Bundesrat startet Vernehmlassung zur Cybersicherheitsverordnung

Mai 22, 2024

Der Abendhimmel erstreckt sich in einem tiefen Dunkelblau über fast das gesamte Bild. Sterne funkeln zahlreich am Himmel und verleihen der Szene eine mystische, beinahe unendliche Tiefe. Der Großteil des Hintergrunds ist in dieses dunkle Blau getaucht, das die nächtliche Ruhe und die Unermesslichkeit des Universums widerspiegelt. Links unten, nahe dem schwarzen Grund, befindet sich ein kleiner, dunkelvioletter Fleck. Dieser Fleck strahlt nach außen aus, wobei er allmählich heller wird. Die Farbtöne verändern sich sanft von tiefem Violett über verschiedene Schattierungen von Lila, bis sie schließlich fast weiß sind. Dieser Übergang verleiht dem Fleck eine fast magische Ausstrahlung. Nach etwa einem Drittel der Bildfläche verschmilzt dieser leuchtende Verlauf nahtlos mit dem tiefen Dunkelblau des restlichen Himmels. Im Vordergrund ragen mehrere Strommasten in die Höhe, ihre Strukturen zeichnen sich klar gegen den dunklen Himmel ab. Diese Masten sind durch lange Leitungen miteinander verbunden. Die Leitungen sind jedoch nicht dunkel oder unsichtbar; sie glühen in einem intensiven Orange und Rot, als ob sie vor Energie brennen. Dieses Glühen verleiht ihnen ein lebendiges, fast ätherisches Aussehen und schafft einen faszinierenden Kontrast zu den kühlen Tönen des Himmels. Das Glühen der Leitungen zieht das Auge des Betrachters entlang ihrer Länge, von einem Mast zum nächsten. Dieses leuchtende Band von Energie führt durch die nächtliche Szenerie und verstärkt den Eindruck von Dynamik und verborgener Kraft. Die warme Farbe der glühenden Leitungen harmoniert überraschend gut mit dem kühlen Blau des Himmels und dem violetten Leuchten des Flecks, wodurch ein visuelles Gleichgewicht entsteht. Der Boden unter den Masten ist dunkel und nur schwach erkennbar, was die Masten und Leitungen noch mehr hervorhebt. Im Hintergrund könnten schemenhafte Konturen von Bäumen oder Hügeln zu erahnen sein, die der Szene zusätzliche Tiefe verleihen. Diese Elemente tragen dazu bei, dass die Szenerie sowohl real als auch surreal wirkt, als ob man in einen Moment jenseits der normalen Realität eintaucht. Es ist ein stiller, aber kraftvoller Anblick, der die Schönheit und das Geheimnis der Nacht in einem einzigen Bild einfängt.

Einführung und Hintergrund

Bundesrat startet Vernehmlassung zur Cybersicherheitsverordnung: Meldepflichtige Behörden und Organisationen müssen Cyberangriffe dem BACS melden.

Am 29. September 2023 hat das Parlament die Einführung einer Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen im Rahmen der Revision des Informationssicherheitsgesetzes (ISG) verabschiedet. Das ISG legt fest, welche Behörden und Organisationen künftig die Pflicht zur Meldung von Cyberangriffen trifft, wobei diese Meldungen dem Bundesamt für Cybersicherheit (BACS) zu erstatten sind.

Der Bundesrat eröffnete am 22. Mai 2024 die Vernehmlassung zur Cybersicherheitsverordnung (CSV). Diese dauert bis zum 13. September 2024.

Die CSV regelt folgendes (Art. 12 Abs. 1 CSV):

die Nationale Cyberstrategie und deren Steuerungsausschuss;
die Aufgaben des Bundesamtes für Cybersicherheit (BACS);
den Informationsaustausch des BACS mit Behörden und Organisationen zum Schutz vor Cybervorfällen und Cyberbedrohungen;
die Meldepflicht für Cyberangriffe.

Meldepflicht für Elektrizitätsversorgungsunternehmen (EVU)

Grundsatz

Behörden und Organisationen, die nach Artikel 74b ISG meldepflichtig sind, müssen dem BACS Cyberangriffe auf ihre Informatikmittel melden. Dies betrifft auch Unternehmen in den Bereichen Energieversorgung, Energiehandel, Energiemessung oder Energiesteuerung. Die Meldepflicht zielt darauf ab, dass das BACS Angriffsmuster frühzeitig erkennt, Betroffene warnt und Präventions- und Abwehrmassnahmen empfiehlt (Art. 74a Abs. 4 ISG).

Ausnahmen von der Meldepflicht

In der CSV werden für verschiedene Sektoren wie die Energieversorgung und das Transportwesen spezifische Schwellenwerte für die Meldepflicht festgelegt. Behörden oder Organisationen, die diese Schwellenwerte unterschreiten, sind nicht meldepflichtig.

Von der Meldepflicht befreit sind demnach Netzbetreiber, Elektrizitätserzeuger, Elektrizitätsspeicherbetreiber oder Dienstleister im Elektrizitätsbereich, die weder das Schutzniveau A noch B einhalten müssen (Art. 16 Abs. 1 lit. b Ziff. 1 CSV). Die Schwellenwerte orientieren sich an Art. 5 a der Stromversorgungsverordnung (StromVV) zum Schutz vor Cyberbedrohungen, welche am 1. Juli 2024 in Kraft tritt und vorsieht, dass bestimmte Akteure der Elektrizitätsbranche bei der Umsetzung des Minimalstandards ein bestimmtes Schutzniveau erreichen müssen (Vernehmlassungstext UVEK):

Schutzniveau A: Für Netzbetreiber, die mindestens 450 GWh/Jahr transportieren;
Schutzniveau B: Für Netzbetreiber und Dienstleister bei 112 GWh/Jahr und Erzeuger und Speicherbetreiber bei 100 MW.

Dienstleister der Netzbetreiber, Elektrizitätserzeuger und Speicherbetreiber sind ebenfalls von der Ausnahmeregelung erfasst. Hersteller von Hard- oder Software sind von der Ausnahme ausgenommen.

Ausgenommen von der Meldepflicht sind ebenfalls die Betreiber von Gasleitungen, die im Durchschnitt der letzten fünf Jahre weniger als 400 GWh/Jahr transportierten (Art. 16 Abs. 1 lit. b Ziff. 2 CSV).

Zu meldende Cyberangriffe

Ein Cyberangriff muss gemeldet werden, wenn er nach Art. 74d ISG:

die Funktionsfähigkeit der betroffenen kritischen Infrastruktur gefährdet;
zu einer Manipulation oder einem Abfluss von Informationen geführt hat;
über einen längeren Zeitraum unentdeckt blieb, besonders wenn er zur Vorbereitung weiterer Cyberangriffe diente;
mit Erpressung, Drohung oder Nötigung verbunden ist.

Die Kriterien zur Bestimmung der meldepflichtigen Angriffe wurden so gewählt, dass sie für die Behörden und Organisationen möglichst direkt erkennbar sind.

Die CSV enthält in Art. 18 hierzu weitere Präzisierungen:

Die Funktionsfähigkeit einer kritischen Infrastruktur gilt als gefährdet, wenn:

Mitarbeitende oder Dritte von Systemunterbrüchen betroffen sind; oder
die betroffene Organisation oder Behörde ihre Tätigkeiten nur noch mit Hilfe von Notfallplänen aufrechterhalten kann.

Eine Manipulation oder ein Abfluss von Informationen liegen vor, wenn:

geschäftsrelevante Informationen von Unbefugten verändert oder offengelegt werden; oder
eine Verletzung der Datensicherheit nach Artikel 24 des Datenschutzgesetzes vom 25. September 2020 vorliegt.

Ein Cyberangriff gilt als über einen längeren Zeitraum unentdeckt, wenn der Vorfall mehr als 90 Tage zurückliegt.

Ein Cyberangriff gilt als mit Erpressung, Drohung oder Nötigung verbunden, wenn sich diese Handlungen gegen die meldepflichtige Behörde oder Organisation oder gegen deren Verantwortliche oder Mitarbeitende, einschliesslich ehemaliger Verantwortlicher oder Mitarbeitender, oder gegen für die meldepflichtige Behörde oder Organisation tätige Personen richten.

Frist zur Erfassung der Meldung

Ein Cyberangriff muss nach dessen Entdeckung innerhalb von 24 Stunden dem BACS gemeldet werden (Art. 74e Abs. 1 revISG). Eine weitere Frist von 14 Tagen besteht, um die Meldung zu vervollständigen (Art. 21 CSV). Beide Fristen sind nicht verlängerbar.

Fazit

Die Revision des Informationssicherheitsgesetzes (ISG) und die Einführung der Cybersicherheitsverordnung (CSV) stellen einen bedeutenden Schritt zur Stärkung der Cybersicherheit in der Schweiz dar. Durch die Meldepflicht für Cyberangriffe und die klaren Regelungen zur Informationsweitergabe sollen kritische Infrastrukturen besser geschützt und potenzielle Bedrohungen frühzeitig erkannt werden.

Die neue Gesetzgebung, deren Inkrafttreten per 1. Januar 2025 geplant ist, schafft zudem klare Vorgaben und Ausnahmen, die den unterschiedlichen Bedürfnissen und Risiken der betroffenen Sektoren Rechnung tragen. Insgesamt wird damit die Resilienz der Schweizer Wirtschaft und die Sicherheit der Bevölkerung nachhaltig gestärkt.