Andrey Gerhard · Nationalrat · 2023-09-21

Wortprotokoll

Wir befinden uns nun, wie mehrfach genannt, in der Differenzbereinigung, in den letzten Zügen der Änderung des Informationssicherheitsgesetzes. Sie erinnern sich, die Vorlage in ihrer ursprünglichen Form war weitgehend unbestritten. Zu grösseren Diskussionen und damit zu dieser Differenz, die wir nun das zweite Mal beraten, hat die vom Nationalrat hinzugefügte Meldepflicht auch für gravierende Schwachstellen geführt.

Der Ständerat hat am Dienstag das zweite Mal, mit 32 zu 12 Stimmen, an der bundesrätlichen Fassung festgehalten und ist damit dem Kompromissvorschlag der SiK-N, welchen wir vergangene Woche hier im Plenum mit 102 zu 80 Stimmen beschlossen hatten, nicht gefolgt. Dieser Kompromiss hätte die Meldepflicht für Schwachstellen in Eigenentwicklungen ausgenommen. Der Antrag Zopfi aus dem Ständerat wurde mit dem Minderheitsantrag Fivaz Fabien deckungsgleich in die SiK-N getragen; er erstreckt sich auf der Fahne über mehrere Artikel.

Der Antrag der Minderheit adressiert die Vorbehalte, welche von betroffenen Unternehmen und Verbänden vorgebracht wurden, so z.[NB]B. die Möglichkeit, Meldungen auch anonym zu machen, die Frist zur Meldung auszudehnen oder das NCSC zu verpflichten, Meldungen nur auf sicheren Systemen zu transportieren und zu bearbeiten. Nach Aussagen der Verwaltung respektive des NCSC wäre dieser zweite Kompromissvorschlag praktikabel, umsetzbar und im Grundsatz nicht unerwünscht. Die Behörde sei auf Informationsaustausch angewiesen, denn aus Mangel an Ressourcen könne sie nicht selber nach Schwachstellen in kritischer Software suchen.

Die Frage der Schwachstellenmeldung wurde jedoch nicht vernehmlasst, und die betroffenen Stakeholder konnten sich nicht dazu äussern. Deshalb zieht es das NCSC vor, nun zuerst freiwillige Meldungen zu kultivieren, bevor eine Pflicht eingeführt werden soll; also ähnlich, wie dies bei den Cyberattacken praktiziert wurde, die nach einer Phase der Freiwilligkeit mit dem Inkrafttreten der Gesetzesänderung neu meldepflichtig werden.

Ihre Sicherheitspolitische Kommission ist dieser Argumentation gefolgt und empfiehlt Ihnen mit 15 zu 9 Stimmen, der ursprünglichen und damit auch der ständerätlichen Fassung zu folgen, den Minderheitsantrag Fivaz Fabien abzulehnen und somit die Differenz auszuräumen.