Verordnung vom 30. Januar 2019 über die militärische Cyberabwehr (MCAV) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101"/><FRBRdate date="2019-01-30" name="jolux:dateDocument"/><FRBRdate date="2019-03-01" name="jolux:dateEntryInForce"/><FRBRdate date="2024-01-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value="510.921"/><FRBRname xml:lang="de" value="Verordnung vom 30. Januar 2019 über die militärische Cyberabwehr (MCAV)" shortForm="MCAV"/><FRBRname xml:lang="fr" value="Ordonnance du 30 janvier 2019 sur la cyberdéfense militaire (OCMil)" shortForm="OCMil"/><FRBRname xml:lang="it" value="Ordinanza del 30 gennaio 2019 sulla ciberdifesa militare (OCDM)" shortForm="OCDM"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/de/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/de"/><FRBRdate date="2019-01-30" name="jolux:dateDocument"/><FRBRdate date="2019-03-01" name="jolux:dateEntryInForce"/><FRBRdate date="2024-01-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="de"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/de/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2019/94/20240101/de/xml"/><FRBRdate date="2019-01-30" name="jolux:dateDocument"/><FRBRdate date="2019-03-01" name="jolux:dateEntryInForce"/><FRBRdate date="2024-01-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.5"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Bundeskanzlei"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/DEU" showAs="de"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>510.921 </docNumber></p><p><docTitle>Verordnung <br/>über die militärische Cyberabwehr</docTitle></p><p>(MCAV)</p><p>vom 30. Januar 2019 (Stand am 1. Januar 2024)</p></preface><preamble><p>Der Schweizerische Bundesrat,</p><p>gestützt auf Artikel 100 Absatz 4 des Militärgesetzes vom 3. Februar 1995<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1995/4093_4093_4093" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">SR <b>510.10</b></ref></p></authorialNote> (MG),</p><p>verordnet:</p></preamble><body><article eId="art_1"><num><b>Art. 1</b></num><heading>Gegenstand</heading><paragraph eId="art_1/para_1"><num>1</num><content><p> Diese Verordnung regelt die Massnahmen im Rahmen der Cyberabwehr zum Eigenschutz und zur Selbstverteidigung der Armee und der Militärverwaltung im Fall eines Angriffs auf die einsatzkritischen Leistungen der Armee im Bereich der Informations- und Kommunikationstechnologie (einsatzkritische IKT-Leistungen der Armee).<authorialNote><p> Fassung gemäss Ziff. II 9 der V vom 22. Nov. 2023, in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 746</ref>).</p></authorialNote></p></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> Unter militärischer Cyberabwehr versteht man umfassende Aktionen im Cyberraum mit dem Ziel, die einsatzkritischen IKT-Leistungen der Armee auf militärstrategischer und operativer Führungsstufe zu schützen und zu verteidigen; sie umfasst die folgenden Aktionen:<authorialNote><p> Fassung gemäss Ziff. II 9 der V vom 22. Nov. 2023, in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 746</ref>).</p></authorialNote></listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>Cyberverteidigung: Aktion im Cyberraum mit dem Ziel, Angriffe und Cyberaufklärung zu identifizieren und die eigenen Ressourcen zu schützen;</p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>Cyberaufklärung: Aktion im Cyberraum mit dem Ziel, Nachrichten im Cyberraum zu gewinnen;</p></item><item eId="art_1/para_2/lbl_c"><num>c. </num><p>Cyberangriff: Aktion im Cyberraum mit dem Ziel, gegnerische Ressourcen und Fähigkeiten im oder durch den Cyberraum zu stören, zu behindern oder zu verlangsamen.</p></item></blockList></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Bewilligungspflichtige und nicht bewilligungspflichtige Massnahmen</heading><paragraph eId="art_2/para_1"><num>1</num><content><p> Massnahmen, die im Rahmen einer Aktion im Cyberraum das Eindringen in fremde Computersysteme und Computernetzwerke erfordern, sind bewilligungspflichtig.</p></content></paragraph><paragraph eId="art_2/para_2"><num>2</num><content><p> Massnahmen, die im Rahmen einer Aktion im Cyberraum kein Eindringen in fremde Computersysteme und Computernetzwerke erfordern, sind nicht bewilligungspflichtig.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Anträge für bewilligungspflichtige Massnahmen</heading><paragraph eId="art_3/para"><content><blockList><listIntroduction eId="art_3/para/listintro">Anträge für bewilligungspflichte Massnahmen sind schriftlich zu begründen und müssen folgende Angaben enthalten:</listIntroduction><item eId="art_3/para/lbl_a"><num>a. </num><p>den Zweck der Aktion im Cyberraum;</p></item><item eId="art_3/para/lbl_b"><num>b. </num><p>den Zeitraum, in dem die Aktion im Cyberraum erfolgen soll;</p></item><item eId="art_3/para/lbl_c"><num>c. </num><p>die betroffenen Computersysteme und Computernetzwerke;</p></item><item eId="art_3/para/lbl_d"><num>d. </num><p>die Anzahl Eindringen in die betroffenen Computersysteme und Computernetzwerke;</p></item><item eId="art_3/para/lbl_e"><num>e. </num><p>den Nachweis der Rechtmässigkeit, insbesondere der Verhältnismässigkeit, und die Beurteilung der Risiken der Aktion im Cyberraum.</p></item></blockList></content></paragraph></article><article eId="art_4"><num><b>Art. 4</b><authorialNote><p> Fassung gemäss Ziff. II 9 der V vom 22. Nov. 2023, in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 746</ref>).</p></authorialNote></num><heading>Zuständigkeit des Kommandos Cyber</heading><paragraph eId="art_4/para_1"><num>1</num><content><p> Das Kommando Cyber (Kdo Cy) ist zuständig für die militärische Cyberabwehr.</p></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><blockList><listIntroduction eId="art_4/para_2/listintro"> Es hat folgende Aufgaben:</listIntroduction><item eId="art_4/para_2/lbl_a"><num>a. </num><p>Es führt Aufträge zu Aktionen im Cyberraum aus.</p></item><item eId="art_4/para_2/lbl_b"><num>b. </num><p>Es ergreift vorsorgliche Massnahmen zum Eigenschutz der einsatzkritischen IKT-Leistungen der Armee.</p></item><item eId="art_4/para_2/lbl_c"><num>c. </num><p>Es prüft vorgängig die grundsätzliche Rechtmässigkeit und die Machbarkeit von neuen Aktionen im Cyberraum.</p></item><item eId="art_4/para_2/lbl_d"><num>d. </num><p>Es unterbricht den Zugang zu einsatzkritischen IKT-Leistungen der Armee.</p></item><item eId="art_4/para_2/lbl_e"><num>e. </num><p>Es stellt selbstständig sicher, dass sie über die technischen Informationen verfügt, die zur Wahrnehmung der Aufgaben notwendig sind.</p></item><item eId="art_4/para_2/lbl_f"><num>f. </num><p>Es wertet sichergestellte Computersysteme und Computernetzwerke aus, die für einen Angriff verwendet oder missbraucht worden sind.</p></item><item eId="art_4/para_2/lbl_g"><num>g. </num><p>Es pflegt in Koordination mit den verantwortlichen Behörden des Bundes direkte Kontakte zu technischen Fachstellen im In- und Ausland.</p></item><item eId="art_4/para_2/lbl_h"><num>h. </num><p>Es unterstützt den Einsatz und die Ausbildung im Bereich der militärischen Cyberabwehr.</p></item><item eId="art_4/para_2/lbl_i"><num>i. </num><p>Es dokumentiert bewilligungspflichtige Massnahmen im Rahmen einer Aktion im Cyberraum.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><p> Es erfüllt seine Aufgaben mit eigenen, ihm unterstellten und ihm zugewiesenen Ressourcen.</p></content></paragraph><paragraph eId="art_4/para_4"><num>4</num><content><p> Die bewilligungspflichtigen Massnahmen im Rahmen einer Aktion im Cyberraum werden ausschliesslich vom Dienst für Cyber- und elektromagnetische Aktionen durchgeführt.</p></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Zuständigkeiten der Chefin oder des Chefs der Armee</heading><paragraph eId="art_5/para_1"><num>1</num><content><p> Die Chefin oder der Chef der Armee erteilt die Aufträge für Aktionen im Cyberraum.</p></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><p> Sie oder er legt Anträge für bewilligungspflichtige Massnahmen vorgängig der Chefin oder dem Chef des Eidgenössischen Departementes für Verteidigung, Bevölkerungsschutz und Sport (VBS) zur Prüfung vor.</p></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><p> Im Aktivdienst nach Artikel 76 Absatz 1 MG kann die Chefin oder der Chef der Armee oder die Oberbefehlshaberin oder der Oberbefehlshaber der Armee bewilligungspflichtige Massnahmen genehmigen. Sie oder er kann diese Kompetenz delegieren.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Zuständigkeit der Chefin oder des Chefs des VBS</heading><paragraph eId="art_6/para"><content><p>Die Chefin oder der Chef des VBS entscheidet über Anträge der Chefin oder des Chefs der Armee.</p></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Zuständigkeiten des Bundesrats</heading><paragraph eId="art_7/para"><content><p>Der Bundesrat genehmigt bewilligungspflichtige Massnahmen.</p></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Aufsicht</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> Das Generalsekretariat VBS nimmt die departementsinterne Aufsicht über die militärische Cyberabwehr wahr, erstattet dem Bundesrat regelmässig Bericht und informiert die parlamentarische Oberaufsicht. </p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> Die armeeinterne Aufsicht über die militärische Cyberabwehr ist der Chefin oder dem Chef der Armee unterstellt und wird durch sie oder ihn geregelt.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b><authorialNote><p> Fassung gemäss Ziff. II 9 der V vom 22. Nov. 2023, in Kraft seit 1. Jan. 2024  (<ref href="https://fedlex.data.admin.ch/eli/oc/2023/746" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">AS <b>2023</b> 746</ref>).</p></authorialNote></num><heading>Forschung</heading><paragraph eId="art_9/para"><content><p>Das Kdo Cy kann in Absprache mit den verantwortlichen Verwaltungseinheiten des VBS Vereinbarungen zur Zusammenarbeit mit Forschungsinstituten und Hochschulen treffen.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Vollzug</heading><paragraph eId="art_10/para"><content><p>Die Chefin oder der Chef des VBS vollzieht die Verordnung und erlässt Weisungen über den Einsatz und die Ausbildung. Sie oder er kann den Vollzug an die Chefin oder den Chef der Armee delegieren.</p></content></paragraph></article><article eId="art_11"><num><b>Art. 11</b></num><heading>Inkrafttreten</heading><paragraph eId="art_11/para"><content><p>Diese Verordnung tritt am 1. März 2019 in Kraft.</p></content></paragraph></article></body></act></akomaNtoso>