Themen: Beschaffungen, Bundesverwaltung, Cybersicherheit, Juristisches, Öffentliche Beschaffung, Roundtable, Sicherheit

Kritische IKT-Infrastrukturen – Gibt es politischen Handlungsbedarf bei der Beschaffung?

 

Unterstützt durch CISCO und furrerhugi organisierte die Parlamentarische Gruppe Digitale Nachhaltigkeit (Parldigi) am Mittwoch, 27. September 2023 im Bundeshaus einen runden Tisch zum Thema «IKT-Beschaffung bei kritischen Infrastrukturen». Ziel dieses Austausches war es, mit relevanten Akteuren eine Auslegeordnung der heutigen IKT-Beschaffungspraxis zu machen und allfällige Handlungsfelder zu eruieren.

 

 

Nach der Begrüssung der 30 Teilnehmenden durch Nik Gugger, Nationalrat und Parldigi Kernteammitglied, stellte Matthias Stürmer die Nationale Strategie zum Schutz kritischer Infrastrukturen (SKI) vor. Zielsetzungen der neuen SKI beinhalten die Gewährleistung und Verbesserung der Verfügbarkeit wichtiger Güter und Dienstleistungen in der Schweiz (insb. in den Bereichen Energie, Verkehr, Lebensmittelversorgung, Finanzdienstleistungen und Telekommunikation), eine hohe Resilienz in Bezug auf kritische Infrastrukturen, um weitreichende und schwerwiegende Ausfälle zu verhindern oder im Ernstfall das Schadensausmaß zu minimieren und die Förderung der Resilienz der Behörden, der Bevölkerung und der Wirtschaft.

 

Pascal Lamia referierte anschliessend über die aktuellen Herausforderungen im Cyberbereich und definierte die Ziele der Meldepflicht als Frühwarnung und Übersicht zur Bedrohungslage, Ermöglichung der Rechtssicherheit- und gleichheit und die Orientierung nach international eingeführten Meldepflichten für Cyberangriffe. Zudem erklärte er, dass die Einführung der Meldepflicht als Revision des Informationssicherheitsgesetz (ISG) umgesetzt wird. Das ISG wird so erweitert zu einem Informationssicherheitsgesetz mit Auswirkungen auf kritische Infrastrukturen.

Der Schutz der Schweiz vor Cyberrisiken ist eine gemeinsame Aufgabe von Gesellschaft, Wirtschaft und Staat. Eine offene, ehrliche transparente Kommunikation ist enorm wichtig.

 

 

Prof. Dr. Rika Koch sprach über das „Make or Buy“ Prinzip bei der öffentlichen Beschaffung kritischer Infrastrukturen und erläuterte deren Herausforderungen. Nebst potentiell inovationshemmenden starren Regeln, dem offenen Wettbewerb, der Gleichbehandlung ausländischer Anbieter sei auch der Preis (Preisdiktat) eine der Herausforderungen bei einer öffentlichen Beschaffung.

Weiter reflektierte sie über die freihändige Vergabe oder die Ausschreibung im offenen Wettbewerb als Ausnahmen oder als Lösungen. Im Fall einer freihändigen Vergabe gäbe es:

• 1. Keine Regeln, Abweichungen vom Pflichtenheft möglich
  2. Kein Wettbewerb, Bevorzugung nationaler Anbieter möglich
  3. Preis spielt keine Rolle

Dies sei aber nur möglich, wenn es zum Schutz der Sicherheit oder aus Gründen der öffentlichen Ordnung «als erforderlich erachtet» wird.

Eine Ausschreibung im offenen Wettbewerb käme als Lösung in Frage wenn…

• 1. Die neuen Flexibilitätsinstrumente im BöB 2021 für mehr Innovation genutzt werden
  2. Der Wettbewerb kann zu hörerer Qualität und somit auch zur Einforderung besserer Kriterien für die IT-Sicherheit führen
  3. Kein Preisdiktat sondern Qualitätswettbewerb vorliegt

Sicherheitsrelevante Kriterien müssen zwingend in der Ausschreibung eingefordert und vertraglich durchgesetzt werden!

 

 

Raffaello Dolci bezeichnete den Schutz kritischer Infrastrukturen als ein Kernthema für CISCO. Kritische Infrastrukturen (KI) seien speziell. KI seien Prozesse, Systeme und Anlagen, die für das Funktionieren der Wirtschaft sowie für die Lebensqualität der Schweizer Bevölkerung von wesentlicher Bedeutung seien. Deshalb seien im Kontext von kritischen Infrastrukturen zusätzliche Kriterien bei Ausschreibungen erforderlich, um diese besser zu schützen.

Nebst Herausforderungen bei den Ausschreibungen, ging er auch auf die entscheidenden Faktoren der Ausschreibungen – Transparenz und Resilienz – ein.

Sicherheit muss von Anschaffungsentscheid bis Ende Lebenszyklus gewährleistet sein. Neue Kriterien für Transparenz & Resilienz beim Erwerb kritischer IKT-Infrastukturen können höhere Sicherheit bieten.