Künftig müssen mehr Unternehmen schwere IT-Sicherheitsvorfälle verbindlich melden. Das Kabinett brachte am Mittwoch eine Verordnung auf den Weg, die regelt, welche Firmen aus den Sektoren Transport, Verkehr, Finanzen, Versicherungen und Gesundheit unter die Vorgaben des IT-Sicherheitsgesetzes fallen. Betroffen seien 918 «kritische Infrastrukturen», heißt es in der Verordnung. Die Betreiber werden verpflichtet, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb von sechs Monaten eine zentrale Kontaktstelle zu benennen und der Behörde innerhalb von zwei Jahren die Einhaltung eines Mindeststandards an IT-Sicherheit nachzuweisen. Die Regelungen für Firmen aus den Bereichen Energie, IT, Telekommunikation, Wasser und Ernährung – laut Regierung insgesamt 730 Anlagen – sind bereits seit Mai 2016 in Kraft.
«Kritische Infrastrukturen» sind Einrichtungen, die wesentlich für das öffentliche Leben sind und deren Störung oder Ausfall drastische Folgen haben würden. Darunter fallen Energie- oder Telekommunikationsnetze, Banken, Börsen, Versicherungen, Verwaltungsbehörden oder Krankenhäuser, aber auch Verkehrsbetriebe oder Wasserversorger. Ziel des bereits 2015 beschlossenen IT-Sicherheitsgesetzes ist, dass sich Firmen aus solchen sensiblen Bereichen besser vor Cyberangriffen schützen. Sie werden verpflichtet, Attacken auf ihre Computersysteme zu melden und Mindeststandards zur IT-Sicherheit einzuhalten. (dpa)
