Bundesrat erhebt Cyber-Sicherheit zur Top-Priorität

In seiner Sitzung am 18. April hat der Bundesrat die Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken 2018-2022 (NCS) verabschiedet. "Der Bundesrat will den Cyber-Risiken aktiv entgegentreten und die nötigen Massnahmen ergreifen, um die Sicherheit des Landes vor den Bedrohungen aus dem Cyber-Raum zu wahren", heisst es in einer Mitteilung. An der Ausarbeitung der Strategie waren gemäss Mitteilung Bund, Kantone, Wirtschaft und auch Hochschulen beteiligt.

Hohe Bedrohungslage

Mit der neuen Strategie soll der gestiegenen Bedrohungslage durch Cyber-Gefahren entgegengetreten werden. Beispielsweise sind dies Angriffe auf kritische Infrastrukturen, Cyber-Spionage oder auch Terrorismus. Neu nimmt die Strategie auch Desinformation und Propaganda wie etwa die gezielte Verbreitung von Falschinformationen auf.

"Die Kombination aus der gestiegenen Abhängigkeit von funktionierenden IKT und der intensivierten Bedrohungslage führt dazu, dass die sich daraus ergebenden Risiken – welche als Cyber-Risiken bezeichnet werden – bei der Entwicklung der digitalen Gesellschaft zwingend beachtet werden müssen", heisst es weiter. Das Thema Cyber-Sicherheit wird somit deutlich aufgewertet, auch im Vergleich zur Vorgängerstrategie, die von 2012-2017 galt.

Folgende sieben Ziele sind in der neuen Strategie zentral:

1. Die Schweiz verfügt über die Kompetenzen, das Wissen und die Fähigkeiten, Cyber-Risiken frühzeitig zu erkennen und einzuschätzen.

2. Die Schweiz entwickelt wirksame Massnahmen zur Reduktion der Cyber-Risiken und setzt diese im Rahmen der Prävention um.

3. Die Schweiz verfügt in allen Lagen über die nötigen Kapazitäten und Organisationsstrukturen, um Cyber-Vorfälle rasch zu erkennen und auch dann zu bewältigen, wenn diese über längere Zeit andauern und verschiedene Bereiche gleichzeitig betreffen.

4. Die Schweiz ist gegenüber Cyber-Risiken resilient. Die Fähigkeit der kritischen Infrastrukturen, wichtige Dienstleistungen und Güter zur Verfügung zu stellen, bleibt auch bei grossen Cyber-Vorfällen gewährleistet.

5. Der Schutz der Schweiz vor Cyber-Risiken wird als gemeinschaftliche Aufgabe von Gesellschaft, Wirtschaft und Staat wahrgenommen, wobei die Verantwortungen und Zuständigkeiten klar definiert und von allen Beteiligten gelebt werden.

6. Die Schweiz engagiert sich für die internationale Kooperation zur Erhöhung der Cyber-Sicherheit. Sie fördert den Dialog in der Cyber-Aussen- und Sicherheitspolitik, beteiligt sich aktiv in den internationalen Fachgremien und pflegt den Austausch mit anderen Staaten und internationalen Organisationen.

7. Die Schweiz lernt aus Cyber-Vorfällen im In- und Ausland. Cyber-Vorfälle werden sorgfältig analysiert und aufgrund der Erkenntnisse entsprechende Massnahmen getroffen.

Flankiert werden die Ziele durch folgende zehn Handlungsfelder:

1. Kompetenzen- und Wissensaufbau zu Themen der Cyber-Sicherheit

2. Ausbau der Fähigkeiten zur Beurteilung und Darstellung der Cyber-Bedrohungslage

3. Resilienz-Management

4. Standardisierung / Regulierung

5. Vorfallbewältigung, etwa durch den Ausbau der Melde- und Analysestelle Informationssicherung (Melani)

6. Krisenmanagement

7. Strafverfolgung

8. Cyber-Defence, durch die Nachrichtendienste und das Militär

9. Aktive Positionierung der Schweiz in der internationalen Cyber-Sicherheitspolitik

10. Aussenwirkung und Sensibilisierung der Bevölkerung für Cyber-Gefahren

Beim Feld Standardisierung und Regulierung betont der Bundesrat in der Mitteilung, dass in Zusammenarbeit mit der Wirtschaft Mindeststandards für Cyber-Sicherheit entwickelt werden sollen. Ausserdem werde eine Meldepflicht für Cyber-Vorfälle geprüft. "Dabei sind zunächst die Fragen zu klären, für wen eine Meldepflicht gelten soll, welche Vorfälle sie betrifft und an wen sie gemeldet werden müssen und ob eine Meldepflicht im Vergleich zu heute das Lagebild substanziell verbessern kann", heisst es wörtlich. Für die Klärung dieser Fragen sollen Behörden, Wirtschaft und die Verbände zusammenarbeiten. Verschiedene Varianten für eine Meldepflicht sind gemäss Strategie möglich.

Die ausführliche Strategie mit Erläuterungen zu allen Punkten findet sich online auf der Website des Bundes (PDF).