AS 2025 168

Verordnung
über die Anpassung von Gesetzen infolge der Änderung der Bezeichnung des Nationalen Zentrums für Cybersicherheit (NCSC) in Bundesamt für Cybersicherheit (BACS)
vom 7. März 2025

Präambel

Der Schweizerische Bundesrat,

gestützt auf Artikel 8 Absatz 1 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997¹,

verordnet:

I

Die Änderung vom 29. September 2023² des Informationssicherheitsgesetzes vom 18. Dezember 2020³ wird wie folgt geändert:

Ersatz eines AusdrucksIm ganzen Erlass wird «NCSC» ersetzt durch «BACS».

Art. 4 Abs. 1^bis1bis Informationen Dritter, von denen das Bundesamt für Cybersicherheit (BACS) durch die Entgegennahme und Analyse von Meldungen gemäss dem 5. Kapitel Kenntnis erhält, dürfen nicht nach dem BGÖ zugänglich gemacht werden. Nicht als Dritte gelten Behörden, Organisationen und Personen nach Artikel 2 Absatz 1 BGÖ.

II.1. (Bundesgesetz vom 21. Juni 2019⁴ über das öffentliche Beschaffungswesen)Art. 44 Abs. 1 Bst. f^bis1 Die Auftraggeberin kann eine Anbieterin von einem Vergabeverfahren ausschliessen, aus einem Verzeichnis streichen oder einen ihr bereits erteilten Zuschlag widerrufen, wenn festgestellt wird, dass auf die betreffende Anbieterin, ihre Organe, eine beigezogene Drittperson oder deren Organe einer der folgenden Sachverhalte zutrifft:f^bis. Sie beheben eine Schwachstelle in der von ihnen hergestellten Hard- oder Software nicht innert der Frist, die das Bundesamt für Cybersicherheit nach Artikel 73b Absatz 3 des Informationssicherheitsgesetzes vom 18. Dezember 2020⁵ gesetzt hat.

II.2. (Datenschutzgesetz vom 25. September 2020⁶)Art. 24 Abs. 5^bis5bis Der EDÖB kann die Meldung mit dem Einverständnis des Verantwortlichen zur Analyse des Vorfalls an das Bundesamt für Cybersicherheit weiterleiten. Die Mitteilung kann Personendaten enthalten, einschliesslich besonders schützenswerter Personendaten über verwaltungs- und strafrechtliche Verfolgungen oder Sanktionen betreffend den Verantwortlichen.

II.3. (Kernenergiegesetz vom 21. März 2003⁷)Art. 102 Abs. 22 Erhält das ENSI eine Meldung zu einem Cyberangriff auf eine Kernanlage, so leitet es diese Meldung dem Bundesamt für Cybersicherheit weiter, sofern der Cyberangriff die Voraussetzungen von Artikel 74d des Informationssicherheitsgesetzes vom 18. Dezember 2020⁸ erfüllt.

II.5. (Finanzmarktaufsichtsgesetz vom 22. Juni 2007⁹)Art. 39 Abs. 11 Die FINMA ist befugt, anderen inländischen Aufsichtsbehörden, dem Bundesamt für Cybersicherheit sowie der Schweizerischen Nationalbank nicht öffentlich zugängliche Informationen zu übermitteln, die diese zur Erfüllung ihrer Aufgaben benötigen.

II

Diese Verordnung tritt am 1. April 2025 in Kraft.

7. März 2025

Im Namen des Schweizerischen Bundesrates Die Bundespräsidentin: Karin Keller-Sutter Der Bundeskanzler: Viktor Rossi