Amherd Viola · Bundesrat · 2023-06-01

Wortprotokoll

Sie haben es gehört: Ihre Kommissionsmehrheit wie auch der Nationalrat beantragen die Ausweitung der Meldepflicht auf Schwachstellen.

Insgesamt beurteilen wir inhaltliche Erweiterungen der Meldepflicht skeptisch. Wir müssen uns bewusst sein, dass jede Erweiterung der Meldepflicht für die Unternehmen bedeutet, dass sie häufiger eine Meldung erfassen müssen. Wir haben bei der Erarbeitung der Vorlage grossen Wert darauf gelegt, die Meldepflicht auf das Notwendigste zu beschränken. Zugleich teilen wir aber die Ansicht, dass es sehr wichtig ist, Schwachstellen in kritischen Systemen möglichst früh zu erkennen. Eine Meldepflicht für Schwachstellen ist dann gerechtfertigt, wenn sie bisher noch nicht bekannte Schwachstellen in kritischen Systemen betrifft. In einem solchen Fall ist es entscheidend, dass der Bund alle kritischen Infrastrukturen, welche von der Schwachstelle betroffen sein könnten, rasch warnen kann. Deshalb ist eine Meldung von Schwachstellen sinnvoll.

Ihre Kommissionsmehrheit und der Nationalrat beantragen, in Artikel 74d Absatz 2 ISG die Meldepflicht auf Schwachstellen auszuweiten, die bisher noch nicht bekannt sind und die betriebskritische Systeme betreffen. Damit entfällt die Meldepflicht bei Schwachstellen, welche durch den Hersteller selber oder durch Sicherheitsforscher bereits öffentlich gemacht worden sind. Diese stellen die überwiegende Mehrheit der Schwachstellen dar. Es ist auch nicht so, dass man mit diesem zusätzlichen Artikel Schwachstellen suchen muss. Es ist keine Pflicht, Schwachstellen zu suchen. Wenn man aber eine Schwachstelle entdeckt, dann soll man sie melden, das ist die Idee hinter dem Mehrheitsantrag und dem Entscheid des Nationalrates.

Wenn wenig kritische Schwachstellen erkannt werden, welche die Funktionsfähigkeit der betroffenen Unternehmen nicht gefährden - zum Beispiel solche bei öffentlichen Websites -, müssen diese nicht gemeldet werden, weil sie eben öffentlich bekannt sind. Dank diesen Einschränkungen führt der Antrag lediglich zu einer moderaten Ausweitung der Meldepflicht. Gleichzeitig ergänzt er die Meldepflicht um einen wichtigen Aspekt, und zwar um die Frühwarnung vor Schwachstellen. Unter dieser Voraussetzung und zumal es nur um die Betreiberinnen und Betreiber kritischer Infrastrukturen geht und eben nicht um alle KMU, können wir mit der Ergänzung gemäss Nationalrat und Kommissionsmehrheit leben.