Meldepflicht für Cyberangriffe auf kritische Infrastrukturen gilt ab April
Für Betreiber kritischer Infrastrukturen gilt bei Cyberangriffen künftig eine Meldepflicht, sie müssen den Angriff innert 24 Stunden nach seiner Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Der Bundesrat hat die Pflicht per 1. April in Kraft gesetzt. – Damit soll das BACS Betroffene bei der Bewältigung von Cyberangriffen besser unterstützen und Betreiber anderer kritischer Infrastrukturen zeitig warnen können.
Wegen der zunehmenden Bedrohung durch Cybervorfälle führt der Bundesrat eine Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen in der Schweiz ein, er hat die dafür nötige Änderung des Bundesgesetzes über die Informationssicherheit beim Bund (Informationssicherheitsgesetz, ISG) vom 29. September 2023 in Kraft gesetzt. - Die Einführung der Meldepflicht für Cyberangriffe in der Schweiz entspricht laut Medienmitteilung des Bundesrats internationalen Standards. Seit 2018 gilt in allen EU-Mitgliedstaaten eine Meldepflicht für Cybervorfälle gemäss der Richtlinie zur Nezwerk- und Informationssicherheit (NIS-Richtlinie).
Betroffen von der Meldepflicht sind etwa die Energie- oder Trinkwasserversorgung, Transportunternehmen oder die Verwaltungen von Kantonen und Gemeinden. Melden müssen sie einen Cyberangriff unter anderem dann, wenn er ihre Funktionsfähigkeit gefährdet, zu einer Manipulation geführt hat oder einen Abfluss von Informationen verursacht hat. Die Pflicht gilt auch, wenn mit dem Angriff eine Erpressung, Drohung oder eine Nötigung verbunden sind. Leisten die betroffenen Organisationen und Behören der Pflicht nicht Folge, sieht das Gesetz Bussen vor.
Meldeformular des BACS auf bestehender Plattform
Um den Betroffenen genügend Zeit zu geben, sich auf die Meldepflicht einzustellen, hat der Bundesrat entschieden, dass die gesetzlichen Grundlagen für die Bussen erst per 1. Oktober 2025 gelten. Somit wird, wer die Meldung unterlässt, in den ersten sechs Monaten noch nicht bestraft.
Damit der Meldeprozess möglichst unkompliziert ablaufen kann, stellt das BACS auf seiner Plattform für den Informationsaustausch mit den Betreibern kritischer Infrastrukturen ein Meldeformular zur Verfügung. Diejenigen, die keinen Zugriff auf die Plattform haben, sollen die Meldungen auch per E-Mail-Formular abgeben können, das auf der Website des BACS zur Verfügung gestellt werden soll. - War es bei der Erstmeldung innerhalb von 24 Stunden nicht möglich alle Angaben zu machen, kann die Meldung innerhalb einer Frist von 14 Tagen mit den fehlenden Informationen ergänzt werden.
Cybersicherheitsverordnung regelt Ausnahmen
Des Weiteren hat der Bundesrat die Cybersicherheitsverordnung (CSV) gutgeheissen und ebenfalls auf den 1. April 2025 in Kraft gesetzt: Die CSV enthält die Ausführungsbestimmungen zur Meldepflicht und regelt insbesondere die Ausnahmen nach Art. 74c des ISG. Überdies umfasst die Verordnung auch Bestimmungen über die Nationale Cyberstrategie, die Aufgaben des BACS und den Informationsaustausch des BACS mit Behörden und Organisationen.
Die Einführung der Meldepflicht als erste sektorübergreifende Regulierung sei ein Meilenstein für die Cybersicherheit der Schweiz, heisst es in der Medienmitteilung des Bundesrats. Die Stärkung des Informationsaustausches sei entscheidend, um der raschen Entwicklung der Cyberbedrohungen mit geeigneten Massnahmen entgegenzutreten. (mai/mgt)
