Cybersicherheit in der Bundesverwaltung. Ist die Zusammenarbeit wirksam genug?

Die Bedeutung der Cybersicherheit für die Resilienz von Staat, Wirtschaft und Gesellschaft nimmt stetig zu. Cyberangriffe können zentrale staatliche Leistungen, sicherheitsrelevante Infrastrukturen und das Vertrauen in die Institutionen beeinträchtigen.

Innerhalb der Bundesverwaltung sind verschiedene Stellen in unterschiedlichen Departementen und Ämtern mit Aufgaben im Bereich Cybersicherheit betraut, unter anderem im VBS, EDA, EFD und EJPD. Diese Aufgabenteilung kann sachlich begründet sein, birgt aber auch Risiken: Schnittstellenprobleme, Doppelspurigkeiten, Wissenssilos und verzögerter Informationsfluss.

Eine wirksame Cyberabwehr setzt voraus, dass Erkenntnisse aus Vorfällen, Informationen zu Schwachstellen, Angriffsmustern und Schutzmassnahmen rasch, systematisch und stufengerecht geteilt werden. Gerade im Cyberbereich darf kein «Gärtchendenken» entstehen.

Der Bundesrat wird gebeten, folgende Fragen zu beantworten:

• Gewährleistet die heutige Verteilung der Zuständigkeiten im Bereich Cybersicherheit nach Ansicht des Bundesrates einen raschen und vollständigen Austausch sicherheitsrelevanter Informationen?

• Welche Mechanismen bestehen, um den Informationsaustausch zwischen den zuständigen Stellen departements- und ämterübergreifend sicherzustellen?

• Gibt es ein institutionalisiertes Gremium, das sich regelmässig zu Cyberbedrohungen, Schwachstellen, Angriffsmustern und Schutzmassnahmen austauscht?

• Wie wird der Austausch vertraulicher oder klassifizierter Informationen zwischen den zuständigen Stellen geregelt?

• Wie beurteilt der Bundesrat das Risiko von Wissenssilos, Doppelspurigkeiten, Kompetenzüberschneidungen oder ineffizientem Ressourceneinsatz aufgrund der heutigen Organisationsstruktur?

• Wurden in den letzten Jahren Analysen zur Zweckmässigkeit der heutigen Organisation der Cybersicherheit innerhalb der Bundesverwaltung durchgeführt? Wenn ja, mit welchen Ergebnissen?

• Anhand welcher Kriterien beurteilt der Bundesrat, ob die heutige Organisation den aktuellen Cyberbedrohungen angemessen begegnen kann?

Zu 1) Die Verteilung der Zuständigkeiten auf verschiedene Stellen ergibt sich aus der Breite des Bedrohungsspektrums im Bereich der Cybersicherheit sowie der Betroffenheit sämtlicher Wirtschafts- und Verwaltungssektoren. Um den Austausch relevanter Informationen über Cyberbedrohungen zwischen allen relevanten Akteuren sicherzustellen, hat der Bundesrat am 1. Januar 2024 das Bundesamt für Cybersicherheit (BACS) geschaffen. Es ist erste Anlaufstelle für Wirtschaft, Verwaltung und Bevölkerung zu Fragen der Cybersicherheit und nimmt die Rolle der zentralen Koordinationsstelle wahr.

Zu 2) Für den Informationsaustausch zu Cyberbedrohungen betreibt das BACS ein sicheres Kommunikationssystem gemäss den Vorgaben von Artikel 8 der Cybersicherheitsverordnung (CSV; SR 128.51). Auf dieser als «Cyber Security Hub» bezeichneten Plattform sind aktuell knapp 1'800 Organisationen registriert. Die zuständigen Stellen des Bundes beteiligen sich an diesem Austausch. Alle zwei Wochen veröffentlicht das BACS über die Plattform einen Lagebericht, welcher allen registrieren Behörden zur Verfügung steht.

Zu 3) Der Lagebericht des BACS wird alle zwei Wochen über den «Cyber Security Hub» in online-Veranstaltungen besprochen. Dieser Austausch richtet sich bewusst an alle Betreiberinnen kritischer Infrastrukturen, da Informationen über Schwachstellen und Angriffsmethoden sektorübergreifend von Bedeutung sind. Spezifische Risiken und Massnahmen zur Informationssicherheit des Bundes werden an der Konferenz der Informationssicherheitsbeauftragten behandelt, welche durch die Fachstelle Informationssicherheit des Staatssekretariats für Sicherheitspolitik geführt wird.

Zu 4) Der Austausch klassifizierter Informationen wird durch das Informationssicherheitsgesetz (ISG; SR 128) sowie die darauf gestützte Informationssicherheitsverordnung (ISV; SR 128.1) geregelt.

Zu 5 und 6) Die Klärung der Aufgaben und Zuständigkeiten war das ausschlaggebende Anliegen beim Entscheid des Bundesrats vom 5. Dezember 2022, ein Bundesamt für Cybersicherheit zu schaffen. Im Vorfeld dieses Entscheids wurden Strukturen analysiert und Varianten geprüft. Dazu wurden unter anderem die Berichte «Wirksamkeitsüberprüfung Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken 2018 bis 2022» und den Bericht «SECORG – Evaluation der Koordinationsstrukturen im Sicherheitsbereich und im Bereich der Cyberrisiken» erstellt. Die heutige Organisation des Bundes ist das Resultat dieser Analysen. Der Bundesrat ist überzeugt, dass die heutige Organisationsstruktur eine klare Zuordnung der Zuständigkeiten ermöglicht und das Risiko von Wissenssilos und Doppelspurigkeiten gering ist.

Zu 7) Der Bundesrat beurteilt die Angemessenheit der Organisation fortlaufend im Rahmen der jährlichen Berichterstattung über den Umsetzungsstand der Nationalen Cyberstrategie (NCS), welcher von Steuerungsausschuss der Strategie verfasst wird. Der Bericht ermöglicht eine systematische Standortbestimmung anhand der Fortschritte in den fünf strategischen Zielen der NCS und zeigt allfälligen Anpassungsbedarf auf. Besteht unmittelbarer Handlungsbedarf des Bundes bei Massnahmen zur Umsetzung der NCS, informiert das BACS direkt den Bundesrat und stellt entsprechende Anträge.