SubmittedText

Im Sommer 2021 wurde die Gemeinde Rolle (VD) Opfer eines Cyberangriffs mit Lösegeldforderung. Die Tragweite des Angriffs blieb zunächst unklar, brachte jedoch später zutage, dass tausende von sensitiven Daten ihrer Einwohnerinnen und Einwohner, inkl. Kinder, offengelegt wurden. In diesem Zusammenhang wird der Bundesrat gebeten, folgende Fragen zu beantworten:

1. Wie gravierend schätzt der Bundesrat die Tragweite dieses Vorfalls ein?

2. Geht der Bundesrat davon aus, dass es sich um ein schweizweites Risiko für die Gemeinden handelt, resp. viele weitere Gemeinden ebenso vulnerabel gegenüber Cyberangriffe sind?

3. Sind die Gemeinden und Kantone ausreichend mit Ressourcen und Wissen ausgestattet, um auf einen Cyberangriff adäquat reagieren zu können?

4. Welche Massnahmen empfiehlt der Bundesrat gegenüber Kantonen und Gemeinden, um sich vor ähnlichen Angriffen zu schützen?

5. Kann das NCSC die Gemeinden in ihren Bestrebungen, sich zu schützen, unterstützen und begleiten?

FederalCouncilResponseText

Der Bundesrat nimmt zu den Fragen wie folgt Stellung:

Zu 1): Der Vorfall ist in erster Linie für die betroffenen Bürgerinnen und Bürger gravierend. Es besteht die Gefahr, dass die Täter versuchen werden, die erbeuteten Daten für kriminelle Zwecke (z.B. Betrugsversuche) zu nutzen. Es ist daher sehr wichtig, dass die Betroffenen wissen, dass ihre Daten vom Vorfall betroffen sind. Der Vorfall ist jedoch auch aus staatspolitischer Sicht gravierend, da er das Vertrauen der Bürgerinnen und Bürger in den Staat beeinträchtigt. Es ist von grosser Bedeutung, dass alle Behörden dem Schutz der von ihnen bearbeiteten Daten oberste Priorität einräumen.

Zu 2) und 3): Ja, es muss davon ausgegangen werden, dass auch weitere Gemeinden gegenüber Cyberangriffen verwundbar sind. Der Grund dafür liegt hauptsächlich darin, dass viele Behörden noch über zu wenig Wissen über mögliche Cyberbedrohungen verfügen, um sich effektiv vor solchen Angriffen zu schützen.

Zu 4): Das Nationale Zentrum für Cybersicherheit (NCSC) publiziert auf seiner Website Informationen wie sich Privatpersonen, Unternehmen und Behörden vor Cyberangriffen schützen können und aktualisiert diese Informationen laufend. Es hat auch Empfehlungen zum Schutz vor Ransomware-Angriffen veröffentlicht (jener Art von Angriffen, von der Rolle betroffen war): https://www.ncsc.admin.ch/ncsc/de/home/cyberbedrohungen/ransomware.html. Diese mit relativ wenig Aufwand umsetzbaren Massnahmen erhöhen den Schutz vor Cyberangriffen massgeblich.

Zu 5) Das NCSC kann gestützt auf Art. 12 der Cyberrisikenverordnung Meldungen zu Cybervorfällen entgegennehmen und Empfehlungen zum Vorgehen bei der Bewältigung des jeweiligen Vorfalls abgeben. Für eine weitergehende Unterstützung der Gemeinden beim Schutz vor Cyberrisiken fehlt ein rechtlicher Auftrag des NCSC. Der Bundesrat hat aber in der Nationalen Strategie zum Schutz der Schweiz vor Cyberrisiken (NCS) deutlich gemacht, dass der Bund gewillt ist, beim Schutz von KMU und Gemeinden mitzuwirken. Im Rahmen der Umsetzung dieser Strategie wurden beispielsweise Labels entwickelt, welche den Gemeinden helfen, ihre eigene Sicherheit und jene ihrer Leistungserbringer unabhängig prüfen zu lassen und Massnahmen zu identifizieren, um ihren Schutz vor Cyberangriffen zu verbessern. Zudem trägt das NCSC mit den unter 4) erwähnten Informationen und Anleitungen zur allgemeinen Prävention bei, wovon auch Gemeinden direkt profitieren können.

Antwort des Bundesrates.