikaufen zu k\u00f6nnen, schadet letztlich nicht nur seinem Unternehmen, sondern auch der Sicherheit unseres Landes. Cyberkriminalit\u00e4t ist, wie die Swiss Blockchain Federation richtigerweise sagt, ein Problem, das in internationaler Zusammenarbeit und ganzheitlich angegangen werden muss. Private L\u00f6sungen oder Insell\u00f6sungen sind einfach zu umgehen und deshalb abzulehnen. Wer sich erpressen l\u00e4sst, tr\u00e4gt dazu bei, dass Erpressungen unsere Wirtschaft vermehrt lahmlegen - ein Teufelskreis. Es ist fatal, dass Cyberrisiken bereits heute fast nicht mehr zu versichern sind. Die laufende \u00f6ffentliche Debatte rund um das Informationssicherheitsgesetz tr\u00e4gt dazu bei, dass Schamgef\u00fchle betroffener Unternehmen abgebaut und ihre Vorkehrungen im Kampf gegen Cyberkriminalit\u00e4t hoffentlich gest\u00e4rkt werden. Resilienz muss das Ziel sein, und das auf eine Art und Weise, die uns trotz der vielen B\u00e4ume noch den Wald sehen l\u00e4sst.
\nIch bitte Sie daher, umsichtig zu handeln und den Gefahrenschutz dort anzusiedeln, wo er hingeh\u00f6rt, damit die Sicherheit bestm\u00f6glich gew\u00e4hrleistet wird.
\nBundesgesetz \u00fcber die Informationssicherheit beim Bund[GZ]
\nLoi f\u00e9d\u00e9rale sur la s\u00e9curit\u00e9 de l'information au sein de la Conf\u00e9d\u00e9ration[GZ]
\n[VS][GZ]
\nArt. 73b Abs. 3; Gliederungstitel nach Art. 74; Art. 74a Abs. 1, 3, 4; 74b Abs. 1 Bst. d, 2, 3; 74c[GZ]
\nAntrag der Mehrheit [GZ]
\nFesthalten
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Zuberb\u00fchler, Addor, Cattaneo, Heimgartner, Hess Erich, Hurter Thomas, Riniker, Tuena, Walliser)[GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nArt. 73b al. 3; titre suivant l'art. 74; art. 74a al. 1, 3, 4; 74b al. 1 let. d, 2, 3; 74c[GZ]
\nProposition de la majorit\u00e9 [GZ]
\nMaintenir
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Zuberb\u00fchler, Addor, Cattaneo, Heimgartner, Hess Erich, Hurter Thomas, Riniker, Tuena, Walliser)[GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats [PAGE 1478]
\n[VS]
\nArt. 74d [GZ]
\nAntrag der Mehrheit [GZ]
\nTitel [GZ]
\nFesthalten
\nAbs. 2 [GZ]
\nEine Schwachstelle muss gemeldet werden, wenn sie:
\na. Betriebskritische Informatikmittel betrifft;
\nb. Noch nicht \u00f6ffentlich bekannt ist;
\nc. Nicht durch Eigenentwicklungen der betroffenen Unternehmen entstanden ist.
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Zuberb\u00fchler, Addor, Cattaneo, Heimgartner, Hess Erich, Hurter Thomas, Riniker, Tuena, Walliser)[GZ]
\nTitel, Abs. 2 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nArt. 74d [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nTitre [GZ]
\nMaintenir
\nAl. 2 [GZ]
\nUne vuln\u00e9rabilit\u00e9 doit \u00eatre signal\u00e9e lorsque:
\na. elle concerne des moyens informatiques essentiels pour l'exploitation;
\nb. elle est encore inconnue du public;
\nc. elle ne r\u00e9sulte pas de d\u00e9veloppements internes de l'entreprise concern\u00e9e.
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Zuberb\u00fchler, Addor, Cattaneo, Heimgartner, Hess Erich, Hurter Thomas, Riniker, Tuena, Walliser)[GZ]
\nTitre, al. 2 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nArt. 74e Abs. 1, 2; 74f Abs. 1, 2; Ziff. II Ziff. 3 Art. 102 Abs.[NB]2[GZ]
\nAntrag der Mehrheit [GZ]
\nFesthalten
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Zuberb\u00fchler, Addor, Cattaneo, Heimgartner, Hess Erich, Hurter Thomas, Riniker, Tuena, Walliser)[GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nArt. 74e al. 1, 2; 74f al. 1, 2; ch. II ch. 3 art. 102 al. 2[GZ]
\nProposition de la majorit\u00e9 [GZ]
\nMaintenir
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Zuberb\u00fchler, Addor, Cattaneo, Heimgartner, Hess Erich, Hurter Thomas, Riniker, Tuena, Walliser)[GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nPr\u00e4sident (Candinas Martin, Pr\u00e4sident): Wir befinden uns in der ersten Runde der Differenzbereinigung, und es verbleibt noch eine Reihe von Differenzen.
\nPr\u00e4sident (Candinas Martin, Pr\u00e4sident): Das Gesch\u00e4ft geht an den St\u00e4nderat zur\u00fcck.
\n