Meldepflicht bei schwerwiegenden Sicherheitsvorfällen bei kritischen Infrastrukturen

Graf-Litscher Edith · Mit-F · Nationalrat · Thurgau · Sozialdemokratische Fraktion

Die Stromversorgung, das Verkehrsnetz und die Kommunikation sind von essenzieller Bedeutung für die Bevölkerung und die Wirtschaft in der Schweiz. Im Ganzen sind es zehn Bereiche, die unter dem Begriff "kritische Infrastrukturen" zusammengefasst werden. Kritisch sind vor allem Strom und Telekommunikation, weil diese kurzfristig ausfallen können, was bei anderen Bereichen nicht zwingend der Fall ist. Die Risiken gehen jedoch über Cyber hinaus: Naturkatastrophen, Angriffe auf Gesellschaft und Technik, so auch militärische und terroristische Angriffe können noch grössere Auswirkungen auf unser Land haben, wenn nicht rechtzeitig gehandelt wird.

Der Massnahmenkatalog zur Eindämmung dieser Gefahrenspektren ist ebenfalls sehr breit. Heute ist jeder in seinem eigenen Bereich selber zuständig. Es sind also vorrangig die Betreiber dafür verantwortlich, den Schutz ihrer Anlagen gemäss den branchenspezifischen Vorgaben sicherzustellen. Die zivilen Behörden sind als Erstes gefordert, an letzter Stelle steht die Armee.

Es war kein Zufall, dass der Bundesrat 2012 die beiden nationalen Strategien zu den Cyberrisiken (NCS) und zum Schutz kritischer Infrastrukturen verabschiedet hat. Die Strategie zum Schutz kritischer Infrastrukturen nimmt viele Cyberrisiken wahr, und die NCS nimmt sich auch der kritischen Infrastrukturen an. Beide Strategien legen Wert auf die Resilienz, das heisst die Fähigkeit, auch im Falle einer Schädigung durch Rückgriff auf interne Ressourcen die Widerstandsfähigkeit und Selbstheilungsprozesse weiter zu erarbeiten. Deshalb wird mehr und mehr auch in die Fähigkeit investiert, sich im Falle einer Cyberkrise richtig zu verhalten, also erstens Angriffe zu erkennen, zweitens auf Angriffe zu antworten und drittens die normale Lage raschestmöglich wiederherzustellen. Wir müssen der Realität ins Auge schauen: Nicht alle Naturkatastrophen und Cyberangriffe lassen sich abwehren. Wir müssen jedoch lernen, mit Angriffen und Ereignissen umzugehen.

Mit meinem Postulat wird der Bundesrat eingeladen, zu prüfen und darüber Bericht zu erstatten, wie und aufgrund welcher Kriterien die Betreiber von kritischen Infrastrukturen einer allgemeinen Meldepflicht bei potenziell schwerwiegenden Sicherheitsvorfällen bzw. Funktionsausfällen unterstellt werden könnten, wie die Meldungen und die Erkenntnisse daraus systematisch ausgewertet werden könnten und wie gestützt darauf ein Frühwarn-, Beratungs- und Abwehrsystem aufgebaut werden könnte.

Eine Meldepflicht ermöglicht es den zuständigen Behörden, ein umfassendes und aktuelles Lagebild einer konkreten Bedrohungssituation zu erhalten. Ich bin der Ansicht, dass die Möglichkeit geprüft werden soll, die Meldung anonym zu erstatten. Basierend darauf können kurzfristig Warn- und Alarmmeldungen sowie Handlungsanleitungen erstellt werden. Ein verlässliches Lagebild ist Voraussetzung zur Definition der Schwelle, ab welcher die staatlichen Stellen die Betreiber subsidiär bei der Ereignisbewältigung unterstützen sollen. Dadurch können die Betreiber von kritischen Infrastrukturen mit einem verlässlichen Lagebild und einem Frühwarnsystem in die Lage versetzt werden, Sicherheitslücken rechtzeitig zu erkennen, ihre Widerstandsfähigkeit, also die Resilienz, zu erhöhen und Abwehrmassnahmen einzuleiten. Das Teilen des Wissens um Angriffe und Schwachstellen ist eine Voraussetzung für eine wirkungsvolle Strategie bei der Verbesserung der Sicherheit von kritischen Infrastrukturen.

Heute geht es darum, das Signal auf Grün statt auf Rot zu stellen. Damit beauftragen wir die Verwaltung, Lösungen aufzuzeigen, wie eine solche Meldepflicht aussehen soll. Dazu gehört natürlich auch, dass die betroffenen Betreiber der kritischen Infrastrukturen in die Lösungsfindung einbezogen werden. Es soll aufgezeigt werden, welche Art von Vorfällen gemeldet und welche Sicherheitsstandards eingehalten werden müssen und ab welchem Schwellenwert ein Vorfall meldepflichtig ist.

Die Cybersicherheit und der Schutz kritischer Infrastrukturen sind zentral für das öffentliche Leben in der Schweiz. Eine Störung oder ein Ausfall würde drastische Folgen haben. Neben anderen Handlungsfeldern ist die Meldepflicht also eine wirkungsvolle Massnahme, um Vorfälle richtig einzuschätzen und die notwendigen Schlüsse daraus zu ziehen.

In diesem Sinne bitte ich Sie, mein Postulat anzunehmen. Auch der Bundesrat beantragt die Annahme des Postulates.

Maurer Ueli · BR-M · Bundesrat · Zürich

Ich war vorhin in eine Diskussion mit Frau Leutenegger Oberholzer verwickelt und habe es verpasst, zum vorherigen Geschäft, also zum Postulat Vitali 17.3436, Stellung zu nehmen.

Der Bundesrat ist bereit, dieses Postulat entgegenzunehmen. Wir würden die Forderungen dann im Wirksamkeitsbericht 2016-2019 zum Finanzausgleich zwischen Bund und Kantonen einbauen und dieses Thema auch in einem möglichen NFA II weiter bearbeiten. Ich habe meine Stellungnahme zu diesem Postulat verpasst; aber ich denke, Ihr Anliegen ist auch unseres, und wir werden das entsprechend aufnehmen.

Zum Postulat Graf-Litscher 17.3475: Der Bundesrat ist bereit, auch dieses Postulat entgegenzunehmen. Die Absicht dahinter ist ja eine Verbesserung der Sicherheit von kritischen Infrastrukturen; in diesem Zusammenhang zu prüfen, ob eine Meldepflicht eine Verbesserung bringt, ist eines unserer Anliegen. Wenn wir hier etwas systematischer vorgehen könnten - das würden wir im geforderten Bericht aufzeigen -, würde das auch dazu führen, dass wir mögliche Präventionen verbessern könnten. Wir könnten im Austausch mit den Betreibern dieser kritischen Infrastrukturen gegenseitig von Erfahrungen profitieren und das in einem Präventionskatalog aufarbeiten.

In diesem Sinne sind wir bereit, das Postulat entgegenzunehmen. Ich denke, es dient der Verbesserung der Sicherheit im Bereich der kritischen Infrastrukturen, und da sind wir, das müssen wir feststellen, anfällig. Da gibt es Verbesserungsbedarf, und mit diesem Bericht könnten wir das aufzeigen, auch in Zusammenarbeit mit den Betreibern.

Wir sind also bereit, das Postulat entgegenzunehmen.

de Buman Dominique · P-M · Nationalrat · Freiburg · CVP-Fraktion

Le président (de Buman Dominique, président): Le Conseil fédéral propose d'adopter le postulat. Je vous informe que Monsieur Imark ne combat plus le postulat.

Angenommen - Adopté