Cybersicherheit und digitale Souveränität. Eine nationale Roadmap für den Übergang zur Post-Quanten-Kryptografie in der Schweiz

ShortId
26.3628
Id
20263628
Updated
13.07.2026 08:19
Language
de
Title
Cybersicherheit und digitale Souveränität. Eine nationale Roadmap für den Übergang zur Post-Quanten-Kryptografie in der Schweiz
AdditionalIndexing
34;09
1
PriorityCouncil1
Ständerat
Texts
  • <p>Die Steigerung der Leistungsfähigkeit der Quanteninformatik stellt eine erhebliche Bedrohung für die langfristige digitale Sicherheit dar. Es ist absehbar, dass leistungsfähige Quantencomputer auf öffentlichen Schlüsseln beruhende Verschlüsselungssysteme gefährden könnten, die derzeit zum Schutz von Kommunikation, Zahlungen, elektronischen Signaturen und digitalen Identitäten verwendet werden. Auch wenn solche Geräte noch nicht einsatzfähig sind, muss damit gerechnet werden, dass dies in den nächsten zehn bis fünfzehn Jahren der Fall sein wird. Die Gefahr ist bereits real – und zwar in Form der sogenannten Strategie „Jetzt sammeln, später entschlüsseln“. Demnach werden besonders schützenswerte Daten heute schon erfasst, um sie zu einem späteren Zeitpunkt zu entschlüsseln.</p><p>Angesichts dieser Bedrohung haben mehrere Partner der Schweiz bereits mit der Umstellung auf die Post-Quanten-Kryptografie begonnen. Die Europäische Union, die Vereinigten Staaten, das Vereinigte Königreich, Frankreich und Deutschland haben Roadmaps, technische Standards und Zeitpläne für die Umstellung verabschiedet. In der Schweiz haben die Behörden das Problem erkannt und Überlegungen dazu angestellt, doch gibt es bislang noch keine umsetzbare nationale Migrationsstrategie für kritische Infrastrukturen und staatliche Daten.</p><p>Die Motion zielt daher darauf ab, diese Lücke zu schliessen, indem eine koordinierte nationale Roadmap mit Zielen, Fristen und einer klaren Steuerung erstellt wird. Sie zielt in erster Linie auf kritische Systeme, Daten, die einen langfristigen Schutz erfordern, und Anschaffungen ab, deren Lebensdauer über das Jahr 2030 hinausreicht. Dieser Ansatz knüpft an die bisherigen Arbeiten der Bundesbehörden an und stützt sich auf die Grundsätze der Technologieneutralität, der Interoperabilität und der Verhältnismässigkeit.</p><p>Schliesslich würde eine vorausschauende Planung eine kostspielige Notfallmigrationen vermeiden und die digitale Souveränität der Schweiz stärken. Ziel ist es, sicherzustellen, dass die Mechanismen zum Schutz von Daten, Kommunikation und elektronischen Signaturen angesichts der sich entwickelnden Bedrohung durch Quantencomputer weiterhin zuverlässig bleiben.</p>
  • <p>Der Bundesrat wird beauftragt, in Zusammenarbeit mit den Kantonen, den Hochschulen, den Forschungsinstituten, den branchenspezifischen Aufsichtsbehörden und der Privatwirtschaft eine nationale Roadmap für den Übergang der Schweiz zur Post-Quanten-Kryptografie auszuarbeiten. Diese Roadmap soll den nachhaltigen Schutz besonders schützenswerter Daten und sensitiver Kommunikation, die Widerstandsfähigkeit kritischer Infrastrukturen, die langfristige Gültigkeit elektronischer Signaturen und Dokumente, die internationale Interoperabilität der Schweizer Systeme und die Wettbewerbsfähigkeit der im internationalen Markt tätigen Unternehmen gewährleisten. Insbesondere ist Folgendes vorzusehen:</p><ol style="list-style-type:lower-alpha;"><li><strong>Spätestens bis Ende 2027 muss eine nationale Migrationsstrategie – d. h. eine Strategie zur schrittweisen Ablösung anfälliger Algorithmen – auf der Grundlage einer Risikobewertung erarbeitet werden,&nbsp;</strong>einschliesslich einer Bestandsaufnahme kritischer kryptografischer Anwendungen, einer Kartografie der Abhängigkeiten, auch gegenüber ausländischen Anbietern, sowie der Lancierung von Pilotprojekten für Anwendungsfälle mit hohem Risiko oder langer Vertraulichkeitsdauer.</li><li><strong>Es müssen Meilensteine festgelegt werden, die auf die einschlägigen internationalen Zeitpläne abgestimmt sind,&nbsp;</strong>insbesondere die vorrangige Umstellung für Anwendungsfälle mit hohem Risiko bis Ende 2030 und die schrittweise Umstellung der übrigen kritischen oder sensitiven Systeme bis Ende 2035; dies unter Berücksichtigung der Ausgereiftheit der Standards, der Interoperabilität und der Verhältnismässigkeit der Massnahmen.</li><li><strong>Es müssen die Zuständigkeiten für die Steuerung und Koordination innerhalb der Bundesverwaltung festgelegt werden,</strong> insbesondere unter Einbezug des Bundesamts für Cybersicherheit (BACS, ehemals NCSC), des Bundesamts für Informatik und Telekommunikation (BIT) sowie der spezifisch zuständigen Behörden. Redundante Strukturen müssen vermieden werden. Dem Parlament ist alle zwei Jahre ein Bericht über den Stand der Umsetzung vorzulegen.</li><li><strong>Es müssen Mindestanforderungen für kritische Infrastrukturen, Informationssysteme des Bundes und Anbieter kritischer digitaler Dienste festgelegt werden,&nbsp;</strong>insbesondere betreffend ein standardisiertes und interoperables kryptografisches Inventar – das, soweit angemessen, auf anerkannten Formaten wie der Cryptographic Bill of Materials (CBOM) basiert –, Krypto-Agilität, Aktualisierbarkeit sowie die gesicherte Verwaltung von Lieferantenabhängigkeiten. Diese Inventare müssen als sensitive Sicherheitsinformationen mit eingeschränktem Zugriff behandelt werden und dürfen nicht detailliert veröffentlicht werden.</li><li><strong>Anforderungen zur Vorbereitung auf die Post-Quanten-Kryptografie müssen in öffentliche Ausschreibungen des Bundes und in Lieferantenverträgen</strong>für digitale Produkte und Dienstleistungen, deren Lebensdauer, Kritikalität oder erwartete Vertraulichkeitsdauer über das Jahr 2030 hinausgeht, aufgenommen werden.</li><li><strong>Die Quantenresilienz der elektronischen Signatur und der Langzeitarchivierung ist zu gewährleisten,</strong> um die dauerhafte Gültigkeit von Signaturen, Zertifikaten, Zeitstempeln, öffentlichen Urkunden, Patientendossier, öffentlichen Registern und Archiven in Übereinstimmung mit den Arbeiten der Swiss Government PKI sicherzustellen.</li><li><strong>Die Übereinstimmung mit den geltenden internationalen Rahmenwerken ist sicherzustellen,&nbsp;</strong>insbesondere diejenige mit der koordinierten Roadmap, die am 11. Juni 2025 von der NIS-Kooperationsgruppe der Europäischen Union verabschiedet wurde, sowie diejenige mit den Anforderungen der Cyberresilienz-Verordnung, die ab dem 11. Dezember 2027 für Produkte gelten, die auf den europäischen Markt gebracht werden.</li><li><strong>Der rechtlich und reglementarisch erforderliche Anpassungsbedarf ist zu prüfen,</strong> insbesondere betreffend die Gesetzgebung zur Informationssicherheit, die Cybersicherheitsverordnung, die Vorschriften für das öffentliche Beschaffungswesen und die geltenden bereichsspezifischen Regelungen.</li><li><strong>Für die Kantone, KMU, Hochschulen und Schweizer Unternehmen sind angemessene Unterstützungsmassnahmen vorzusehen,</strong> insbesondere in Form von Leitlinien, Inventarvorlagen, Pilotprojekten, Interoperabilitätstests und durch die Mobilisierung nationaler Kompetenzen im Sinne einer technologischen Souveränität, die mit dem Ziel der Motion 24.3209 übereinstimmt.</li></ol><p>Die Roadmap berücksichtigt die Grundsätze der Technologieneutralität, der Offenheit der Standards, der Sicherheit durch Design und der wirtschaftlichen Verhältnismässigkeit – wobei die Verpflichtungen je nach Risiko, Kritikalität, Dauer der Vertraulichkeit der Daten und Lebensdauer der Systeme unterschiedlich ausgestaltet sind. Entsprechend der Schweizer Tradition, die eher auf günstige Rahmenbedingungen als auf eine selektive Industriepolitik setzt, zielt sie nicht darauf ab, einen bestimmten Anbieter oder eine bestimmte Technologie zu begünstigen, sondern die Sicherheitsanforderungen für staatliche Infrastrukturen festzulegen. Die in den kryptografischen Bestandesverzeichnissen enthaltenen sensitiven Informationen sind geschützt.</p>
  • Cybersicherheit und digitale Souveränität. Eine nationale Roadmap für den Übergang zur Post-Quanten-Kryptografie in der Schweiz
State
Eingereicht
Related Affairs
Drafts
  • Index
    0
    Texts
    • <p>Die Steigerung der Leistungsfähigkeit der Quanteninformatik stellt eine erhebliche Bedrohung für die langfristige digitale Sicherheit dar. Es ist absehbar, dass leistungsfähige Quantencomputer auf öffentlichen Schlüsseln beruhende Verschlüsselungssysteme gefährden könnten, die derzeit zum Schutz von Kommunikation, Zahlungen, elektronischen Signaturen und digitalen Identitäten verwendet werden. Auch wenn solche Geräte noch nicht einsatzfähig sind, muss damit gerechnet werden, dass dies in den nächsten zehn bis fünfzehn Jahren der Fall sein wird. Die Gefahr ist bereits real – und zwar in Form der sogenannten Strategie „Jetzt sammeln, später entschlüsseln“. Demnach werden besonders schützenswerte Daten heute schon erfasst, um sie zu einem späteren Zeitpunkt zu entschlüsseln.</p><p>Angesichts dieser Bedrohung haben mehrere Partner der Schweiz bereits mit der Umstellung auf die Post-Quanten-Kryptografie begonnen. Die Europäische Union, die Vereinigten Staaten, das Vereinigte Königreich, Frankreich und Deutschland haben Roadmaps, technische Standards und Zeitpläne für die Umstellung verabschiedet. In der Schweiz haben die Behörden das Problem erkannt und Überlegungen dazu angestellt, doch gibt es bislang noch keine umsetzbare nationale Migrationsstrategie für kritische Infrastrukturen und staatliche Daten.</p><p>Die Motion zielt daher darauf ab, diese Lücke zu schliessen, indem eine koordinierte nationale Roadmap mit Zielen, Fristen und einer klaren Steuerung erstellt wird. Sie zielt in erster Linie auf kritische Systeme, Daten, die einen langfristigen Schutz erfordern, und Anschaffungen ab, deren Lebensdauer über das Jahr 2030 hinausreicht. Dieser Ansatz knüpft an die bisherigen Arbeiten der Bundesbehörden an und stützt sich auf die Grundsätze der Technologieneutralität, der Interoperabilität und der Verhältnismässigkeit.</p><p>Schliesslich würde eine vorausschauende Planung eine kostspielige Notfallmigrationen vermeiden und die digitale Souveränität der Schweiz stärken. Ziel ist es, sicherzustellen, dass die Mechanismen zum Schutz von Daten, Kommunikation und elektronischen Signaturen angesichts der sich entwickelnden Bedrohung durch Quantencomputer weiterhin zuverlässig bleiben.</p>
    • <p>Der Bundesrat wird beauftragt, in Zusammenarbeit mit den Kantonen, den Hochschulen, den Forschungsinstituten, den branchenspezifischen Aufsichtsbehörden und der Privatwirtschaft eine nationale Roadmap für den Übergang der Schweiz zur Post-Quanten-Kryptografie auszuarbeiten. Diese Roadmap soll den nachhaltigen Schutz besonders schützenswerter Daten und sensitiver Kommunikation, die Widerstandsfähigkeit kritischer Infrastrukturen, die langfristige Gültigkeit elektronischer Signaturen und Dokumente, die internationale Interoperabilität der Schweizer Systeme und die Wettbewerbsfähigkeit der im internationalen Markt tätigen Unternehmen gewährleisten. Insbesondere ist Folgendes vorzusehen:</p><ol style="list-style-type:lower-alpha;"><li><strong>Spätestens bis Ende 2027 muss eine nationale Migrationsstrategie – d. h. eine Strategie zur schrittweisen Ablösung anfälliger Algorithmen – auf der Grundlage einer Risikobewertung erarbeitet werden,&nbsp;</strong>einschliesslich einer Bestandsaufnahme kritischer kryptografischer Anwendungen, einer Kartografie der Abhängigkeiten, auch gegenüber ausländischen Anbietern, sowie der Lancierung von Pilotprojekten für Anwendungsfälle mit hohem Risiko oder langer Vertraulichkeitsdauer.</li><li><strong>Es müssen Meilensteine festgelegt werden, die auf die einschlägigen internationalen Zeitpläne abgestimmt sind,&nbsp;</strong>insbesondere die vorrangige Umstellung für Anwendungsfälle mit hohem Risiko bis Ende 2030 und die schrittweise Umstellung der übrigen kritischen oder sensitiven Systeme bis Ende 2035; dies unter Berücksichtigung der Ausgereiftheit der Standards, der Interoperabilität und der Verhältnismässigkeit der Massnahmen.</li><li><strong>Es müssen die Zuständigkeiten für die Steuerung und Koordination innerhalb der Bundesverwaltung festgelegt werden,</strong> insbesondere unter Einbezug des Bundesamts für Cybersicherheit (BACS, ehemals NCSC), des Bundesamts für Informatik und Telekommunikation (BIT) sowie der spezifisch zuständigen Behörden. Redundante Strukturen müssen vermieden werden. Dem Parlament ist alle zwei Jahre ein Bericht über den Stand der Umsetzung vorzulegen.</li><li><strong>Es müssen Mindestanforderungen für kritische Infrastrukturen, Informationssysteme des Bundes und Anbieter kritischer digitaler Dienste festgelegt werden,&nbsp;</strong>insbesondere betreffend ein standardisiertes und interoperables kryptografisches Inventar – das, soweit angemessen, auf anerkannten Formaten wie der Cryptographic Bill of Materials (CBOM) basiert –, Krypto-Agilität, Aktualisierbarkeit sowie die gesicherte Verwaltung von Lieferantenabhängigkeiten. Diese Inventare müssen als sensitive Sicherheitsinformationen mit eingeschränktem Zugriff behandelt werden und dürfen nicht detailliert veröffentlicht werden.</li><li><strong>Anforderungen zur Vorbereitung auf die Post-Quanten-Kryptografie müssen in öffentliche Ausschreibungen des Bundes und in Lieferantenverträgen</strong>für digitale Produkte und Dienstleistungen, deren Lebensdauer, Kritikalität oder erwartete Vertraulichkeitsdauer über das Jahr 2030 hinausgeht, aufgenommen werden.</li><li><strong>Die Quantenresilienz der elektronischen Signatur und der Langzeitarchivierung ist zu gewährleisten,</strong> um die dauerhafte Gültigkeit von Signaturen, Zertifikaten, Zeitstempeln, öffentlichen Urkunden, Patientendossier, öffentlichen Registern und Archiven in Übereinstimmung mit den Arbeiten der Swiss Government PKI sicherzustellen.</li><li><strong>Die Übereinstimmung mit den geltenden internationalen Rahmenwerken ist sicherzustellen,&nbsp;</strong>insbesondere diejenige mit der koordinierten Roadmap, die am 11. Juni 2025 von der NIS-Kooperationsgruppe der Europäischen Union verabschiedet wurde, sowie diejenige mit den Anforderungen der Cyberresilienz-Verordnung, die ab dem 11. Dezember 2027 für Produkte gelten, die auf den europäischen Markt gebracht werden.</li><li><strong>Der rechtlich und reglementarisch erforderliche Anpassungsbedarf ist zu prüfen,</strong> insbesondere betreffend die Gesetzgebung zur Informationssicherheit, die Cybersicherheitsverordnung, die Vorschriften für das öffentliche Beschaffungswesen und die geltenden bereichsspezifischen Regelungen.</li><li><strong>Für die Kantone, KMU, Hochschulen und Schweizer Unternehmen sind angemessene Unterstützungsmassnahmen vorzusehen,</strong> insbesondere in Form von Leitlinien, Inventarvorlagen, Pilotprojekten, Interoperabilitätstests und durch die Mobilisierung nationaler Kompetenzen im Sinne einer technologischen Souveränität, die mit dem Ziel der Motion 24.3209 übereinstimmt.</li></ol><p>Die Roadmap berücksichtigt die Grundsätze der Technologieneutralität, der Offenheit der Standards, der Sicherheit durch Design und der wirtschaftlichen Verhältnismässigkeit – wobei die Verpflichtungen je nach Risiko, Kritikalität, Dauer der Vertraulichkeit der Daten und Lebensdauer der Systeme unterschiedlich ausgestaltet sind. Entsprechend der Schweizer Tradition, die eher auf günstige Rahmenbedingungen als auf eine selektive Industriepolitik setzt, zielt sie nicht darauf ab, einen bestimmten Anbieter oder eine bestimmte Technologie zu begünstigen, sondern die Sicherheitsanforderungen für staatliche Infrastrukturen festzulegen. Die in den kryptografischen Bestandesverzeichnissen enthaltenen sensitiven Informationen sind geschützt.</p>
    • Cybersicherheit und digitale Souveränität. Eine nationale Roadmap für den Übergang zur Post-Quanten-Kryptografie in der Schweiz

Back to List