Bundesrat Guy Parmelin (58) weilt heute am Cybersecurity-Day in Ecublens bei Lausanne. Cyber-Attacken, Cyber-Krieger, Cyber-Kompetenzzentrum – all dies treibt den Verteidigungsminister um. Ebenso die anwesenden Wirtschaftsvertreter.
Unternehmer scheuen Cyber-Datendiebstähle und -Spionagen zum einen wegen der Kosten, die sie verursachen. Zum anderen wegen des Reputationsschadens, den ein Sicherheitsleck hinterlässt. Die Wirtschaft horcht daher auf, wenn Parmelin in einem Interview im «Bulletin 2017 zur Schweizerischen Sicherheitspolitik» sagt: «Möglicherweise wird die Idee einer Meldepflicht für Unternehmen bei Cyberangriffen wieder aufgenommen.»
Meldepflicht als Teil der Nationalen Cyber-Strategie in Prüfung
Parmelins «Idee» wird im Rahmen der Nationalen Cyber-Strategie NCS 2.0 konkret diskutiert. Max Klaus (52), stellvertretender Leiter der Melde- und Analysestelle Informationssicherung des Bundes (Melani), bestätigt: «Es soll geprüft werden, was wer wann wem zu melden hat, und was dann unternommen wird.»
Laut Klaus hat der Bund gute Erfahrungen gemacht mit freiwilligen Meldungen durch die Betreiber kritischer Infrastrukturen. Aufgrund der Entwicklung der Bedrohungslage, der potenziell betroffenen Kreise, der internationalen Entwicklung und der Reife der Cyber-Bekämpfung stelle sich die Frage aber neu.
Meldungen füttern Frühwarn- und Abwehrsystem
Franz Grüter (54), Luzerner SVP-Nationalrat und Digitalexperte im Parlament, hat ebenfalls Kenntnis von der Prüfung einer Meldepflicht für Unternehmen. «Es macht ja auch Sinn, dass das vom Parlament vergangene Woche beschlossene Cyber-Kompetenzzentrum künftig Bescheid weiss, wenn in der Schweiz ein grösseres Vorkommnis passiert ist.»
Eine Meldepflicht zum Zweck eines Frühwarn-, Beratungs- und Abwehrsystems. Grüter verweist jedoch auf das politisch Machbare: «Es kann nicht darum gehen, dass jeder Gewerbebetrieb, der ein Phishing-Mail bekommt, dies melden muss.» Bei folgenreichen Schäden, etwa wenn Tausende von Kundendaten gestohlen werden, gebe es aber eine Informationspflicht – Reputationsschaden hin oder her. Es werde Aufgabe von Bundesrat und Parlament sein, sinnvolle und möglichst unbürokratische Regelungen zu finden.
Gewerbeverband befürchtet Überreaktion
Vor einer «überdimensionierten Bürokratie» und einem «Hüftschuss» warnt Hans-Ulrich Bigler (59), Direktor des Schweizerischen Gewerbeverbandes. Andreas Kaelin (56) wiederum, Geschäftsleiter von ICT Switzerland, dem Dachverband der ICT-Wirtschaft, befürchtet die Überforderung vor allem kleinerer KMU, wenn sie umfangreiche IT-Sicherheitsstandards einzuhalten hätten, und jede Attacke gemeldet werden müsste.