preparatory:AB 366402

Wortprotokoll

Mit der Motion soll der Bundesrat beauftragt werden, gesetzliche Grundlagen auszuarbeiten, die Hosting- und Cloud-Anbietern bei der Bewältigung von [PAGE 1244] Cyberbedrohungen die nötigen Rechte und Pflichten erteilen, um den Missbrauch der von ihnen angebotenen Infrastrukturen und Dienste für Cyberangriffe zu bekämpfen. Der Bundesrat beantragt die Annahme der Motion, der Nationalrat hat die Motion im Juni 2025 ohne Abstimmung angenommen.

Ihre SiK hat bereits im August dieses Jahres die Beratungen zu dieser Kommissionsmotion aufgenommen. Aufgrund offener Fragen haben wir uns anschliessend für Anhörungen entschieden. Es wurden Vertreter des Schweizerischen Verbandes der Telekommunikation (Asut), der Swisscom sowie des Wirtschaftsverbandes der ICT- und Internetbranche (Swico) eingeladen. Diese Anhörungen haben im Grundsatz ergeben, dass die Hosting- und Cloud-Anbieter keine Notwendigkeit für eine gesetzliche Regulierung sehen. Sie argumentierten, dass ihr Code of Conduct mit Massnahmen zur Cybersicherheit ausreichend sei.

Eine Umsetzung dieser Motion in Artikel 48a des Fernmeldegesetzes (FMG) lehnten sie ab. Es besteht die Befürchtung, dass die weitergehenden Pflichten, die für Fernmeldedienstanbieter gelten, wie etwa Netzneutralität, Interoperabilität usw., dann auch für Hosting- und Cloud-Anbieter gelten würden. Wenn schon, dann sollte die Problematik mit einer Änderung des Informationssicherheitsgesetzes (ISG) gelöst werden.

Die Minderheit der Kommission nimmt die Bedenken der Hosting- und Cloud-Anbieter auf. Bevor allenfalls reguliert werde, brauche es eine fundierte Analyse unter Berücksichtigung der bereits existierenden Massnahmen seitens Branche und Behörden. Die Minderheit wird sich selbst dazu äussern.

Die Mehrheit Ihrer Kommission sieht eindeutigen Handlungsbedarf. Die Analyse liegt vor, es braucht keine weitere. Hosting- und Cloud-Anbieter spielen bei der Bewältigung von Cyberbedrohungen eine zentrale Rolle. Sie werden selber je länger, desto mehr für Cyberangriffe genutzt. Eine einzige Stelle in der ganzen Informationskette ist nicht reguliert, eben diejenige der Hosting-Anbieter. Es geht nun um die Sicherheit und insbesondere auch um die Bekämpfung von Missbrauch durch Hosting-Anbieter. So erfolgen Angriffe auch aus Infrastrukturen, die zum Teil durch Hosting- oder Cloud-Anbieter betrieben werden. Im Normalfall haben diese eine Art Missbrauchsmeldestelle. Dort meldet sich das BACS, informiert darüber, dass es einen Angriff auf die Infrastruktur erkennt, und bittet darum, diesen zu unterbinden.

In der Schweiz funktioniert das, aber auch hier gibt es leider schwarze Schafe. Es gibt beispielsweise ausländische Anbieter, die in der Schweiz rechtlich korrekt ihre Infrastruktur betreiben, aber nicht auf Missbrauchsmeldungen des BACS reagieren. Bis heute gibt es keine rechtliche Handhabe, um Angriffe auf diese Infrastrukturelemente zu unterbinden. Es besteht zudem eine Ungleichbehandlung der Schweizer Anbieter mit Sitz in der Schweiz einerseits und der Anbieter im Ausland, die Infrastruktur in der Schweiz haben, andererseits. Es ist schwer nachvollziehbar, dass das BACS bei ausländischen Anbietern weniger Handhabe erhält als bei inländischen. Und hier geht es nicht zuletzt auch darum, Hosting- oder Cloud-Anbieter zu unterstützen und ihnen Hilfestellungen geben zu können.

Die Mehrheit der Kommission will aber wie die Minderheit die Bedenken der Verbände betreffend FMG aufnehmen. Mit einer Annahme der Motion soll es nicht zu einer Änderung des FMG kommen. Die Anpassung soll im ISG vorgenommen werden. Es könnte künftig eine Art Kontaktstelle angegeben werden müssen, wenn in der Schweiz Infrastrukturen betrieben werden. Diese würde auch keinen Aufwand verursachen, der den Wettbewerb beeinträchtigen würde. Aber das BACS hätte die Gelegenheit, unter Umständen Adressierungselemente zu sperren, damit den schwarzen Schafen eben die Teilnahme am Schweizer Markt erschwert würde.

Aus all diesen Gründen bitte ich Sie, der Kommissionsmehrheit zuzustimmen. Der entsprechende Antrag wurde in der Kommission mit 7 zu 4 Stimmen bei 1 Enthaltung angenommen.