Wortlaut

Mit dem Datenklau in der Gemeinde Rolle ist erstmals ein grösserer Fall eines Cyberangriffs auf eine Gemeinde in der Schweiz bekannt geworden. Mehren sich solche erfolgreichen Angriffe auf öffentliche Institutionen führt dies zwangsläufig zu einem Vertrauensverlust der Bürgerinnen und Bürger in den öffentlichen Sektor. Die zivilen und militärischen Kompetenzen sollen sich gegenseitig ergänzen und gezielt gegen Cyberangriffe eingesetzt werden: Sowohl zur Vorbeugung und zur Verhinderung, als auch zur Bekämpfung. Der parallele Aufbau von Kompetenzen ist zu vermeiden und Schnittstellen müssen abgebaut werden.

Im Eidgenössische Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) sind folgende Kompetenzzentren im Bereich Cyberabwehr angesiedelt: Cyber Fusion Center, Zentrum für elektronische Operationen, Kryptologie, Cyberlehrgang, Forschungsaktivitäten im Cyber Defence Campus in Zusammenarbeit mit Hochschulen, Cyberlagebild, etc. Dazu ist ein Cyberkommando sowie ein Cyberbataillon im Aufbau. Es ist wichtig zu klären, welche Leistungen das VBS zu Gunsten der zivilen Behörden und Berücksichtigung des Subsidiaritätsprinzips erbringen kann.

In diesem Zusammenhang ergeben sich folgende Fragen:

1. Hat das VBS geprüft, wie die Cyberabwehrkompetenzen des Bundes gebündelt werden können?

2. Inwiefern soll das Subsidiaritätsprinzip bei der Kompetenzverteilung im Cyberabwehrbereich umgesetzt werden?

Stellungnahme des Bundesrates

1. Die Digitalisierung führt dazu, dass alle Departemente über Cyberkompetenzen verfügen. Der Bund hat in den letzten Jahren im Rahmen der Umsetzung der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) die Strukturen geschaffen, um eine enge Zusammenarbeit aller im Cyber Bereich tätigen Verwaltungseinheiten zu begünstigen. Diese funktioniert heute über die Departementsgrenzen hinweg gut und ermöglicht es dem Bund, die vorhandenen Kompetenzen des Nationalen Zentrums für Cybersicherheit (NCSC), der Armee, des Nachrichtendienstes des Bundes (NDB), der armasuisse, den Strafverfolgungsbehörden und weiteren beteiligten Stellen zu nutzen.

Gemäss der NCS, der Cyberrisiken-Verordnung und der Strategie Cyber VBS ist das VBS für das Handlungsfeld Cyberdefence zuständig. Die Cyberabwehr der Schweiz ist somit im VBS angesiedelt und dort gebündelt. Das VBS erbringt teilweise Leistungen im Bereich Cybersicherheit und stellt zudem seinen Eigenschutz als Verwaltungseinheit sicher. Es verfügt damit über den grössten Anteil an Ressourcen betreffend Cybersicherheit und Cyberdefence in der Bundesverwaltung (VBS: 170; fedpol: 41.5; NCSC: 43 + 26 (EDA, EDI, UVEK) gemäss IP 20.3496 Stand August 2020).

Im VBS richten sich das BABS, der NDB, die armasuisse und die Armee auf die Sicherstellung ihrer Aufgaben in allen Lagen aus. Die Stellung, welche die Schweizer Armee durch die Verfassung und das Völkerrecht als Streitkraft innehat, verpflichtet sie dazu, schon in Friedenszeiten im Bereich Cyberdefence und Cybersicherheit breite Kompetenzen bereitzustellen. Dies kann für die Armee durch keine andere Organisation im Bund erfolgen, was zu gewissen Parallelitäten im Kompetenzaufbau mit zivilen Organisationen führt.

Die Cyberorganisation des Bundes wird im Rahmen der gemäss NCS 2018-2022 vorgesehenen Wirksamkeitsüberprüfung, welche aktuell läuft, geprüft. Dabei wird sich zeigen, inwieweit sich die aktuelle Cyberorganisation bewährt und ob allfällige Anpassungen oder Bündelungen von Kompetenzen notwendig sind. Der Bericht wird im ersten Trimester 2022 erwartet.

2. Das Subsidiaritätsprinzip gilt auch bei der Cyberabwehr. Da für die Cyberabwehr zunehmend spezialisiertes Fachwissen nötig ist, ist zu prüfen, wie der Bund mit seinen Mitteln im Bereich der Cyberabwehr, -sicherheit und -strafverfolgung in diesem Bereich konkret unterstützen kann. Zusätzlich ist zu prüfen, wie der Bund auch die Kantone und Gemeindebehörden unterstützen kann. Der Bundesrat ist bereit, dies gemeinsam mit den Kantonen zu tun.

In Bezug auf den subsidiären Einsatz von Mitteln der Armee zugunsten ziviler Behörden gelten die Bestimmungen des Militärgesetzes nach Art. 67: Zivile Behörden können für bestimmte Aufgaben Unterstützung anfordern, wenn die Aufgabe im öffentlichen Interesse liegt und die Mittel zur Erfüllung der Aufgabe ausgeschöpft oder nachweislich nicht vorhanden sind und auch nicht von kommerziellen Leistungserbringern im erforderlichen Umfang und zeitgerecht zur Verfügung gestellt werden können.

Für die Zusammenarbeit der Armee mit zivilen Behörden innerhalb der Sicherheit von Informatiksystemen wird im Rahmen der Revision des Militärgesetzes (voraussichtlich per 01.01.2023) eine explizite Rechtsgrundlage im Cyber-Bereich geschaffen. Damit wird die Zusammenarbeit vereinfacht.

Antwort des Bundesrates.