SubmittedText

1. Wie beurteilt der Bundesrat die Bedrohung durch hochentwickelte Cyberspionage?

2. Mit welcher Strategie und welchen Massnahmen schützt er den Standort Schweiz? Welche internationalen Kooperationen bestehen oder werden anvisiert? Bestehen Kooperationen mit Privaten, die dem Bund im Bedarfsfall Spitzen-Know-how sichern? Wo liegt die Grenze zwischen unternehmerischer und individueller Eigenverantwortung und der Notwendigkeit eines vorgelagerten Schutzes?

3. Tragen die bestehenden Strategien der Bundesverwaltung - wie etwa E-Government, Cloud, E-Health - den Bedrohungen der ICT-Spitzentechnologie Rechnung?

4. Wie sind die bundesnahen Betriebe in das allfällige Dispositiv eingebunden?

FederalCouncilResponseText

1. Der Bundesrat erachtet die Bedrohung durch hochentwickelte Cyberspionage als hoch. Die Art der Cyberangriffe auf Schweizer Unternehmen und die Verwaltung reicht von einfachen Phishing-Angriffen (Password Fishing) über DDoS-Angriffe (Distributed Denial of Service) bis hin zu hochkomplexen, vermutlich staatlich unterstützten Cyberspionage-Angriffen. Die Schweiz ist somit bezüglich solcher Bedrohungen mindestens so gefährdet wie jeder andere Staat.

2. Der Bundesrat hat am 27. Juni 2012 die Strategie zum Schutz der Schweiz vor Cyberrisiken (Nationale Cyberstrategie, NCS) und am 15. Mai 2013 den dazugehörenden Umsetzungsplan für die in der Strategie vorgesehenen 16 Massnahmen verabschiedet. Mit der Strategie verfolgt der Bundesrat die Ziele, Bedrohungen im Cyberbereich frühzeitig zu erkennen, die Widerstandsfähigkeit von kritischen Infrastrukturen zu erhöhen, die Cyberrisiken zu reduzieren und Vorfälle zu bekämpfen.

Die verschiedenen Organisationseinheiten, die sich innerhalb der Bundesverwaltung mit der Prävention und der Abwehr von Cyberangriffen befassen, unterhalten je nationale und internationale Partnerschaften in ihrem Aufgabengebiet. So pflegt etwa die Melde- und Analysestelle Informationssicherung (Melani) ein weltweites Netzwerk und ist Vollmitglied in den beiden technisch orientierten Organisationen EGC (European Government CERTs) sowie First (Forum of Incident Response and Security Teams). Der Nachrichtendienst und Fedpol unterhalten ihre internationalen Kontakte mit Partnerdiensten. Weitere Kontakte bestehen im Umfeld der Nato über die Armee und in verschiedenen politischen Organisationen über das EDA usw. Dadurch ist auch ein Frühwarnsystem für den Fall sichergestellt, dass in einem ausländischen Staat eine auch für die Schweiz relevante Bedrohung auftauchen sollte.

Die verschiedenen Bundesorgane verfügen über Kontakte in die Privatwirtschaft, sowohl zu Herstellerfirmen als auch zu Service Providern. Diese können bei Bedarf beigezogen werden.

Die Verantwortung zum Schutz vor Cyberrisiken ist Teil eines jeden Risikomanagements und kann von einem Unternehmen nicht an eine externe Stelle ausgelagert werden. In diesem Sinne ist jedes Unternehmen in erster Linie selbst verantwortlich. Mit der Umsetzung der NCS und mit Melani unterstützt der Bund die Unternehmen in der Wahrnehmung ihrer Verantwortung.

Ebenfalls in der Eigenverantwortung des betroffenen Unternehmens liegt der Entscheid betreffend einzuleitenden Sofortmassnahmen. Diese können von einer einfachen Säuberung betroffener Computer bis hin zur vorübergehenden kompletten Abschottung des Unternehmens vom World Wide Web reichen. Auf Wunsch unterstützt Melani das betroffene Unternehmen bei der Entscheidungsfindung.

3. Im Rahmen der Umsetzung der erwähnten Strategien ist der Schutz vor Cyberrisiken zu berücksichtigen. Mit der Umsetzung der NCS und der darin vorgesehenen engen Zusammenarbeit mit allen betroffenen Departementen/Ämtern und der Privatwirtschaft soll dies gewährleistet werden.

4. Die bundesnahen Betriebe wie Swisscom, Post, SBB oder Ruag sind über Melani in das Dispositiv eingebunden. Zudem sind die meisten von ihnen auch über die wirtschaftliche Landesversorgung an der Umsetzung der NCS beteiligt.

Antwort des Bundesrates.