Abstimmung - Vote [GZ]
\n[NAM][GZ]
\nF\u00fcr den Antrag der Mehrheit ... 98 Stimmen[GZ]
\nF\u00fcr den Antrag der Minderheit ... 59 Stimmen[GZ]
\n(1 Enthaltung)
\nBundesgesetz \u00fcber die Informationssicherheit beim Bund[GZ]
\nLoi f\u00e9d\u00e9rale sur la s\u00e9curit\u00e9 de l'information au sein de la Conf\u00e9d\u00e9ration[GZ]
\n[VS][GZ]
\nArt. 73b Abs. 3; Gliederungstitel nach Art. 74; Art. 74a Abs. 1, 3, 4; 74b Abs. 1 Bst. d, 2, 3; 74c[GZ]
\nAntrag der Mehrheit [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nFesthalten
\n[VS]
\nArt. 73b al. 3; titre suivant l'art. 74; art. 74a al. 1, 3, 4; 74b al. 1 let. d, 2, 3; 74c[GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nMaintenir
\n[VS]
\nArt. 74d [GZ]
\nAntrag der Mehrheit [GZ]
\nTitel, Abs. 2 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nTitel [GZ]
\nFesthalten
\nAbs. 2 [GZ]
\nFesthalten, aber:
\na0. Einen kritischen Schweregrad aufweist;
\nc. Nicht durch eigene Entwicklungen der Betroffenen oder durch Entwicklungen Dritter, die im Auftrag der Betroffenen ausgef\u00fchrt wurden, entstanden sind.
\n[VS]
\nArt. 74d [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nTitre, al. 2 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nTitre [GZ]
\nMaintenir
\nAl. 2 [GZ]
\nMaintenir, mais:
\na0. pr\u00e9sente un degr\u00e9 de gravit\u00e9 critique;
\nc. elle ne r\u00e9sulte pas de d\u00e9veloppements internes de l'entreprise concern\u00e9e ni de d\u00e9veloppements r\u00e9alis\u00e9s par des tiers pour le compte l'entreprise concern\u00e9e.
\n[VS]
\nArt. 74e [GZ]
\nAntrag der Mehrheit [GZ]
\nAbs. 1, 2 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nAbs. 1 [GZ]
\nDie Meldung muss innert 24 Stunden nach der Entdeckung des Cyberangriffs und innert 7 Tagen nach der Entdeckung der Schwachstelle erfolgen.
\nAbs. 2 [GZ]
\nMeldungen zu Cyberangriffen m\u00fcssen Informationen zur meldepflichtigen Beh\u00f6rde oder Organisation, zur Art und Ausf\u00fchrung des Cyberangriffs, zu seinen Auswirkungen, zu ergriffenen Massnahmen und, soweit bekannt, zum geplanten weiteren Vorgehen enthalten.
\nAbs. 2bis [GZ]
\nMeldungen zu Schwachstellen k\u00f6nnen anonym erfolgen. Sie m\u00fcssen Informationen zu den betroffenen Informatikmitteln und eine technische Beschreibung der Schwachstelle enthalten.
\n[VS]
\nArt. 74e [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAl. 1, 2 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nAl. 1 [GZ]
\nLe signalement doit \u00eatre fait dans les 24 heures suivant la d\u00e9tection de la cyberattaque et dans les 7 jours suivant la d\u00e9couverte de la vuln\u00e9rabilit\u00e9.
\nAl. 2 [GZ]
\nLes signalements concernant les cyberattaques doivent contenir des informations sur l'autorit\u00e9 ou l'organisation assujetties \u00e0 l'obligation de signaler, sur le type et l'ex\u00e9cution de la cyberattaque, sur ses effets, sur les mesures prises et, si elles sont connues, sur les mesures pr\u00e9vues.
\nAl. 2bis [GZ]
\nLe signalement de vuln\u00e9rabilit\u00e9s peut \u00eatre anonymes. II doit contenir des informations sur les moyens informatiques con cern\u00e9s et une description technique de la vuln\u00e9rabilit\u00e9. [PAGE 1832]
\n[VS]
\nArt. 74f [GZ]
\nAntrag der Mehrheit [GZ]
\nAbs. 1, 2 [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nAbs. 1, 2 [GZ]
\nFesthalten
\nAbs. 1bis [GZ]
\nDas NCSC speichert und bearbeitet die Meldungen nur auf sicheren Systemen.
\n[VS]
\nArt. 74f [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAl. 1, 2 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nAl. 1, 2 [GZ]
\nMaintenir
\nAl. 1bis [GZ]
\nLe NCSC n'enregistre et ne traite les signalements que sur des syst\u00e8mes s\u00e9curis\u00e9s.
\n[VS]
\nZiff. II Ziff. 3 Art. 102 Abs. 2 [GZ]
\nAntrag der Mehrheit [GZ]
\nZustimmung zum Beschluss des St\u00e4nderates
\n[VS]
\nAntrag der Minderheit [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nFesthalten
\n[VS]
\nCh. II ch. 3 art. 102 al. 2 [GZ]
\nProposition de la majorit\u00e9 [GZ]
\nAdh\u00e9rer \u00e0 la d\u00e9cision du Conseil des Etats
\n[VS]
\nProposition de la minorit\u00e9 [GZ]
\n(Fivaz Fabien, Andrey, Barrile, Mettler, Molina, Pointet, Roth Franziska, Schlatter, Seiler Graf)[GZ]
\nMaintenir
\n[VS]
\nPr\u00e4sident (Candinas Martin, Pr\u00e4sident): Wir befinden uns in der zweiten Runde der Differenzbereinigung.
\nSie erinnern sich: Unser Rat hatte in der Fr\u00fchjahrssession mit 126 zu 52 Stimmen beschlossen, eine Meldepflicht f\u00fcr Schwachstellen einzuf\u00fchren. Der St\u00e4nderat lehnte die Bestimmung in der Sommersession mit 31 zu 13 Stimmen ab. Auf Antrag Ihrer Sicherheitspolitischen Kommission haben Sie Anfang Session mit 102 zu 80 Stimmen eine Neuformulierung von Artikel 74d Absatz 2 beschlossen. Die Neuformulierung sah vor, dass eine Schwachstelle nicht h\u00e4tte gemeldet werden m\u00fcssen, wenn es sich dabei um eine Eigenentwicklung eines betroffenen Unternehmens gehandelt h\u00e4tte. Der St\u00e4nderat hat am letzten Dienstag sehr deutlich bzw. noch deutlicher als zuvor, n\u00e4mlich mit 32 zu 12 Stimmen bei 0 Enthaltungen, entschieden, die Schwachstellenmeldung definitiv aus dem Informationssicherheitsgesetz (ISG) zu streichen.
\nIm Namen der SVP-Fraktion mache ich Ihnen deshalb beliebt, die letzte Differenz zum St\u00e4nderat auszur\u00e4umen, damit das Gesch\u00e4ft nicht noch in die Einigungskonferenz gehen muss, wo es unter Umst\u00e4nden Schiffbruch erleiden k\u00f6nnte. Die SVP-Fraktion ist nach wie vor der Ansicht, dass der Fokus auf die Bew\u00e4ltigung von Cyberangriffen gelegt werden sollte. Eine Ausweitung auf die Schwachstellen geht zu weit - zu weit, weil dazu keine Vernehmlassung durchgef\u00fchrt wurde und sich die Betreiber kritischer Infrastrukturen dazu gar nicht \u00e4ussern konnten; zu weit, weil die Meldung von Schwachstellen zu einer grossen Mehrbelastung f\u00fcr die Unternehmen und den Staat f\u00fchren w\u00fcrde; und zu weit, weil die Gefahr einfach zu gross ist, dass hochsensible Daten, die an einer zentralen Stelle beim Bund gesammelt werden, in die H\u00e4nde von Hackern gelangen k\u00f6nnten.
\nIch erinnere daran, was ich bereits am ersten Montag dieser Session gesagt habe: Wie die Vergangenheit gezeigt hat, ist es nicht ausgeschlossen, dass hochsensible Daten in die H\u00e4nde von Hackern gelangen k\u00f6nnten. Der Super-GAU bzw. Datenklau bei der Firma Xplain, bei der Kriminelle mehrere Millionen Dateien erbeuteten, l\u00e4sst gr\u00fcssen!
\nDas ist gef\u00e4hrlich - gef\u00e4hrlich deshalb, weil Hacker immer einen Schritt voraus sind und die von einem Cyberangriff betroffenen Kreise erst dann reagieren k\u00f6nnen, wenn der Cybervorfall bereits passiert ist. Stellen Sie sich vor: Sie spielen morgen als Fussballprofi einen WM-Final und wissen, dass Ihr Kn\u00f6chel oder Fuss angeschlagen ist. Werden Sie Ihre k\u00f6rperliche Schwachstelle melden, auf die Gefahr hin, dass Ihr Gegner davon Wind bekommt? Und was passiert dann? Die Wahrscheinlichkeit ist gross, dass Ihr Gegner absichtlich auf Ihren Fuss oder Kn\u00f6chel steht und dass Sie so verletzt werden, dass Sie ausgewechselt werden m\u00fcssen. Auch im Hockey gibt es einen Grund, weshalb in den Playoffs keine medizinischen Bulletins ausgegeben werden. Informationen gibt es in der Regel keine, die Clubs halten die medizinischen Bulletins aus praktischen Gr\u00fcnden unter Verschluss. Es k\u00f6nnte ja noch einer auf die Idee kommen und da draufhauen, wo es sowieso schon zwickt. Die Clubs kennen die Blessuren und Schlimmeres ihrer Spieler. Sie kennen folglich die Schwachstellen und sch\u00fctzen sie, wollen aber nicht, dass der Gegner sie kennt.
\nGenauso verh\u00e4lt es sich mit den IT-Schwachstellen: Die Betreiber kritischer Infrastrukturen kennen ihre Schwachstellen oder finden neue, sie wollen aber nicht, dass ein krimineller Dritter an diese Informationen kommt und die kritische [PAGE 1833] Infrastruktur aufgrund dieses Wissens lahmlegt. Die freiwillige Meldung von Schwachstellen ist heute schon m\u00f6glich. Die Einf\u00fchrung eines Obligatoriums geht aber definitiv zu weit, weil das NCSC daf\u00fcr noch gar nicht bereit ist bzw. erst seit wenigen Jahren ein Schwachstellenmanagement betreibt.
\nDeshalb bitte ich Sie, der Mehrheit der Kommission und damit dem Bundesrat zu folgen.
\nEs wurde vom Pr\u00e4sidenten einleitend gesagt: Wir befinden uns in der zweiten Runde der Differenzbereinigung. Sie sind also inhaltlich mit dem Gesch\u00e4ft vertraut.
\nDer St\u00e4nderat hat an seiner Sitzung vom 19. September die Ausweitung der Meldepflicht auf Schwachstellen erneut abgelehnt. Ihre Sicherheitspolitische Kommission empfiehlt, die Differenz zu bereinigen. Sie hat mit 15 zu 9 Stimmen entschieden, dem St\u00e4nderat zu folgen. Wir teilen die Ansicht Ihrer Kommission, dass die Einf\u00fchrung einer Meldepflicht gegen den Widerstand der betroffenen Betreiber von kritischen Infrastrukturen nicht zielf\u00fchrend ist. Wir wollen weiterhin gemeinsam mit der Wirtschaft gegen Cyberbedrohungen vorgehen. F\u00fcr diese Zusammenarbeit braucht es ein hohes gegenseitiges Vertrauen. Eine Meldepflicht bei Schwachstellen w\u00fcrde diese Zusammenarbeit erschweren.
\nIch bitte Sie, dem Entscheid Ihrer Kommission zu folgen und damit die letzte verbliebene Differenz auszur\u00e4umen.
\nWir befinden uns nun, wie mehrfach genannt, in der Differenzbereinigung, in den letzten Z\u00fcgen der \u00c4nderung des Informationssicherheitsgesetzes. Sie erinnern sich, die Vorlage in ihrer urspr\u00fcnglichen Form war weitgehend unbestritten. Zu gr\u00f6sseren Diskussionen und damit zu dieser Differenz, die wir nun das zweite Mal beraten, hat die vom Nationalrat hinzugef\u00fcgte Meldepflicht auch f\u00fcr gravierende Schwachstellen gef\u00fchrt.
\nDer St\u00e4nderat hat am Dienstag das zweite Mal, mit 32 zu 12 Stimmen, an der bundesr\u00e4tlichen Fassung festgehalten und ist damit dem Kompromissvorschlag der SiK-N, welchen wir vergangene Woche hier im Plenum mit 102 zu 80 Stimmen beschlossen hatten, nicht gefolgt. Dieser Kompromiss h\u00e4tte die Meldepflicht f\u00fcr Schwachstellen in Eigenentwicklungen ausgenommen. Der Antrag Zopfi aus dem St\u00e4nderat wurde mit dem Minderheitsantrag Fivaz Fabien deckungsgleich in die SiK-N getragen; er erstreckt sich auf der Fahne \u00fcber mehrere Artikel.
\nDer Antrag der Minderheit adressiert die Vorbehalte, welche von betroffenen Unternehmen und Verb\u00e4nden vorgebracht wurden, so z.[NB]B. die M\u00f6glichkeit, Meldungen auch anonym zu machen, die Frist zur Meldung auszudehnen oder das NCSC zu verpflichten, Meldungen nur auf sicheren Systemen zu transportieren und zu bearbeiten. Nach Aussagen der Verwaltung respektive des NCSC w\u00e4re dieser zweite Kompromissvorschlag praktikabel, umsetzbar und im Grundsatz nicht unerw\u00fcnscht. Die Beh\u00f6rde sei auf Informationsaustausch angewiesen, denn aus Mangel an Ressourcen k\u00f6nne sie nicht selber nach Schwachstellen in kritischer Software suchen.
\nDie Frage der Schwachstellenmeldung wurde jedoch nicht vernehmlasst, und die betroffenen Stakeholder konnten sich nicht dazu \u00e4ussern. Deshalb zieht es das NCSC vor, nun zuerst freiwillige Meldungen zu kultivieren, bevor eine Pflicht eingef\u00fchrt werden soll; also \u00e4hnlich, wie dies bei den Cyberattacken praktiziert wurde, die nach einer Phase der Freiwilligkeit mit dem Inkrafttreten der Gesetzes\u00e4nderung neu meldepflichtig werden.
\nIhre Sicherheitspolitische Kommission ist dieser Argumentation gefolgt und empfiehlt Ihnen mit 15 zu 9 Stimmen, der urspr\u00fcnglichen und damit auch der st\u00e4nder\u00e4tlichen Fassung zu folgen, den Minderheitsantrag Fivaz Fabien abzulehnen und somit die Differenz auszur\u00e4umen.
\nPr\u00e4sident (Candinas Martin, Pr\u00e4sident): Das Gesch\u00e4ft ist bereit f\u00fcr die Schlussabstimmung.
\nJe vous pr\u00e9sente la proposition de minorit\u00e9 sur la question des vuln\u00e9rabilit\u00e9s et de leur signalement. J'aimerais rappeler l'objectif de la proposition, qui \u00e9tait soutenu par la majorit\u00e9, ici au conseil, et jusqu'\u00e0 mardi en commission: l'id\u00e9e est d'obliger les infrastructures critiques \u00e0 signaler non seulement les cyberattaques - c'est dans le projet, \u00e0 la base, du Conseil f\u00e9d\u00e9ral -, mais \u00e9galement les vuln\u00e9rabilit\u00e9s qui auraient \u00e9t\u00e9 d\u00e9tect\u00e9es dans leurs syst\u00e8mes. Ces vuln\u00e9rabilit\u00e9s sont au coeur du probl\u00e8me: ce sont les failles de s\u00e9curit\u00e9 qui, si elles ne sont pas corrig\u00e9es, sont simplement des portes ouvertes \u00e0 des cyberattaques et qui peuvent \u00eatre exploit\u00e9es. Dans ce sens, il est logique et n\u00e9cessaire qu'elles soient communiqu\u00e9es et connues pour \u00eatre corrig\u00e9es rapidement, et cela dans un cercle relativement large.
\nLa proposition de compromis que nous faisons est un peu le compromis du compromis. Selon cette nouvelle proposition, seules les vuln\u00e9rabilit\u00e9s critiques devraient \u00eatre signal\u00e9es lorsqu'elles concernent des moyens qui sont essentiels pour l'exploitation de l'infrastructure. Il faut \u00e9galement que cette vuln\u00e9rabilit\u00e9 soit jusque-l\u00e0 inconnue du public - c'est essentiel - et qu'elle ne r\u00e9sulte pas de d\u00e9veloppements internes \u00e0 l'entreprise.
\nLe d\u00e9lai de signalement a, quant \u00e0 lui, \u00e9t\u00e9 prolong\u00e9. A la base, on pr\u00e9voyait vingt-quatre heures - c'est ce qui est pr\u00e9vu pour les cyberattaques - mais il a \u00e9t\u00e9 prolong\u00e9 \u00e0 sept jours, ce qui permettra, entre autres, de corriger le probl\u00e8me avant de le signaler.
\nAfin de rassurer celles et ceux qui craignent que les vuln\u00e9rabilit\u00e9s puissent \u00eatre communiqu\u00e9es si elles sont publiques, et donc utilis\u00e9es, la proposition contient \u00e9galement, \u00e0 l'article 74f, une obligation, pour le Centre national pour la cybers\u00e9curit\u00e9, de traiter ces signalements sur des syst\u00e8mes qui sont eux-m\u00eames s\u00e9curis\u00e9s.
\nJ'aimerais dire quand m\u00eame que nous attendons des infrastructures critiques qu'elles corrigent dans les plus brefs d\u00e9lais l'ensemble des vuln\u00e9rabilit\u00e9s qu'elles d\u00e9tectent, afin de limiter le risque d'exploitation et le risque syst\u00e9mique o\u00f9 finalement une vuln\u00e9rabilit\u00e9 d\u00e9tect\u00e9e dans un syst\u00e8me se propage \u00e0 l'ensemble et rend possible des cyberattaques \u00e0 tr\u00e8s large \u00e9chelle.
\nJe vous propose donc de suivre ma minorit\u00e9 et vous en remercie.
\nLe projet qui nous occupe une nouvelle fois aujourd'hui \u00e9tablit l'obligation de signaler les cyberattaques contre les infrastructures critiques; nous sommes dans la deuxi\u00e8me ronde d'\u00e9limination des divergences. Il nous reste une divergence avec le Conseil des Etats qui concerne l'obligation d'annoncer les vuln\u00e9rabilit\u00e9s inconnues du public, obligation que votre commission voulait introduire dans la loi.
\nLa majorit\u00e9 de votre commission a d\u00e9cid\u00e9 de s'aligner sur le Conseil des Etats et d'abandonner l'id\u00e9e de mettre en place une telle obligation pour les infrastructures critiques. Il a \u00e9t\u00e9 consid\u00e9r\u00e9 qu'il \u00e9tait trop t\u00f4t pour passer \u00e0 une telle obligation et qu'une p\u00e9riode d'observation \u00e9tait n\u00e9cessaire. Nous resterons donc sur un syst\u00e8me volontaire, en esp\u00e9rant que le NCSC d\u00e9veloppe efficacement le principe de telles annonces pour notre s\u00e9curit\u00e9 et incite les infrastructures critiques \u00e0 faire de telles annonces, malgr\u00e9 l'absence d'obligation.
\nLa proposition de minorit\u00e9 Fivaz Fabien vise \u00e0 maintenir la divergence. Elle contient un all\u00e8gement suppl\u00e9mentaire par rapport \u00e0 la version d'obligation d'annonce des vuln\u00e9rabilit\u00e9s discut\u00e9es lundi en d\u00e9but de session. Cet all\u00e8gement consiste en un allongement du d\u00e9lai d'annonce \u00e0 sept jours.
\nVotre commission vous propose de rejeter la proposition de minorit\u00e9 Fivaz Fabien, par 15 voix contre 9 et 0 abstention, et de suivre ainsi le Conseil des Etats.
\n