- Aus Sicht der Geschäftsprüfungskommission des Nationalrats (GPK) haben der Bundesrat und das VBS angemessen auf den Cyber-Angriff auf den bundeseigenen Rüstungskonzern Ruag im Jahr 2016 reagiert.
- Das VBS hätte demnach aber bestimmter gegenüber der Ruag auftreten sollen, um die Eigeninteressen des Bundes durchzusetzen.
- Beim Cyberangriff auf die Ruag waren mehr als 20 Gigabyte Daten gestohlen worden. Die Öffentlichkeit erfuhr im Frühjahr 2016 davon.
Der Bundesrat und das Verteidigungsdepartement (VBS) haben gemäss GPK angemessen auf den Vorfall reagiert, kommt die Kommission in einem Bericht zum Schluss. Die Behörden hätten auch mit der nötigen Dringlichkeit gehandelt, schreibt sie.
Die Ruag und deren Leitung hätten dagegen mehr Zeit benötigt, bis sie das Ausmass des Angriffs und die damit verbundenen Risiken anerkannt und eigene Massnahmen angeordnet hätten. Die GPK begrüsst es, dass das VBS Druck ausübte und mehrfach bei der Firma intervenierte.
Keine Forderungen gestellt
Kritik übt die GPK jedoch am späteren Umgang mit dem Cyberangriff. Der Angriff und dessen Folgen seien im Rahmen der strategischen Steuerung der Ruag zu wenig aufgenommen worden. Das VBS verfüge über die nötigen Instrumente, um die Eignerinteressen des Bundes zu vertreten und durchzusetzen. Es nutze diese aber nicht genügend.
Dies zeige sich am Beispiel der regelmässigen Eignergespräche zwischen VBS und Ruag. Diese dienten heute vor allem der laufenden Information über den Geschäftsgang, schreibt die GPK. Sie sollten aber auch genutzt werden, um Forderungen zu stellen und Aufträge zu erteilen.
Gespräche hätten protokolliert werden sollen
Es sei «nicht nachvollziehbar», dass die Bewältigung der Konsequenzen des Cyberangriffs im Rahmen der Eignergespräche kaum thematisiert worden seien, schreibt die GPK. Sie kritisiert insbesondere, dass wichtige Diskussionen in einem informellen Rahmen geführt und nicht schriftlich festgehalten wurden. Damit fehle dem VBS nicht nur eine solide Informationsgrundlage, sondern auch die Möglichkeit, Forderungen und Vorgaben nachhaltig durchzusetzen.
Die GPK erwartet vom VBS, dass es gegenüber der Ruag in Zukunft bestimmter auftritt und sich stärker für die Forderungen des Bundes und die Wahrung von dessen Interessen einsetzt.
