Zopfi Mathias · Ständerat · 2023-06-01

Wortprotokoll

Ich fasse mich kurz: Ich bitte Sie hier, der Mehrheit zuzustimmen.

Der Sprecher der Minderheit hat jetzt meiner Meinung nach selbst ein bisschen kompliziert erklärt, wieso diese Meldepflicht bei Schwachstellen eben kompliziert sein soll. Meiner Meinung nach ist sie das gerade nicht. Erstens einmal: Eine Schwachstelle, die Ihnen nicht bekannt ist, die können Sie nicht melden; das wird auch nicht verlangt. Verlangt wird, dass Sie eine Schwachstelle melden, wenn Sie sie sehen. Zweitens ist es eigentlich ganz banal und einfach. Wir haben es hier mit einer riesigen Bedrohung zu tun, solche Cybervorfälle können gewaltige Folgen haben. Die Idee hinter der Meldepflicht ist doch ganz einfach: Sie entdecken, dass Sie bei sich, in Ihrem System eine Schwachstelle haben - Sie müssen nicht danach suchen, Sie entdecken sie -, und Sie gehen davon aus, dass diese Schwachstelle auch andere betreffen könnte. Das heisst, andere könnten diese Schwachstelle auch haben, sie haben sie selber aber noch nicht gefunden. Da ist es doch das Nachvollziehbarste, Einfachste und für die Sicherheit dieser Unternehmen, gerade für KMU, das Allerbeste, wenn Sie diese Schwachstelle melden und andere aufgrund dieser Meldung den Schwachstellen in ihrem eigenen System nachgehen können.

Ich verstehe den Widerstand nicht. Ich gehe davon aus, dass es nicht so viele Meldungen geben wird, weil nicht so viele Unternehmen systematisch nach solchen Schwachstellen suchen können und suchen werden. Aber gerade die grösseren Unternehmen, wie vielleicht die SBB, werden solche Schwachstellen erkennen und dann mit ihrer Meldung vielen KMU Ärger ersparen. Die Meldepflicht schafft also effektiv mehr Sicherheit und kaum einen Mehraufwand. Entschuldigen Sie, aber wenn Sie eine Cyberschwachstelle entdecken, dann sollte es drinliegen - auch wenn es kein repetitiver Vorgang ist -, einmal ein Online-Formular auszufüllen, um andere Unternehmen damit zu schützen.

Ich danke für die Zustimmung zur Mehrheit.