24.3810
Durchführung dringend notwendiger Cybersicherheitsprüfungen
Riniker Maja · P-F · Nationalrat · Aargau · FDP-Liberale Fraktion
Antrag der Mehrheit
Annahme der Motion
Antrag der Minderheit
(Tuena, Addor, Gartmann, Götte, Heimgartner, Hess Erich, Hurter Thomas, Walliser, Zuberbühler)
Ablehnung der Motion
Proposition de la majorité
Adopter la motion
Proposition de la minorité
(Tuena, Addor, Gartmann, Götte, Heimgartner, Hess Erich, Hurter Thomas, Walliser, Zuberbühler)
Rejeter la motion
Präsidentin (Riniker Maja, Präsidentin): Sie haben einen schriftlichen Bericht der Kommission erhalten.
de Quattro Jacqueline · Mit-F · Nationalrat · Waadt · FDP-Liberale Fraktion
La cybercriminalité s'est immiscée dans notre quotidien. La fréquence et la sophistication technique des attaques ne cessent d'augmenter. Face à la rapidité de la numérisation, notre pays est vulnérable, car il est exposé à une hausse de la menace, qui s'accentuera encore. Le danger, qui était ponctuel il y a quelque temps, est devenu omniprésent. Plus personne n'est à l'abri. Les cybercriminels ciblent aussi bien les institutions publiques ou privées que les individus ou les entreprises, comme le prouvent les innombrables exemples de vols de données et d'interruptions d'activités. Les cyberattaques représentent une importante menace pour tous les domaines de la vie publique et aussi, de plus en plus, de la vie privée. Le constat est des plus préoccupants.
En Suisse, peu de contrôles sont réalisés dans le domaine des produits et des infrastructures numériques. Il n'existe pratiquement pas de lois ou de normes contraignantes, ni d'exigences minimales à l'échelle nationale, ni d'ailleurs de responsabilité du fait des produits pour les logiciels inscrite dans la loi. En conséquence, des produits et applications peu sûrs arrivent sur le marché helvétique, sans avoir été testés, ce qui permet aux cybercriminels de tous bords et aux acteurs étatiques hostiles opérant à l'échelle internationale de les exploiter sans entrave.
De multiples raisons peuvent expliquer ce manque de contrôles. D'abord, notre industrie de la cybersécurité, qui est pourtant bien développée, n'est pas incitée à effectuer les contrôles nécessaires pour les produits, les applications et leurs composants. Par ailleurs, les responsabilités et les compétences en matière de cybersécurité, notamment au sein des organisations actives dans le domaine des nouvelles technologies, ne sont pas suffisamment bien définies et la sensibilisation demeure insuffisante.
Si nous voulons assurer durablement la stabilité sociale et économique ainsi que la sécurité et la souveraineté numériques de la Suisse, il est indispensable de reconnaître les produits et composants critiques des infrastructures en réseau fréquemment utilisés. Leur cybersécurité doit être régulièrement vérifiée par des organismes indépendants. Il est impératif d'encourager le développement de compétences supplémentaires dans le domaine des vulnérabilités numériques pertinentes pour la sécurité publique et également pour l'approvisionnement de notre pays.
C'est pourquoi la commission de notre conseil vous recommande, par 15 voix contre 9, d'adopter la motion 24.3810. Elle charge le Conseil fédéral de créer les bases légales et de mettre à disposition des moyens financiers pour combler les lacunes critiques dans le contrôle de la cybersécurité. Comme le Conseil des Etats, qui a accepté tacitement cette motion, la commission de notre conseil est d'avis qu'il est essentiel de prendre rapidement des mesures. L'établissement de normes de qualité uniforme améliorera la cybersécurité au profit de la société, de notre économie et aussi de nos autorités, ce qui contribuera à renforcer l'attrait de notre place économique.
Je rappelle qu'avec l'entrée en vigueur, prévue à la fin de cette année encore, de la législation sur la cyberrésilience de l'Union européenne et sa mise en oeuvre prévue dans un délai de 3 ans, nos entreprises exportatrices devront de toute manière se pencher sur les exigences relatives à la cybersécurité de leurs produits et de leurs services.
Même si elle estime, elle aussi, qu'il est important d'agir, une minorité rejette la motion et considère que le financement n'est pas suffisamment clair, en particulier en ce qui concerne les coûts supportés par la Confédération. Au surplus, cette minorité craint une surcharge administrative.
Malgré ses réserves, le Conseil fédéral approuve quant à lui la motion. Il précise simplement que si la tâche devait revenir à la Confédération, il faudrait alors que son financement soit assuré par les bénéficiaires, par exemple par le biais d'émoluments. Les contrôles demandés concerneraient en effet des tiers extérieurs à l'administration fédérale.
La cybersécurité d'infrastructures, d'applications et d'appareils interconnectés doit être mieux contrôlée; c'est une priorité. Renforcer notre cyberrésilience n'est plus une option, mais une nécessité. Si nous voulons gagner le combat contre la cybercriminalité, nous devons être à la hauteur de la menace.
Candan Hasan · Mit-M · Nationalrat · Luzern · Sozialdemokratische Fraktion
Ihre Sicherheitspolitische Kommission beantragt Ihnen mit 15 zu 9 Stimmen, die Motion der ständerätlichen Schwesterkommission anzunehmen. Der Ständerat hat die Motion am 18. September 2024 ohne Abstimmung angenommen.
Ihre Kommission teilt die Ansicht des Ständerates, dass bezüglich Cybersicherheitsprüfungen dringender Handlungsbedarf besteht. Für die Mehrheit der Kommission stellt die Etablierung von einheitlichen Qualitätsstandards eine wichtige Massnahme zur Erhöhung der Cybersicherheit zum Nutzen von Gesellschaft, Wirtschaft und Behörden dar.
In der Schweiz bestehen kaum Gesetze oder verbindliche Standards zu Qualitätsanforderungen an Software- oder Hardwareprodukte. Die Kommission stellt deshalb fest, dass in der Schweiz viele dringend notwendige Prüfungen der Cybersicherheit von vernetzten Infrastrukturen, Geräten und Anwendungen nicht durchgeführt werden. Diese Prüfungen sind unabdingbar für den Schutz der Gesellschaft und für die Funktionsfähigkeit von Wirtschaft und Behörden.
Die Motion beauftragt den Bundesrat, die kritische Lücke bezüglich fehlender Cybersicherheitsprüfungen zu schliessen. Dazu sind die notwendigen gesetzlichen Grundlagen zu schaffen und die finanziellen Mittel bereitzustellen. Nach dem heutigen System ist es für die Hersteller in den meisten Fällen nicht attraktiv, die Kosten für die Überprüfung zu tragen, wenn es andere Hersteller gibt, welche etwas Ungeprüftes verkaufen. Damit werden die Kosten und Risiken auf die Konsumentinnen und Konsumenten abgewälzt, weil die Nutzenden selber prüfen müssen, ob das Produkt gut genug ist.
Ihre Kommission erachtet es als sinnvoll, dieses System umzukehren. Dazu zwei Beispiele, welche die Folgen des heutigen Systems ohne Überprüfung aufzeigen: Tablets für Kinder aus China überprüfte niemand, es war ökonomisch nicht attraktiv. Eine kanadische Non-Profit-Organisation prüfte die Tablets und fand heraus, dass diese viel Spyware enthielten. Jede Bewegung, die ein Kind machte, wurde protokolliert. Oder ein Schweizer Hersteller von Waschmaschinen und Kühlschränken verkaufte Produkte, die keine einzige Sicherheitsanforderung erfüllten. Sie haben Schwachstellen und funktionieren oft nicht korrekt. Wenn Konsumenten und Konsumentinnen nun das billigere, ungeprüfte Produkt kaufen und dieses dann nicht korrekt funktioniert, rufen sie die Hotline des Schweizer Herstellers an. Dieser muss vorbeikommen. Dies ist die Erwartung bei einem von einem Schweizer Unternehmen verkauften Produkt. Die Kosten, die so auf das Schweizer Unternehmen zukommen, machen es in Zukunft schwierig, überhaupt noch Kühlschränke und Waschmaschinen zu verkaufen.
Wir kennen schon heute Sicherheitsüberprüfungen bei vielen physischen Produkten. Sie können heute keine Brücke bauen, ohne geprüfte Materialien einzusetzen. Auch ein Ball für Kinder wird darauf geprüft, ob das Material giftig ist oder nicht. Einzig im Cyberraum, wo zum Beispiel ganze Zugsysteme nicht mehr fahren können, wenn etwas nicht stimmt, sehen wir bis dato keine Prüfungen vor.
Die Mehrheit der Kommission sieht in der Einführung einer Cybersicherheitsprüfung einen Zugewinn an Nutzen für die Konsumentinnen und Konsumenten, indem diese vertrauensvoll einkaufen können. Betroffen sind auch viele Schweizer KMU. Sie besitzen nicht die Ressourcen, um die Software- oder Hardwarekomponenten zu überprüfen.
Die Minderheit lehnt die Motion ab, weil sie offene Fragen bezüglich Umsetzung und Finanzierung hat. Sie möchte mehr Informationen und Zeit, um zu überlegen.
Auch die Mehrheit der Kommission anerkennt die offenen Fragen. Bei der Festlegung der Prüftiefe und Prüfdichte gilt es, Augenmass zu behalten und sinnvolle Kriterien zu definieren. Wir sind aber angehalten, in dieser Frage vorwärtszumachen, dies auch im Sinne der exportierenden Schweizer Wirtschaft. Der European Cyber Resilience Act wird kommen. Firmen, die ins Ausland verkaufen, brauchen aus fachlicher Sicht schnell Rechtssicherheit.
In einem ist sich die Kommission einig: Cybersicherheit erhalten wir nicht umsonst, und Sicherheit ist ein wertvolles Gut. Sicherheit muss uns etwas wert sein.
Der Motionstext sieht vor, dass der Bundesrat finanzielle Mittel zur Verfügung stellt. Der Bundesrat sieht dies in seiner Stellungnahme anders. Die Motion fordert den Bundesrat auf, dass er seinen Teil der Verantwortung für die Finanzierung trägt. Die Modalitäten sollen im Rahmen der Umsetzung der Motion vom Bundesrat geklärt werden.
Ich danke Ihnen, wenn Sie den Antrag der Kommission auf Annahme der Motion unterstützen.
Tuena Mauro · Mit-M · Nationalrat · Zürich · Fraktion der Schweizerischen Volkspartei
Wie in vorangehenden Voten gesagt, lehnt eine Minderheit der Kommission diese Motion ab. Ich kann Ihnen sagen - ich teile hier die Meinung der Kommissionssprecher -, dass wir angesichts dieser grossen Anzahl von Cyberangriffen ebenfalls besorgt sind. Ich kann Ihnen auch sagen, dass die Schäden in die Milliarden gehen; ich arbeite ja in dieser Branche. Jede Firma, ich will auch dazu aufrufen, tut gut daran, dass sie entsprechend vorbeugend handelt und dafür sorgt, dass Router, Betriebssysteme und gerade der Server usw. immer auf dem neuesten Stand sind und dass die entsprechenden Patches installiert werden.
Diesen Teil der Motion befürworte ich. Im Motionstext steht aber auch, es seien "die finanziellen Mittel" bereitzustellen. Sie alle wissen, dass wir in dieser Session beim Budget um jeden Rappen feilschen, und wir sind noch daran. Vor diesem Hintergrund fragen wir uns: Wie hoch sollen diese finanziellen Mittel sein, und wofür sollen diese finanziellen Mittel bereitgestellt werden? Geht es nur um die Bundesverwaltung, oder geht es im grossen Stil um private Unternehmen?
Ich kann Ihnen sagen, wenn Sie diese Motion so annehmen, mit diesem Satz, und der Bundesrat diese Motion dann so umsetzt, wie es hier steht, dann werden Ihnen die Kosten aus dem Ruder laufen. Dass die gesetzlichen Grundlagen früher oder später geschaffen werden, ist nachvollziehbar. Das ist vor allem für Firmen, welche im EU-Raum wirtschaften, von Bedeutung. Es ist auch richtig, dass wir einen Blick darauf haben, um solche Hackerangriffe möglichst zu verhindern. Aber dass der Bund jetzt nochmals mit finanziellen Mitteln eingreift, mit finanziellen Mitteln, welche gemäss Motionstext nach oben offen sind, das sieht die Kommissionsminderheit nicht.
Das ist der Grund, warum wir gesagt haben, man müsse diese Motion nochmals überdenken. Wir hatten in diesem Stadium keine Möglichkeit, Änderungsanträge einzubringen. Folglich haben wir gesagt, wir würden diese Motion ablehnen und im Sinne unseres Kollegen Franz Grüter eine Kommissionsmotion einreichen, welche den von uns beanstandeten Teil, sprich die Bereitstellung der finanziellen Mittel, nicht beinhaltet hätte, sondern lediglich den Teil - ich korrigiere mich, es ist der wesentliche Teil, und ich möchte Kollege Grüter für seine Initiative auch danken -, der vorsieht, dass man die Grundlagen macht und somit den Druck erhöht, diese Prüfungen durchzuführen.
Es ist mir wichtig, nochmals Folgendes zu sagen: Niemand will, dass irgendwelche Hardware und Software in Gebrauch ist, welche Lücken hat, denn das ist extrem schädlich.
Ich möchte Sie im Namen der Kommissionsminderheit bitten, diese Motion, so, wie sie abgefasst ist, mit dem Verweis auf die finanziellen Mittel, ohne Kostendach, jetzt nicht zuhanden des Bundesrates anzunehmen. Ich garantiere Ihnen, dass ich bei einer Ablehnung der Motion sofort eine entsprechende Kommissionsmotion lancieren würde - ich bin ja Mitglied der SiK -, in welcher der Passus der finanziellen Mittel nicht enthalten wäre, analog zu dem, was der Bundesrat in seiner Stellungnahme zur Motion übrigens auch sagt.
Amherd Viola · BPR-F · Bundesrat · Wallis
Am 24. Juni 2024 hat die Sicherheitspolitische Kommission des Ständerates die Motion 24.3810, "Durchführung dringend notwendiger Cybersicherheitsprüfungen", eingereicht. Gefordert wird, dass die Sicherheit digitaler Produkte künftig genauer untersucht wird. Der Ständerat hat die Motion am 18. September 2024 angenommen. Ihre Sicherheitspolitische Kommission hat die Motion am 21. Oktober 2024 diskutiert und empfiehlt sie ebenfalls zur Annahme.
Es ist nicht das erste Mal, dass mit einem parlamentarischen Vorstoss Cybersicherheitsprüfungen gefordert werden. Bereits 2019 wurde der Bundesrat gefragt, ob er eine Prüfstelle für digitale Produkte aufbauen werde. Vor zwei Jahren haben Sie die Motion zur Unterstützung des Testinstituts in Zug diskutiert; sie wurde vom Ständerat schliesslich abgelehnt. Der Bundesrat befürwortet die Förderung von Prüfungen der Cybersicherheit seit je. Es ist unbestritten, dass wir genauer hinschauen müssen, welche Sicherheit die digitalen Produkte bieten oder eben nicht bieten. Mit der bevorstehenden Umsetzung des Cyber Resilience Act durch die EU ist die Frage noch wichtiger geworden. Diese Verordnung wurde am 10. Oktober 2024 von der EU beschlossen und soll bis 2027 umgesetzt werden. Sie wird von den Herstellern von Produkten mit digitalen Komponenten Nachweise zur Sicherheit verlangen. In diesem Kontext ist es umso wichtiger, dass sich die Schweiz dieser Frage auch annimmt.
Wie können wir unseren Unternehmen die Möglichkeit bieten, solche Nachweise in der Schweiz zu erbringen? Ein erster Schritt dazu ist es, festzulegen, wer wann welche Produkte prüft. Die Umsetzung der Motion kann Antworten dazu liefern. Während es viele Argumente für die Stärkung und für Prüfungen der Cybersicherheit in der Schweiz gibt, ist es weniger klar, wie das finanziert werden soll. Darin liegt für uns auch der kritische Punkt der Motion. In seiner Stellungnahme hat der Bundesrat verdeutlicht, dass seine Bereitschaft zur Annahme der Motion nicht bedeutet, dass der Bund die Finanzierung der Prüfungen übernimmt. Die Prüfungen sollen durch die Bedarfsträger finanziert werden. Es ist uns wichtig, zu betonen, dass wir durch die Umsetzung der Motion keine neuen Subventionen schaffen wollen.
Ich bitte Sie, die Motion gemäss diesen Ausführungen anzunehmen. Wir sind uns bewusst, dass die Umsetzung der Motion mehrere heikle Fragen aufwerfen wird, insbesondere bei der Frage nach der Finanzierung. Der Bundesrat ist jedoch davon überzeugt, dass es für die Cybersicherheit der Schweiz wichtig ist, dass wir uns mit der Frage der Cybersicherheitsprüfung von Produkten befassen und aufzeigen, wie wir diesbezüglich vorgehen wollen.
Hurter Thomas · Mit-M · Nationalrat · Schaffhausen · Fraktion der Schweizerischen Volkspartei
Frau Bundespräsidentin, der Bund ist in den letzten Jahren bezüglich Cyberattacken ja nicht gerade besonders positiv aufgefallen. Trotzdem fordert diese Motion eigentlich mehr oder weniger eine, ich sage jetzt einmal, staatliche Regelung. Können Sie nochmals ganz kurz ausführen, welchen Mehrwert Sie von dieser Motion erwarten bzw. mit welchen Mehrkosten Sie rechnen?
Amherd Viola · BPR-F · Bundesrat · Wallis
Der Mehrwert ist klar: Wir hätten geregelt, wie Produkte mit digitalen Komponenten zu prüfen sind, damit die Sicherheit der Bevölkerung gewährleistet ist. Das ist der Mehrwert. Jetzt gibt es dazu keine Regeln, das wurde auch von den Kommissionssprechern ausgeführt. Ich sage jetzt einmal sehr simpel: Es ist ein Wildwuchs, es gibt keine klaren Regeln. Es gibt einen Bedarf, weil die Risiken klar ausgewiesen sind. Wir können aber natürlich zum heutigen Zeitpunkt keine Kostenschätzung abgeben, das wäre eine Aufgabe der weiteren Arbeiten. Aber ich wiederhole: Der Bundesrat hat klar gesagt, es sollen hier keine neuen Subventionen geschaffen werden. Der Bund will die Kosten nicht übernehmen, diese sollen zulasten der Bedarfsträger gehen.
Wenn die Motion angenommen werden sollte, ist die Klärung der finanziellen Frage auch Teil der Umsetzungsarbeiten.
Andrey Gerhard · Mit-M · Nationalrat · Freiburg · Grüne Fraktion
Ich bin froh darum, dass Sie die Wichtigkeit dieser Geschichte anerkennen und die Motion hier auch zur Annahme empfehlen. Das wird zwangsläufig dazu führen, dass das Bundesamt für Cybersicherheit mehr Aufgaben für zivile Cybersicherheit bekommt. Es bekommt mit der Umsetzung der Informationspflicht bei Cyberangriffen schon nächstes Jahr mehr Aufgaben.
Das Bundesamt für Cybersicherheit hat aber keine Perspektive auf mehr finanzielle Mittel. Werden Sie uns da einen ganzheitlichen Vorschlag für die nächsten Jahre unterbreiten, damit das Bundesamt auch mehr Mittel hat, um diese immer grösser werdenden Aufgaben auch tatsächlich erfüllen zu können?
Amherd Viola · BPR-F · Bundesrat · Wallis
Das Bundesamt für Cybersicherheit nimmt eine extrem wichtige Aufgabe wahr. Sie wird angesichts der technologischen Entwicklung immer wichtiger, auch angesichts der Nutzung dieser Technologien. Da braucht es auch aus Departementssicht eine Stärkung im Bereich der Finanzen und auch des Personals. Wie Sie wissen, müssen sich die Departemente im Budgetrahmen bewegen, den das Parlament beschliesst, wir können nicht darüber hinausgehen.
Riniker Maja · P-F · Nationalrat · Aargau · FDP-Liberale Fraktion
Präsidentin (Riniker Maja, Präsidentin): Die Mehrheit der Kommission und der Bundesrat beantragen die Annahme der Motion. Eine Minderheit Tuena beantragt die Ablehnung der Motion.
Abstimmung
Abstimmung - Vote
Für Annahme der Motion ... 122 Stimmen
Dagegen ... 62 Stimmen
(0 Enthaltungen)