19.3992
Cybersicherheit beim Bund. Rasches Vorankommen ist unerlässlich
Stöckli Hans · P-M · Ständerat · Bern · Sozialdemokratische Fraktion
Präsident (Stöckli Hans, Präsident): Die von Herrn Eder eingereichte Interpellation wird von Herrn Dittli übernommen. Herr Dittli erklärt sich von der schriftlichen Antwort des Bundesrates teilweise befriedigt und beantragt Diskussion. - Sie sind damit einverstanden.
Dittli Josef · Mit-M · Ständerat · Uri · FDP-Liberale Fraktion
Grundsätzlich nehme ich die Antwort des Bundesrates auf die Interpellation unseres früheren Ratskollegen Joachim Eder, die ich mitunterzeichnet und nun übernommen habe, positiv zur Kenntnis. Der Bundesrat hat im Bereich Cybersicherheit in den letzten Monaten offensichtlich die dringliche Notwendigkeit des Themas erkannt und auch die mehrfach vorgebrachten Anliegen des Parlamentes an die Hand genommen. Er hat verschiedene wichtige Pflöcke eingeschlagen und entsprechend notwendige Massnahmen in die Wege geleitet. Ich verweise in diesem Zusammenhang auf den am 27. November 2019 veröffentlichten vierzehnseitigen Bericht über die Organisation des Bundes zur Umsetzung der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken. Wer dieses Dokument gelesen hat, realisiert, dass unsere Regierung auf einem guten Weg ist. Dafür verdienen der in der Sache federführende Bundespräsident, aber auch der Gesamtbundesrat mit seinem Cyberausschuss unseren Dank. Mit der Zustimmung zum Budget 2020 haben wir ihm ja nun auch die geforderten personellen Ressourcen zur Verfügung gestellt.
Warum ich trotz dieser grundsätzlich positiven Würdigung noch das Wort gewünscht habe, hat mit den folgenden, in der Antwort auf die Interpellation erwähnten drei Punkten zu tun.
1. Ich wäre Herrn Bundespräsident Maurer dankbar, wenn er noch zusätzliche Ausführungen zu den beabsichtigten Kompetenzen des Delegierten des Bundes für Cybersicherheit machen könnte. Als massgebende Ansprechperson für Politik, Wirtschaft, Wissenschaft und Bevölkerung ist er die absolute Schlüsselfigur im ganzen Cyberabwehrkonstrukt. Er muss deshalb auch mit departementsübergreifenden Kompetenzen ausgestattet sein.
2. In der Antwort ist unter Punkt 3 vom Verbesserungspotenzial bei der Formalisierung der Prozesse für die interdepartementale Zusammenarbeit und den Informationsaustausch die Rede. Ich bin Bundespräsident Maurer für eine Konkretisierung dieses Punktes dankbar.
3. Ich bin nicht sicher, ob es richtig ist, dass Finanzinstitute die in Punkt 7 erwähnten Cybervorfälle nur auf freiwilliger Basis über Melani melden können. Wäre es nicht zielführender, hier eine Meldepflicht zu prüfen? Gerade wenn man die auch von der Finma immer wieder betonten Cyberrisiken, ja Cyberbedrohungen im Schweizer Finanzmarkt berücksichtigt, scheint mir eine solche Meldepflicht durchaus sinnvoll.
Ich bin Herrn Bundespräsident Maurer für die Stellungnahme zu diesen drei zusätzlichen Punkten dankbar.
Maurer Ueli · BPR-M · Bundesrat · Zürich
Wie wir in der Antwort auf die Interpellation ausgeführt haben, sind wir daran, das Kompetenzzentrum für Cybersicherheit aufzubauen und die Verbindungen innerhalb der Bundesverwaltung zu festigen. Wir haben für diese Arbeiten insbesondere auch noch die Kantone beigezogen. Die Konferenz der kantonalen Justiz- und Polizeidirektorinnen und -direktoren sowie der Sicherheitsverbund Schweiz sind in diesen Bereich der Cybersicherheit entsprechend eingebunden. Wir fahren innerhalb der Bundesverwaltung nach wie vor zweigleisig: Da ist einerseits die zivile Bundesverwaltung mit dem Kompetenzzentrum, und da ist andererseits der Bereich der grünen Informatik, also der Armee, die entsprechende Ausbildungen durchführt und ein Kompetenzzentrum für die Ausbildung in Thun aufbaut. Selbstverständlich tauscht man sich aus, wir sind miteinander verbunden.
Zu den Fragen, die Herr Dittli angesprochen hat, die auch uns beschäftigen: Es geht um die Kompetenzen, die dieser Delegierte für die Cybersicherheit innerhalb der Bundesverwaltung hat. Wir sind daran, die Verordnung zu erarbeiten. Sie kennen das aus anderen Diskussionen: Die Bundesverwaltung ist eigentlich eine Holding mit achtzig Gesellschaften, den achtzig Bundesämtern, und sieben Subholdings, den Departementen. Das ist die abstrakte Erklärung, die ich jeweils verwende. Jetzt sind wir daran, festzulegen, welche Kompetenzen dieser Delegierte haben wird. Wir gehen davon aus, und das ist unser Vorschlag, dass er insbesondere Informatiksicherheitsvorgaben machen muss, minimale Sicherheitsvorgaben in Bezug auf die Hard- und Software. Er muss diese dann auch durchsetzen können. Es geht um den Erlass von Mindeststandards, die dann auch durchgesetzt werden. Das ist im Moment noch dezentral geregelt. Das ist der eine Punkt.
Der zweite Punkt ist, dass bei Informatikprojekten Berichte zur Sicherheit abzuliefern sind und Nachbesserungen verlangt werden können. Der Delegierte soll sein Veto einlegen können, auch bei anderen Projekten, wenn diese nicht den geforderten Standards entsprechen.
Der dritte Punkt dieser Kompetenzen ist der Bereich von Anordnungen für Sondermassnahmen. Wenn etwas passiert, sind Sondermassnahmen anzuordnen und auch durchzusetzen. Es geht zusammengefasst darum, einen minimalen Standard bei Geräten, die eingesetzt werden, durchzusetzen. Es geht auch um Projekte, also um Prozesse, die ablaufen. Da soll der Delegierte ein Veto einlegen können, wenn das nicht den Sicherheitsanforderungen entspricht. Er muss Kompetenzen haben, damit bei Vorfällen Sondermassnahmen sofort umgesetzt werden können. Das sind die Vorstellungen, die wir in Bezug auf die Durchsetzungsfähigkeit haben.
Die Normen, die wir dann innerhalb der Bundesverwaltung einsetzen, sollen weitgehend auch von den Kantonen übernommen werden. Im Hinblick auf eine Stelle, die Produkte prüft, arbeiten wir auch eng mit den ETH zusammen, die mehr Know-how und auch Kompetenzen haben. Das soll einen Standard ergeben, der hoffentlich dann auch für die Kantone gilt und an dem sich auch die Privatwirtschaft messen kann.
Die Schweiz hat ja mit über 70 Ländern die Swiss Digital Initiative gestartet. Sie soll am WEF in Davos noch weiterentwickelt werden. Dort geht es eher um ethische Standards, die von den Herstellern von Hardware und Software aufgenommen werden. Das Ziel ist, dass sich auch international Hersteller zu diesen Standards bekennen. An der Gründungsversammlung dieser Initiative waren von Huawei bis Apple eigentlich alle massgebenden Akteure anwesend. Das ist eine internationale Initiative der Schweiz, bei welcher der Delegierte dabei ist.
Die zweite Frage lautet, was der Delegierte macht, welche Projekte durch welche Gremien geführt werden und welche Kosten dort entstehen sollen. Das heisst, der Delegierte braucht auch in Bezug auf allfällige Kosten gewisse Kompetenzen, um seine Arbeit durchzuführen. Es geht insbesondere um Detailfragen: Wie wird kommuniziert? Welche Ansprechstellen bestehen? In welchen Projekten sind wir zuständig? In diesem Zusammenhang gibt es eine Initiative des Finanzplatzes zum Zahlungssystem. Das Zahlungssystem betrachten wir als besonders gefährdet. Es gibt eine Arbeitsgruppe mit Vertretern der Bankiervereinigung, der Börse, der Finma und der Nationalbank. Die Nationalbank wird noch vermehrt in den Lead gehen müssen, um diesen Bereich zu koordinieren. Unserer Meinung nach besteht im Nationalbankgesetz die rechtliche Grundlage für ein Meldesystem, damit dieser Zahlungsbereich funktionieren und rechtzeitig reagieren kann. Es sind für nächstes Jahr auch Übungen in diesem Bereich geplant, damit das, was wir theoretisch festlegen, auch geprüft werden kann.
Zur dritten Frage, der generellen Meldepflicht für Cybervorfälle: Wir werden nächstes Jahr eine entsprechende Vorlage vorbereiten. Wir sind noch daran festzulegen, ab welchem Level was gemeldet werden muss. Wir gehen aber davon aus, dass eine Meldepflicht für gewisse Vorfälle zwingend ist, um erstens daraus zu lernen und zweitens auch sofort reagieren und dann entsprechende Massnahmen treffen zu können, auch präventiv. In diesem Sinne arbeiten wir einerseits innerhalb der Bundesverwaltung mit den Departementen und den Ämtern, andererseits mit den Kantonen, aber auch mit der Privatwirtschaft zusammen.
Ein Bereich, den ich nicht angesprochen habe, sind die kritischen Infrastrukturen. Dort bestehen bereits gewisse Standards und Normen. Diese müssen ausgebaut und erweitert werden. Bei den kritischen Infrastrukturen - ich spreche von Elektrizität, von unserer Versorgung, aber es geht hin bis zum Detailhandel, der auch ein wichtiger Versorger innerhalb der Privatwirtschaft ist - sind wir in Diskussionen über gewisse Standards, an denen sich dann auch die Privatwirtschaft messen kann, um gegen Cyberangriffe gefeit zu sein. Es handelt sich aber um einen Prozess, der uns Jahre beschäftigen wird und der wahrscheinlich nie aufhört. Das müssen wir auch sehen.
Ich glaube, wir haben uns unterdessen so aufgestellt und so organisiert, dass wir hier Schritt für Schritt vorwärtskommen. Wir machen das wie immer mit schweizerischer Gründlichkeit. In unserem dreistufigen System braucht das manchmal etwas mehr Zeit. Ich bin aber zuversichtlich, wir haben hier wesentliche Fortschritte erzielt.