Politik
Eckpunkte der Meldepflicht für Cyberangriffe
Cyberangriffe sind heute eine weit verbreitete Realität. Leistungserbringer für Menschen mit Unterstützungsbedarf bearbeiten oft heikle Daten – in der Regel auch elektronisch. Mediatisierte Institutionen gehören zu den kritischen Infrastrukturen. Für sie kommt eine Meldepflicht bei allfälligen Cyberangriffen zum Tragen. Hier sind deren Eckpunkte.
Ein Gesetzesrahmen und eine Pflicht in Zeiten mit erhöhtem Cyberrisiko
Das Informationssicherheitsgesetz schreibt eine Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen vor. Unter «kritischen Infrastrukturen» werden Dienstleistungs- und Versorgungssysteme verstanden, die essenziell für die Wirtschaft bzw. die Lebensgrundlagen der Bevölkerung sind.
Eine Meldepflicht wofür?
Die Meldepflicht hat zum Ziel, die Cybersicherheit in der Schweiz zu stärken:
- Sie dient dazu, dass das Bundesamt für Cybersicherheit (BACS) Angriffsmuster auf kritische Infrastrukturen frühzeitig erkennen und mögliche betroffene Betriebe und Verwaltungseinheiten warnen kann.
- Auch ermöglichen Meldungen, dass das BACS Betrieben und Verwaltungseinheiten geeignete Präventions- und Abwehrmassnahmen empfehlen kann.
Ein Teil der Leistungserbringer für Menschen mit Unterstützungsbedarf gehört zu den kritischen Infrastrukturen
Die Meldepflicht gilt auch für Institutionen für Menschen mit Unterstützungsbedarf, wenn sie:
- von den kantonalen Behörden auf die Liste der Krankenhäuser und anderen medizinischen Einrichtungen gesetzt wurden, da sie dann einen Teil der kritischen Infrastruktur der Schweiz darstellen;
- sie gemäss kantonalem Recht als Ausführungsstellen der Behörden gelten – etwa, weil sie einen Leistungsvertrag mit den kantonalen Behörden unterzeichnet haben.
Die Meldepflicht in Kürze
Die Eckwerte der Meldepflicht lauten wie folgt:
- Das BACS ist die zentrale Meldestelle für Cyberangriffe.
- Die Meldung sollte innert 24 Stunden nach der Entdeckung des Cyberangriffs erfolgen.
- Durch die Meldung eines Cyberangriffs haben die Betriebe Anspruch auf die Unterstützung des BACS bei der Vorfallbewältigung.
- Die Meldung kann elektronisch via Webseite des BACS erfolgen.
- Vorfälle sind von der Meldepflicht ausgenommen, wenn die ausgelösten Funktionsstörungen nur geringe Auswirkungen zur Folge haben.
Plattform ad hoc für den sicheren Informationsaustausch
Den Betrieben, die unter die Meldepflicht fallen, wird zudem Zugang zu einer vom BACS eingerichteten elektronischen Plattform für den sicheren Informationsaustausch eingeräumt. Um Zugang zu erhalten, müssen sich die Betriebe registrieren. Das BACS empfiehlt den Betrieben, sich frühzeitig für dieses Kommunikationssystem zu registrieren. So können sie auf aktuelle Informationen zu Cyberbedrohungen zugreifen und im Falle eines Cyberangriffs schnell und effizient Meldung erstatten.
Das BACS erteilt den Betrieben auf Ersuchen Auskunft darüber, ob sie der Meldepflicht unterstellt sind. Angriffe können aber auf jeden Fall freiwillig gemeldet werden.
