Wicki Hans · Ständerat · 2025-12-09

Wortprotokoll

Gerne kann ich Ihnen als Vertreter einer qualitativ hochwertigen Minderheit unsere Argumente darlegen, wieso wir dagegen sind. Unsere Minderheit ist selbstverständlich nicht gegen die Stärkung der Abwehr gegen Cyberbedrohungen. Die Frage ist allerdings, worin genau der Handlungsbedarf besteht und wie dieser angegangen werden soll.

Die vorliegende Motion wirft mehrere Problemfelder auf. So ist beispielsweise umstritten, ob eine allfällige Regelung im FMG oder doch eher im ISG verankert werden soll. Ich bitte alle unsere scharfsinnigen Juristenkollegen, jetzt zuzuhören und sich diese Frage gut vor Augen zu führen. Die Fernmeldebranche und die Hosting- und Cloud-Anbieter unterscheiden sich in dieser Frage erheblich. Es sind zwei unterschiedliche Geschäftsmodelle.

Ein Blick auf die jeweiligen Gesetzeszwecke zeigt deutlich, dass eine Differenzierung berücksichtigt werden muss. So sieht das FMG vor, dass Fernmeldedienstanbieter die unbefugte Manipulation ihrer Anlagen bekämpfen müssen. Im Fokus steht dabei der Schutz der eigenen Infrastruktur. Der Schutz von Kundendaten oder IT-Systemen ist dort hingegen nicht vorgesehen. Für Hosting- und Cloud-Anbieter wurde dagegen unter anderem das ISG geschaffen. Diesem unterstehen die Anbieter. Bereits im Zweckartikel, Artikel 1, sieht das ISG explizit vor, die Widerstandsfähigkeit der Schweiz gegenüber Cyberbedrohungen zu erhöhen. Aus rechtstheoretischer Sicht erscheint eine Regelung, wie sie die Motion anstrebt, im ISG wesentlich naheliegender als im FMG. Dies gilt umso mehr, als bei der Regelung im FMG die Gefahr bestünde, dass den Hosting- und Cloud-Anbietern weitergehende Pflichten aufgebürdet werden, etwa im Bereich der Netzneutralität und Interoperabilität, wie es die Kommissionssprecherin bereits ausgeführt hat.

Hinzu kommt, dass sich die grundsätzliche Frage stellt, ob es überhaupt eine Regulierung braucht. Schliesslich ist das Rechtsverhältnis innerhalb der Branche unterschiedlich. Im Bereich der Hosting- und Cloud-Anbieter wird die Zusammenarbeit mit den Kunden in Verträgen geregelt, etwa bei der Speicherung von Daten oder Server-Applikationen. Sollte ein Kunde diese Installationen, Infrastrukturen oder Dienstleistungen missbräuchlich verwenden, kann die Dienstleistung gemäss Vertrag abgebrochen werden. Mit einer Regulierung würden wir uns also in einen Bereich begeben, der heute bereits durch das privatrechtliche Handeln der Akteure abgedeckt ist, und das in genügendem Masse.

Die Anhörungen in der Kommission haben gezeigt, dass die Branche gerade auch im internationalen Vergleich sehr gut aufgestellt ist. Damit gelangen wir zu einer weiteren Herausforderung: Es gibt wohl nur wenige Geschäftsfelder, die derart international sind wie die IT-Branche. Landesgrenzen spielen oft nur eine geringe Rolle. Die Anbieter sind entsprechend gezwungen, flexibel und aktuell zu agieren. Dabei sind sie oft nur ein Teil einer globalen Wertschöpfungskette. Eine Regulierung aus der Schweiz heraus würde demnach in erster Linie hemmend wirken. Sie droht sogar kontraproduktiv zu wirken, indem sie die Wettbewerbsfähigkeit schwächt. Als Unternehmen ist ein Serverdienst sehr schnell gewechselt. Die Schweizer IT-Dienstleister stehen somit in einem global umkämpften Markt. Belastet man sie mit zusätzlichen Regulationen, wird ihre Geschäftsführung aufwendiger und teurer. Dies träfe die Hosting- und Cloud-Branche in der Schweiz umso härter, als sie sehr stark von KMU geprägt ist. Es sind überschaubare Unternehmen mit oft nicht mehr als einem Dutzend Mitarbeitern; das ist nicht mit den grossen internationalen Anbietern vergleichbar. Die Schweizer Anbieter orientieren sich ohnehin bereits zwangsläufig an den internationalen Standards. Wenn wir also in diesem Bereich zusätzliche Regulierungen einführen, müssen wir dies sehr sorgfältig tun. Andernfalls könnte sich ein Eingriff als Bumerang erweisen und dabei den eigentlichen Zweck verfehlen.

Genau das ist letztlich das Anliegen unserer Minderheit. Wie eingangs erwähnt, wehren wir uns keineswegs gegen die Stärkung der Rolle von Hosting- und Cloud-Anbietern bei der Bewältigung von Cyberbedrohungen. Wir müssen hier jedoch zielgerichtet und effizient vorgehen. Dazu gehört zunächst eine sorgfältige Analyse, die folgende Fragen beantwortet: Besteht überhaupt Handlungsbedarf? Wenn ja, worin genau liegt er? Liesse sich dieser Handlungsbedarf möglicherweise auch ohne zusätzliche Regulierung lösen, etwa durch den kooperativen Ansatz, den wir bereits heute zwischen den Unternehmen und dem Bundesamt für Cybersicherheit praktizieren? Um dieses Anliegen umzusetzen, würde sich ein Postulat besonders anbieten, in dem wir die Erstellung eines entsprechenden Berichtes verlangen. Darin könnte untersucht werden, wo genau Handlungsbedarf besteht und welche Lösungsansätze dafür am zielführendsten wären. Möglicherweise gibt es sogar praktikable Lösungen, deren Umsetzung keiner Gesetzesänderung bedarf; sollte doch eine Anpassung nötig sein, kann diese gezielt erfolgen.

Ich danke Ihnen herzlich, wenn Sie dem Antrag unserer Minderheit folgen und die Motion ablehnen. Damit ebnen Sie den Weg für ein Postulat, das aus unserer Sicht langfristig zielführender ist und gleichzeitig die Wettbewerbsfähigkeit der Anbieter nicht gefährdet.