Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03589.jsonl.gz/1716

Cyberangriffe auf Behörden und Private haben in den letzten Jahren stark zugenommen. Die vorhandenen Lücken im Bereich der Informationssicherheit sollen durch das neue Informationssicherheitsgesetz geschlossen werden.
Auf Gesetzesebene sollen dieses Jahr durch das Bundesgesetz über die Informationssicherheit (Informationssicherheitsgesetz, ISG) und dessen Revision sowohl die Informations- als auch die Cybersicherheit gestärkt werden. Das Inkrafttreten steht noch nicht fest.
Das ISG zielt darauf ab, die Sicherheit von Informationen und Informatikmittel des Bundes einheitlich für alle Behörden und Organisationen des Bundes zu regeln, um die Informationssicherheit (Cyber Security) des Bundes gesamthaft zu stärken. Der Fokus wird hierbei auf die kritischen Informationen und Systeme sowie auf die Standardisierung der Massnahmen gelegt. Im Rahmen der Revision des ISG wird ausserdem eine Meldepflicht für Cyberangriffe eingeführt, die aufgrund der breiten Begriffsdefinition insbesondere die Betreiber kritischer Infrastrukturen verpflichtet.
Dem ISG unterstehen die folgenden verpflichteten Behörden und Organisationen des Bundes (Art. 2 ISG): die Bundesversammlung, der Bundesrat, die eidgenössischen Gerichte, die Bundesanwaltschaft und deren Aufsichtsbehörde, die Schweizerische Nationalbank, die Parlamentsdienste, die Bundesverwaltung, die Verwaltung der eidgenössischen Gerichte, die Armee und die Organisationen nach Art. 2 Abs. 3 und 4 des Regierungs- und Verwaltungsorganisationsgesetzes (RVOG). Arbeiten die verpflichteten Behörden und Organisationen mit Dritten zusammen, sorgen sie dafür, dass die gesetzlich vorgesehenen Anforderungen und Massnahmen in den entsprechenden Verträgen und Vereinbarungen festgehalten werden (Art. 9 ISG). Als Dritte gelten alle Behörden, Organisationen und Personen des öffentlichen und privaten Rechts, die keine verpflichteten Behörden und Organisationen sind und grundsätzlich unabhängig von diesen handeln. Für die Betreiber von kritischen Infrastrukturen wird eine Meldepflicht bei Cyberangriffen eingeführt. Als kritische Infrastrukturen gelten jene Behörden und Organisationen, die lohnende Ziele für Cyberangriffe darstellen. Dies sind bspw. Hochschulen, Behörden, Organisationen der Sicherheit und Rettung, Trink- und Abwasserversorgung, Abfallentsorgung, Energieversorgung, Banken, Versicherungen, Gesundheitseinrichtungen, Sozialversicherungen, Schweizerische Radio- und Fernsehgesellschaft, Postdienste, öffentlicher Verkehr, Zivilluftfahrt, unentbehrliche Güter des täglichen Bedarfs, Fernmeldedienste, politische Rechte, digitale Dienste und Herstellerinnen von Hard- und Software (abschliessende Aufzählung in Art. 74b ISG).
Das ISG enthält für verpflichtete Organisationen und Behörden Anforderungen in Bezug auf die Informationssicherheit (Art. 6-23 ISG). Diese umfassen unter anderem:
Die Revision des ISG sieht Neuregelungen in Bezug auf die Cybersicherheit (Art. 73a-79 revISG) vor:
Das Öffentlichkeitsgesetz (BGÖ) geht dem ISG vor (Art. 4 Abs. 1 ISG). Das heisst grundsätzlich, dass alle Personen Zugang zu amtlichen Dokumenten und Informationen des Bundes haben, sofern keine Ausnahmen oder Interessenabwägungen vorliegen. Durch die Revision des ISG wird von dieser Regelung insofern eine Ausnahme gemacht, als dass Informationen Dritter, von denen das NCSC durch die Entgegennahme und Analyse von Meldungen zu Cybervorfällen Kenntnis erhält, vom Zugangsrecht nach BGÖ ausgenommen sind (Art. 4 Abs. 1bis revISG).
Dies bedeutet, dass das NCSC grundsätzlich keine Informationen zu Cybervorfällen veröffentlichen oder weiterleiten darf, die Personendaten oder Daten juristischer Personen enthalten, sofern dafür keine Einwilligung vorliegt (Art. 73c revISG). Lediglich in zwei Ausnahmefällen darf das NCSC Informationen, die Rückschlüsse auf die Meldenden oder Betroffenen erlauben, ohne Erlaubnis weiterleiten (Art. 73d revISG):
Um das Vertrauensverhältnis weiter zu untermauern, wird auf Gesetzesstufe darauf hingewiesen, dass meldepflichtige Behörden und Organisationen keine Angaben machen müssen, die sie oder ihn strafrechtlich belasten (Art. 74e revISG).
Cybervorfälle und Cyberbedrohungen, insbesondere Schwachstellen, können dem NCSC nicht nur durch Betroffene, sondern auch durch Dritte, und falls gewünscht anonym, angezeigt werden (Art. 73b revISG). Die obige Regelung bildet keinen Erlaubnisnorm im Sinne eines Whistleblower-Tatbestandes. So sind vertragliche und gesetzliche Geheimhaltungspflichten auch bei Meldungen an das NCSC weiterhin zu beachten. Auch ist das Entdecken von Schwachstellen durch das unbefugte Eindringen in fremde Informatikmittel («Hacken») weiterhin strafbar. Hacker/innen sollen sich durch Meldungen an das NCSC nicht von der Strafbarkeit ihres Handelns befreien können.
Die aus dem ISG resultierenden Anforderungen umfassen die Einhaltung von Sicherheitspraktiken und -richtlinien, eine strenge Kontrolle und Überwachung der Aktivitäten sowie eine regelmässige Überprüfung und Aktualisierung der Sicherheitssysteme. Die verpflichteten Behörden und Organisationen müssen dafür sorgen, dass Dritte und Provider, mit denen sie zusammenarbeiten, vertraglich verpflichtet werden, Massnahmen nach dem ISG zu ergreifen und ein sicheres Betriebsumfeld zu gewährleisten. Diese Dritten und Provider müssen Sicherheitsmassnahmen ergreifen, um die Integrität, Sicherheit und Zuverlässigkeit ihrer Dienste zu gewährleisten sowie um die Daten und Informationen ihrer Kunden zu schützen und sicherzustellen, dass nur autorisierte Personen darauf zugreifen können. Darüber hinaus können Cloud- und Service-Provider wie auch Hersteller/innen von Hard- und Software, deren Produkte von kritischen Infrastrukturen genutzt werden, unter die in der Revision des ISG vorgesehene Meldepflicht bei Cyberangriffen fallen.
Das ISG fordert von verpflichteten Behörden und Organisationen sowie Betreibern kritischer Infrastrukturen eine umfassende und proaktive Informationssicherheit. Durch eine summarische, externe Cyber-Security-Einschätzung kann die Umsetzung dieser Anforderungen beurteilt und festgestellt werden, ob das Unternehmen angemessene Massnahmen ergriffen hat, um seine Informationen und Informatikmittel zu schützen, auch vor allfälligen Cybervorfällen. Diese Einschätzung sollte auch die Fähigkeit des Unternehmens bewerten, auf Stör- und Notfälle zu reagieren sowie die Wirksamkeit der implementierten Schutzmassmechanismen zu überwachen und zu verbessern.
Es ist wichtig, dass die Einschätzung auch die Compliance mit branchenspezifischen und gesetzlichen Anforderungen – wie dem ISG – berücksichtigt. Eine regelmässige Überprüfung der Einschätzung ist ebenfalls zentral, um sicherzustellen, dass das Unternehmen immer auf dem neuesten Stand der Technik bleibt. Dies ist Voraussetzung, um sich so gut wie möglich vor Bedrohungen schützen zu können. Nicht zuletzt sollten die Mitarbeitenden zu Informationssicherheit geschult werden, wobei diese insbesondere auch auf das Thema Cybersicherheit sensibilisiert werden müssen (Stichwort Security Awareness). Mitarbeitende müssen verstehen, wie sie ihren Beitrag zum Schutz des Unternehmens leisten können.
Das ISG und dessen Revision stellen hohe Anforderungen an die Informationssicherheit, wobei insbesondere Betreiber kritischer Infrastrukturen im Bereich der Cybersicherheit in die Pflicht genommen werden. Diese Anforderungen müssen erfüllt werden, um die Sicherheit von kritischen Informationen und Systemen für die Bevölkerung und die Wirtschaft sicherzustellen. Durch das ISG und dessen Revision wird sichergestellt, dass die verpflichteten Behörden und Organisationen sowie die Betreiber kritischer Infrastrukturen ihre Verantwortung erfüllen und dadurch potenzielle Risiken und Bedrohungen minimieren.
Die Notwendigkeit dieser Massnahmen ist nachvollziehbar und längst fällig, wobei deren Umsetzung Unternehmen vor verschiedene, sehr individuelle Herausforderungen stellen kann. MME und InfoGuard können Sie bei den Anpassungen an die neuen gesetzlichen Anforderungen sowohl rechtlichen wie auch technisch unterstützen, insbesondere auch im Falle eines Incidents.
Revision ISG: Folgen & Pflichten für Betreiber kritischer Infrastrukturen: Teil 1 | Teil 2
ISG: https://www.fedlex.admin.ch/eli/oc/2022/232/de
revISG: https://www.newsd.admin.ch/newsd/message/attachments/74217.pdf
Autoren: Dr. Martin Eckert (MME), Noëlle Glaus (MME), Markus Limacher (InfoGuard), März 2023