Strategie zur Cybersicherheit grösstenteils auf Kurs

Der Steuerungsausschuss über den Umsetzungsstand der "Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS)" hat seinen Bericht für das Jahr 2015 vorgelegt. Der Bundesrat hat diesen verabschiedet, wie er mitteilt.

Schritte zu mehr Sicherheit absolviert

Laut dem Bericht konnten wesentliche Ziele erreicht werden. Unter anderem wurden die Risiko- und Verwundbarkeitsanalysen in 10 von 28 Teilsektoren abgeschlossen. Im Detail sind dies: Erdgasversorgung, Strassenverkehr, Stromversorgung, Luftverkehr, Lebensmittelversorgung, ärztliche Betreuung und Spitäler, Banken, Labors, Medien und Zivilschutz.

Zudem sei durch das "interaktive Lageradar" der Melde- und Analysestelle Informationssicherung (Melani) ein wichtiges neues Instrument hinzugekommen. Dadurch liessen sich Relevanz und Verteilung der Bedrohungen frühzeitig erkennen.

Weiterhin konnte laut Bericht die internationale Zusammenarbeit ausgebaut werden. So wurden im vergangenen Jahr zwei Kataloge "von vertrauensbildenden Massnahmen mit der OSZE erarbeitet und verabschiedet".

Folgende Cyberbedrohungen prägten laut Bericht das vergangene Jahr:

• Spionage
• Datenabflüsse
• Angriffe auf industrielle Kontrollsysteme
• Einsatz von Crimeware
• DDoS-Angriffe
• Erpressungen
• Defacements
• Social Engineering und Phishing

Umsetzung der Massnahmen grösstenteils auf Kurs

Von den 2013 beschlossenen 16 Massnahmen zum Schutz vor Cyberrisiken sind die meisten im Zeitplan. Drei wurden bereits erfolgreich abgeschlossen. In Verzug sind jedoch die Punkte:

• Vorfallanalyse/Nachbearbeitung Vorfälle
• Konzept Übersicht Straffälle
• Koordination interkantonaler Fallkomplexe
• Internet Governance
• Koordination mit Betroffenen und Unterstützung mit fachlicher Expertise

Als gefährdet sieht der Bund die Massnahme "Verwundbarkeitsanalyse IKT-Infrastruktur BV mittels Prüfungskonzept" an. Laut der Roadmap sollte die Massnahme schon Anfang des Jahres abgeschlossen werden. Ein Prüfbericht, der dem Steuerungsausschuss vorgelegt wurde, fand aber keinen Konsens. Vor allem das vorgeschlagene Konzept für eine Methodik zur Risikoanalyse führte zu Differenzen, wie es weiter heisst. Einige Mitglieder des Ausschusses zweifelten die Umsetzbarkeit wie auch die Wirkung an.

Die 16 Massnahmen unterteilen sich in die Aspekte Prävention, Reaktion, Kontinuitäts- und Krisenmanagement und unterstützende Prozesse. Die bisher veröffentlichte Roadmap erstreckt sich bis Ende 2017. Bis dahin sollen alle 16 Massnahmen umgesetzt sein. Die überwiegende Mehrheit jedoch schon Anfang des kommenden Jahres. Anfang dieses Jahres wurde zudem eine Wirksamkeitsüberprüfung der Massnahmen gestartet. Im Frühjahr 2017 soll der Bericht vorgelegt werden.