Im Dezember 2021 reichte Edith Graf-Litscher (sp, TG) ein Postulat zur Prüfung von Massnahmen für einen besseren Schutz gegen Ransomware-Angriffe ein. Laut der Postulantin stellten Cyberangriffe über Verschlüsselungstrojaner, sogenannte Ransomware, eine grosse Gefahr für die Wirtschaft und die Verwaltung dar. Besondere Beachtung sollten im Rahmen der auszuarbeitenden Massnahmen die Sicherheitsrichtlinien von Unternehmen mit öffentlichem Auftrag, eine mögliche Meldepflicht für Lösegeldzahlungen bei Cyberangriffen und die engere Zusammenarbeit der betroffenen Unternehmen mit den zuständigen Behörden erhalten. Während der Bundesrat das Postulat zur Annahme beantragte, wurde es von Erich Hess (svp, BE) bekämpft. In der Sommersession 2022 stimmte der Nationalrat dem Postulat mit 87 Ja- zu 86 Nein-Stimmen bei 6 Enthaltungen knapp zu, nachdem sich Judith Graf-Litscher und Bundesrat Maurer für dessen Annahme ausgesprochen hatten. Erich Hess hatte auf ein Votum verzichtet. Gegen das Postulat sprachen sich insbesondere die SVP-, FDP- und Mitte-Fraktion aus.

Dossier: Cyber Defence

In Erfüllung eines Postulats von Edith Graf-Litscher (sp, TG) veröffentlichte der Bundesrat im September 2024 einen Bericht zu Massnahmen gegen Ransomware-Angriffe. Darin betont er, dass die Schweizer Unternehmen und Behörden aufgrund ihrer relativ hohen Zahlungskraft im internationalen Vergleich ein attraktives Ziel für Cyberkriminelle darstellen. Aus diesem Grund gebe es bereits heute zahlreiche rechtliche Vorgaben und behördliche Informationen zur Cybersicherheit sowie Anleitungen und Richtlinien zu IT-Schutzmassnahmen, so die Regierung. Diese Instrumente sollen im Bedarfsfall weiterentwickelt werden. Dabei sei von neuen Vorgaben zu Ransomware abzusehen, denn der Bund könne aufgrund der föderalen Kompetenzzuordnung keine flächendeckenden verbindlichen Schutzvorgaben für kantonale oder kommunale Organisationen mit öffentlichem Auftrag erlassen. Überdies habe die Prüfung einer möglichen Meldepflicht für Lösegeldzahlungen bei Cyberangriffen ergeben, dass eine Förderung des freiwilligen Informationsaustauschs zwischen gefährdeten Unternehmen und der öffentlichen Hand die Resilienz gegenüber Ransomware-Angriffen mehr stärken würde als eine neue Vorschrift. Im Bericht stellte die Regierung daher in Aussicht, diesen Informationsaustausch und die gemeinsame Abwehr von Ransomware-Angriffen durch eine koordinierende Rolle voranzutreiben. Sollten diese Massnahmen nicht die erhoffte Wirkung entfalten, seien bei Angriffen dennoch verbindlichere Massnahmen wie eine anonyme Meldepflicht für Versichernde betroffener Unternehmen, Finanzintermediäre sowie Sicherheitsdienstleistende in Betracht zu ziehen.

Dossier: Cyber Defence