Finanzkontrolle ist (fast) zufrieden mit Meldeplattform des BACS

News

Seit 2025 besteht eine Meldepflicht für betreiber kritischer Infrastrukturen bei Cyberangriffen. Das BACS betreibt dafür eine Meldeplatttform, die laut der Eidgenössischen Finanzkontrolle effizient funktioniert. Nur die Redunanz bei der Authentifizierung fehlt noch.

(Source: agratitudesign / stock.adobe.com)

Die Eidgenössische Finanzkontrolle (EFK) hat die Infrastruktur und die genutzten Ressourcen für den Meldebetrieb des Bundesamts für Cybersicherheit (BACS) geprüft. Betreiber kritischer Infrastrukturen sind seit dem 1. April 2025 verpflichtet, Cyberangriffe innerhalb von 24 Stunden dem BACS zu melden. Um diese Meldungen zu bearbeiten, betreibt das bundesamt die Plattform Cyber Security Hub, wie die EFK im Bericht (pdf) schreibt.

Nach der Prüfung von Ressourcen und Infrastruktur des Cyber Security Hub zieht die EFK ein grundsätzlich positives Fazit. Die Plattform sei ausreichend resilient.

Es fehlt an Redunanz bei der Authentifizierung

Ein Problem sieht die EFK allerdings in der Abhängigkeit vom zentralen Zugangssystem (eIAM). Diese stelle ein Risiko für die Verfügbarkeit der Plattform dar. Allerdings plane das BACS bereits den Ausbau der Authentifizierung mit weiteren Identitätsanbietern, weshalb das Risiko in Zukunft reduziert werde. Auch die Cybersicherheit der Plattform sei ausreichend sichergestellt.

Ressourcen reichen für effiziente Bearbeitung von Meldungen aus

Des Weiteren prüfte die EFK, ob die Ressourcen für angemessene Reaktionen auf Meldungen von Vorfällen genügen. Das Fachspezialisten-Team GovCERT, das die Pflichtmeldungen bearbeitet, umfasse 12 Vollzeitäquivalente.

Im Schnitt würde eine Meldung pro Tag auf der Plattform eingehen, das Team könne die Meldungen zuverlässig bewältigen. Im ersten Jahr der Meldepflicht, von April bis Dezember 2025, seien 222 Meldungen von Cybervorfällen eingegangen. 88 Prozent der Meldungen würden innerhalb von weniger als einer Stunde bearbeitet. Nach einer Erstbeurteilung unterstütze das Team von Spezialisten die betroffenen Organisationen bei der weiteren Bearbeitung der Vorfälle.

Im Bericht nimmt das BACS Stellung zur Prüfung der EFK: "Wir danken der EFK für die Prüfung, die Berichterstattung und die konstruktive Zusammenarbeit. Mit dem Bericht sind wir einverstanden. Die Erkenntnisse aus den Beurteilungen und Hinweisen werden bei den geplanten Optimierungen weiter berücksichtigt."

Im rahmen einer Revision will der Bundesrat die Meldepflicht von Cybervorfällen für Betreiber kritischer Infrastrukturen vom Informationssicherheitsgesetz ins neue Cybersicherheitsgesetz verschieben. Mehr zur Vorlage für ein neues Cybersicherheitsgesetz lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.