Graf-Litscher Edith · Nationalrat · 2017-12-13

Wortprotokoll

Die Stromversorgung, das Verkehrsnetz und die Kommunikation sind von essenzieller Bedeutung für die Bevölkerung und die Wirtschaft in der Schweiz. Im Ganzen sind es zehn Bereiche, die unter dem Begriff "kritische Infrastrukturen" zusammengefasst werden. Kritisch sind vor allem Strom und Telekommunikation, weil diese kurzfristig ausfallen können, was bei anderen Bereichen nicht zwingend der Fall ist. Die Risiken gehen jedoch über Cyber hinaus: Naturkatastrophen, Angriffe auf Gesellschaft und Technik, so auch militärische und terroristische Angriffe können noch grössere Auswirkungen auf unser Land haben, wenn nicht rechtzeitig gehandelt wird.

Der Massnahmenkatalog zur Eindämmung dieser Gefahrenspektren ist ebenfalls sehr breit. Heute ist jeder in seinem eigenen Bereich selber zuständig. Es sind also vorrangig die Betreiber dafür verantwortlich, den Schutz ihrer Anlagen gemäss den branchenspezifischen Vorgaben sicherzustellen. Die zivilen Behörden sind als Erstes gefordert, an letzter Stelle steht die Armee.

Es war kein Zufall, dass der Bundesrat 2012 die beiden nationalen Strategien zu den Cyberrisiken (NCS) und zum Schutz kritischer Infrastrukturen verabschiedet hat. Die Strategie zum Schutz kritischer Infrastrukturen nimmt viele Cyberrisiken wahr, und die NCS nimmt sich auch der kritischen Infrastrukturen an. Beide Strategien legen Wert auf die Resilienz, das heisst die Fähigkeit, auch im Falle einer Schädigung durch Rückgriff auf interne Ressourcen die Widerstandsfähigkeit und Selbstheilungsprozesse weiter zu erarbeiten. Deshalb wird mehr und mehr auch in die Fähigkeit investiert, sich im Falle einer Cyberkrise richtig zu verhalten, also erstens Angriffe zu erkennen, zweitens auf Angriffe zu antworten und drittens die normale Lage raschestmöglich wiederherzustellen. Wir müssen der Realität ins Auge schauen: Nicht alle Naturkatastrophen und Cyberangriffe lassen sich abwehren. Wir müssen jedoch lernen, mit Angriffen und Ereignissen umzugehen.

Mit meinem Postulat wird der Bundesrat eingeladen, zu prüfen und darüber Bericht zu erstatten, wie und aufgrund welcher Kriterien die Betreiber von kritischen Infrastrukturen einer allgemeinen Meldepflicht bei potenziell schwerwiegenden Sicherheitsvorfällen bzw. Funktionsausfällen unterstellt werden könnten, wie die Meldungen und die Erkenntnisse daraus systematisch ausgewertet werden könnten und wie gestützt darauf ein Frühwarn-, Beratungs- und Abwehrsystem aufgebaut werden könnte.

Eine Meldepflicht ermöglicht es den zuständigen Behörden, ein umfassendes und aktuelles Lagebild einer konkreten Bedrohungssituation zu erhalten. Ich bin der Ansicht, dass die Möglichkeit geprüft werden soll, die Meldung anonym zu erstatten. Basierend darauf können kurzfristig Warn- und Alarmmeldungen sowie Handlungsanleitungen erstellt werden. Ein verlässliches Lagebild ist Voraussetzung zur Definition der Schwelle, ab welcher die staatlichen Stellen die Betreiber subsidiär bei der Ereignisbewältigung unterstützen sollen. Dadurch können die Betreiber von kritischen Infrastrukturen mit einem verlässlichen Lagebild und einem Frühwarnsystem in die Lage versetzt werden, Sicherheitslücken rechtzeitig zu erkennen, ihre Widerstandsfähigkeit, also die Resilienz, zu erhöhen und Abwehrmassnahmen einzuleiten. Das Teilen des Wissens um Angriffe und Schwachstellen ist eine Voraussetzung für eine wirkungsvolle Strategie bei der Verbesserung der Sicherheit von kritischen Infrastrukturen.

Heute geht es darum, das Signal auf Grün statt auf Rot zu stellen. Damit beauftragen wir die Verwaltung, Lösungen aufzuzeigen, wie eine solche Meldepflicht aussehen soll. Dazu gehört natürlich auch, dass die betroffenen Betreiber der kritischen Infrastrukturen in die Lösungsfindung einbezogen werden. Es soll aufgezeigt werden, welche Art von Vorfällen gemeldet und welche Sicherheitsstandards eingehalten werden müssen und ab welchem Schwellenwert ein Vorfall meldepflichtig ist.

Die Cybersicherheit und der Schutz kritischer Infrastrukturen sind zentral für das öffentliche Leben in der Schweiz. Eine Störung oder ein Ausfall würde drastische Folgen haben. Neben anderen Handlungsfeldern ist die Meldepflicht also eine wirkungsvolle Massnahme, um Vorfälle richtig einzuschätzen und die notwendigen Schlüsse daraus zu ziehen.

In diesem Sinne bitte ich Sie, mein Postulat anzunehmen. Auch der Bundesrat beantragt die Annahme des Postulates.