Glanzmann-Hunkeler Ida · Nationalrat · 2017-03-15

Wortprotokoll

Cybersicherheit ist ein Thema, welches heute von Anbietern und insbesondere von Firmen mit grösserer Sensibilität wahrgenommen wird. Ohne Sicherheit im Cyberbereich sind alle angreifbar, sensible Daten können gestohlen werden, oder Unternehmen laufen Gefahr, durch Manipulationen Schaden zu erleiden.

Seit 2015 befasst sich die Subkommission EDA/VBS der GPK mit der nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) und ihrer Umsetzung. Da die NCS nur den zivilen Bereich abdeckt, haben wir uns auch über die Massnahmen zur Cybersicherheit im militärischen Bereich informieren lassen. Seit Juni 2016 haben wir uns auch mit dem Cyberspionageangriff auf die Ruag vom Dezember 2015 befasst. Die Geschäftsprüfungsdelegation, welche vorerst diesen Angriff behandelte, gab dieses Geschäft an unsere Subkommission weiter. Wir haben regelmässig mit dem VBS Kontakt und lassen uns informieren, wie die Massnahmen umgesetzt werden, welche der Bundesrat nach diesem Cyberangriff auf die Ruag beschloss.

In der Subkommission haben wir für dieses Geschäft folgende Schwerpunkte definiert: Entflechtung der Netze und Umsetzung der Massnahmen nach dem Cyberangriff auf die Ruag. Die Entflechtung der Datenspeicherung ist aus unserer Sicht wichtig, da die Ruag ein eigenständiges Unternehmen und das VBS ein Departement des Bundes mit vielen heiklen Daten ist. Es gibt viele Schnittstellen, unter anderem weil die Ruag als Lieferant des Bundes Daten speichert. Um diese Problematik zu vertiefen, hat die Subkommission Verantwortliche aus dem VBS und dem Informatiksteuerungsorgan des Bundes angehört.

Ferner wollten wir wissen, welches die Konsequenzen dieses Angriffs für die Ruag sind. Hier interessierten wir uns, welche Daten abgeflossen sind und ob bekannt ist, ob und allenfalls welche Schäden entstanden sind. Wir wollten auch wissen, ob betroffene Kunden der Ruag informiert worden sind. Im Berichtsjahr erhielten wir auf diese Fragen noch keine Antwort.

Einen weiteren Schwerpunkt legten wir auf die Kontrolle der Umsetzung der NCS mit Fokus auf die geplante [PAGE 419] Verwundbarkeitsanalyse. Die Strategie des Bundes dient aus unserer Sicht als Auslegeordnung und muss immer wieder angepasst werden, da sich die Möglichkeiten im Netz sehr schnell verändern. Im Jahr 2016 blieben viele Fragen zu diesem Thema offen. Es sind immer noch Abklärungen im Gange, ganz besonders bei der Ruag, und wir werden dieses Thema in unserer Subkommission weiterverfolgen. Ein besonderes Augenmerk werden wir dabei auf die Entflechtung und auf die Umsetzung der Forderungen des Bundesrates legen.

Ebenfalls im letzten Jahr behandelten wir das Thema, dass private Sicherheitsunternehmen den Schutz militärischer Anlagen gewährleisten müssen. Wir verlangten vom VBS Antworten zu Umfang, Kosten, Problemen und Risiken dieser Dienstleistungen. Nach der schriftlichen Stellungnahme des Departementes kamen wir in der Subkommission zum Schluss, dass die rechtlichen Grundlagen für die Einsätze von privaten Sicherheitsunternehmen ausreichend sind, dass Ressourcengründe diese Einsätze rechtfertigen, dass die Personen sicherheitsüberprüft werden und nicht für die Überwachung von sensiblen militärischen Anlagen eingesetzt werden. Auf die Frage, ob allenfalls WK-Soldaten diese Überwachung übernehmen könnten, erhielten wir die Antwort, dass dies nicht zweckmässig wäre und so Ressourcen der Armee gebunden würden, die dann an anderen Orten fehlten. Zudem sei die WK-Zeit zu kurz, um spezifische Kenntnisse aufzubauen. Das VBS hielt aber auch fest, dass die Militärpolizei in den letzten Jahren insbesondere Objekte und Areale mit erhöhten Sicherheitsanforderungen selber überwacht hat. Die Subkommission beurteilte die Ausführungen des VBS als nachvollziehbar und beschloss, dieses Thema abzuschliessen.