Cybersicherheit in der Bundesverwaltung: Ist die Zusammenarbeit wirksam genug?

Die Bedeutung der Cybersicherheit für die Resilienz von Staat, Wirtschaft und Gesellschaft nimmt stetig zu. Cyberangriffe können zentrale staatliche Leistungen, sicherheitsrelevante Infrastrukturen und das Vertrauen in die Institutionen beeinträchtigen.

Innerhalb der Bundesverwaltung sind verschiedene Stellen in unterschiedlichen Departementen und Ämtern mit Aufgaben im Bereich Cybersicherheit betraut, unter anderem im VBS, EDA, EFD und EJPD. Diese Aufgabenteilung kann sachlich begründet sein, birgt aber auch Risiken: Schnittstellenprobleme, Doppelspurigkeiten, Wissenssilos und verzögerter Informationsfluss.

Eine wirksame Cyberabwehr setzt voraus, dass Erkenntnisse aus Vorfällen, Informationen zu Schwachstellen, Angriffsmustern und Schutzmassnahmen rasch, systematisch und stufengerecht geteilt werden. Gerade im Cyberbereich darf kein «Gärtchendenken» entstehen.

Der Bundesrat wird gebeten, folgende Fragen zu beantworten:

1. Gewährleistet die heutige Verteilung der Zuständigkeiten im Bereich Cybersicherheit nach Ansicht des Bundesrates einen raschen und vollständigen Austausch sicherheitsrelevanter Informationen?
2. Welche Mechanismen bestehen, um den Informationsaustausch zwischen den zuständigen Stellen departements- und ämterübergreifend sicherzustellen?
3. Gibt es ein institutionalisiertes Gremium, das sich regelmässig zu Cyberbedrohungen, Schwachstellen, Angriffsmustern und Schutzmassnahmen austauscht?
4. Wie wird der Austausch vertraulicher oder klassifizierter Informationen zwischen den zuständigen Stellen geregelt?
5. Wie beurteilt der Bundesrat das Risiko von Wissenssilos, Doppelspurigkeiten, Kompetenzüberschneidungen oder ineffizientem Ressourceneinsatz aufgrund der heutigen Organisationsstruktur?
6. Wurden in den letzten Jahren Analysen zur Zweckmässigkeit der heutigen Organisation der Cybersicherheit innerhalb der Bundesverwaltung durchgeführt? Wenn ja, mit welchen Ergebnissen?
7. Anhand welcher Kriterien beurteilt der Bundesrat, ob die heutige Organisation den aktuellen Cyberbedrohungen angemessen begegnen kann?