Vorausschauender Umgang mit Ausfällen des Zugangs zu kritischen Technologien. Bewertung unserer Ausweichmöglichkeiten

Der Bundesrat anerkennt die Bedeutung von digitalen und anderen Abhängigkeiten der Bundesverwaltung im Zusammenhang mit der Erfüllung staatlicher Aufgaben. Entsprechende Fragestellungen werden grundsätzlich im betrieblichen Kontinuitätsmanagement und Risikomanagement der Departemente und Ämter angegangen. Die IDAG Digitale Souveränität untersucht aktuell allfällige Lücken bei den Risikoszenarien, um den durch geopolitische Ereignisse der letzten Zeit veränderten Rahmenbedingungen Rechnung zu tragen und über die Bundesverwaltung hinweg ein einheitliches Verständnis sicherzustellen. Die IDAG hat auch den Auftrag, Empfehlungen für Massnahmen zur Sicherstellung der Verfügbarkeit und Vertraulichkeit von digitalen Ressourcen auszuarbeiten. Die Arbeiten der IDAG erfolgen dabei in enger Abstimmung mit der Eidgenössischen Finanzverwaltung (EFV), welche die bundesweite Koordination, methodische Weiterentwicklung und Berichterstattung im Risikomanagement sowie im betrieblichen Kontinuitätsmanagement (BCM) sicherstellt.

Da viele dieser Arbeiten sicherheitsrelevant sind für die Bundesverwaltung und ihre Offenlegung Rückschlüsse auf Verwundbarkeiten oder Anknüpfungspunkte für Druckversuche zulassen könnte, erachtet der Bundesrat einen öffentlichen Postulatsbericht nicht als geeignete Form, um die berechtigten Anliegen der Postulantin zu adressieren, selbst wenn gewisse Teile des Berichts klassifiziert würden. Der Bundesrat ist jedoch bereit, die zuständigen parlamentarischen Kommissionen in geeigneter Form über die Risikoszenarien und die daraus abgeleiteten Massnahmenempfehlungen zu informieren.

Im Rahmen des Berichts in Beantwortung des Postulats 25.3659 Häberli Koller «Digitale Souveränität: Wo steht die Schweiz?» wird der Bundesrat grundsätzliche Möglichkeiten aufzeigen, wie die Schweiz in zentralen Bereichen ihre digitalen Abhängigkeiten von ausländischen Anbietern reduzieren kann.

In Anbetracht der bereits laufenden Arbeiten und ihrer Sicherheitsimplikationen erachtet der Bundesrat die Erstellung des geforderten Berichts nicht als zielführend für die Behandlung der im Postulat aufgebrachten, berechtigten Anliegen.

Der Bundesrat wird beauftragt, in einem Bericht zu prüfen, wie die Arbeiten der interdepartementalen Gruppe «Digitale Souveränität», die bereits die Risiken im Zusammenhang mit den digitalen Ressourcen der Bundesverwaltung ermittelt, durch eine systematische Bewertung der Ausweichmöglichkeiten bei einem Ausfall des Zugangs zu kritischen Technologien ergänzt werden können. Der Bericht soll Folgendes behandeln:

1. Er ermittelt unter den bereits erfassten Abhängigkeiten diejenigen, bei denen eine Unterbrechung die Kontinuität der staatlichen Aufgaben gefährden würde.

2. Er bewertet in Bezug auf diese Abhängigkeiten die konkreten Szenarien eines Ausfalls: ausländische Beschränkungen, Sanktionen, Exportkontrollen, plötzliche Änderungen der Lizenzbedingungen, Einstellung des Dienstes oder strategische Preiserhöhungen.

3. Er bewertet vertraulich die tatsächliche Ausweichkapazität nach Art des PACE-Konzepts (Primärlösung, Alternative, Kontingenz, Notfall); Funktionen ohne gangbare Ausweichmöglichkeit sind in einem als geheim eingestuften, nicht veröffentlichten Anhang aufgeführt.

4. Er schlägt Massnahmen zur Behebung der Mängel vor: Anforderungen an die Reversibilität, Open-Source-Alternativen, Vertragsklauseln, eigene Kapazitäten, Forschungsförderung oder gezielte Investitionen.

Am 12. Juni 2026 musste ein grosser KI-Anbieter aufgrund einer ausländischen Anordnung unter Berufung auf die nationale Sicherheit seine Modelle für alle nicht-amerikanischen Nutzerinnen und Nutzer deaktivieren: Ein kritischer Zugang wurde von einem Tag auf den anderen von aussen gesperrt.

Die Arbeitsgruppe „Digitale Souveränität“ hat bereits die Risiken identifiziert, die auf den digitalen Ressourcen der Verwaltung lasten. Die Identifizierung eines Risikos sagt noch nichts darüber aus, ob die Kontinuität gewährleistet ist, sollte das Risiko eintreten. Diese Dimension kommt hiermit hinzu: Bei kritischen Abhängigkeiten sollen das Vorhandensein, die Glaubwürdigkeit und die Widerstandsfähigkeit von Ausweichlösungen im Fall eines Zugangsausfalls überprüft werden. Es geht also um den Übergang von der Risikoanalyse zu einem Stresstest unserer digitalen Souveränität. Die Bestandsaufnahme bleibt vertraulich: Die Kenntnis der Funktionen, für die es keine Ausweichlösung gibt, ermöglicht es, Abhilfe zu schaffen, doch ihre Offenlegung würde den Bund gefährden. Dieses Postulat ergänzt das Postulat 25.3659 von Häberli-Koller.

Die Welt verändert sich; was gestern gewiss war, ist es heute nicht mehr. Unsere Souveränität hängt von unserer Fähigkeit ab, Ausfälle vorauszusehen und Ausweichstrategien vorzubereiten, um unseren staatlichen Verpflichtungen nachzukommen und diese zu gewährleisten.