202641112026-11-12T11:43:40Z09;34;1236;2446;08Ip.8Interpellation10840m10840Pahud YvanPahudFraktion VV4Fraktion der Schweizerischen VolksparteiauthorNR1NationalratN2026-09-15T00:00:00Z5252152026-11-11T00:00:00Z0EFD7Finanzdepartementtrue2026-09-15T00:00:00202Eingereicht2026-11-11T00:00:00203Stellungnahme zum Vorstoss liegt vordeNR1NationalratN110840m10840Pahud YvanPahudFraktion VV4Fraktion der Schweizerischen Volksparteiauthor26.4111203Stellungnahme zum Vorstoss liegt vor0114Antwort BR / Büro<p>Die Schweiz übermittelt im Rahmen des automatischen Informationsaustauschs über Finanzkonten (AIA) nur Informationen von Personen mit einem Finanzkonto in der Schweiz, die im jeweiligen Partnerstaat steuerlich ansässig sind. Im Gegenzug erhält die Schweiz im Rahmen des AIA entsprechende Informationen über in der Schweiz steuerlich ansässige Personen mit Finanzkonten in den Partnerstaaten. Eine Voraussetzung für die Teilnahme am reziproken AIA ist, dass ein Staat die regelmässigen Peer Reviews des Global Forum für Transparenz und Informationsaustausch in Steuersachen zu Vertraulichkeit und Datensicherheit erfolgreich durchläuft. Diese Prüfungen werden von Datensicherheitsexperten aus den Mitgliedstaaten des Global Forum, einschliesslich der Schweiz, durchgeführt. Ergänzend hat das Global Forum einen Plan für Datensicherheitsvorfälle entwickelt, mit dem mögliche Risiken für die Vertraulichkeit und Sicherheit des Informationsaustauschs beurteilt werden und sichergestellt wird, dass die Partnerstaaten und betroffenen Stakeholders informiert werden.</p><p>&nbsp;</p><p><i>Zu Fragen 1/2:</i>&nbsp;Das Global Forum hat nach dem genannten Cyberangriff in Frankreich den Plan für Sicherheitsvorfälle aktiviert und den Sachverhalt mit Frankreich abgeklärt. Nach französischen Angaben sind die für den internationalen Datenaustausch eingesetzten, von anderen Systemen und Datenbanken getrennten AIA-Systeme, einschliesslich des OECD-Übermittlungssystems (CTS), vom Vorfall nicht betroffen. Nach den vorliegenden Erkenntnissen bestehen daher keine Anhaltspunkte dafür, dass AIA-Daten von Schweizer Steuerpflichtigen kompromittiert worden sein könnten. Ob Daten von Schweizer Steuerpflichtigen in anderen Systemen vom Vorfall betroffen sind, kann der Bundesrat nicht beurteilen. Die französischen Behörden informieren die betroffenen Steuerpflichtigen direkt über den Vorfall und mögliche Konsequenzen.</p><p><i>&nbsp;</i></p><p><i>Zu Fragen 3/4:</i><strong>&nbsp;</strong>Die französischen Behörden haben den Vorfall unter Kontrolle gebracht, dessen Ursachen eruiert und Gegenmassnahmen ergriffen. Das Global Forum beurteilte die Reaktion als verfahrenskonform, da weder systemische Probleme festgestellt wurden noch AIA-Daten betroffen sind.</p><p>Frankreich hat im Rahmen der multilateralen AIA-Abkommen die erforderlichen Zusicherungen abgegeben. Da absolute Sicherheit vor Datensicherheitsvorfällen nicht gewährleistet werden kann, sind wirksame Sicherheitsmassnahmen entscheidend, die im vorliegenden Fall vorhanden waren. Die Schweiz stützt sich dabei – wie die anderen AIA-Teilnehmerstaaten – auf die Prüfungen und den Plan für Sicherheitsvorfälle des Global Forum. Da vom Vorfall keine AIA-Daten betroffen waren, hat das Global Forum Frankreich den Status als geeigneter Partner für den reziproken AIA nicht entzogen und erachtet den Fall als abgeschlossen.</p><p><i>&nbsp;</i></p><p><i>Zu Frage 5:</i> Sollten die Voraussetzungen für einen sicheren Informationsaustausch künftig nicht mehr gewährleistet sein, kann die Schweiz die Datenübermittlung vorübergehend aussetzen. Dies gilt insbesondere, wenn die Datensicherheit im Partnerstaat nicht mehr ausreichend gewährleistet ist und das Global Forum diesem den Status als geeigneter Partner entzieht. In einem solchen Fall können die teilnehmenden Staaten die Datenübermittlung stoppen. So setzte die Schweiz 2019 nach einem gravierenden Sicherheitsvorfall in Bulgarien, von dem auch AIA-Daten betroffen waren, die Datenübermittlung aus, bis die festgestellten Sicherheitsmängel behoben und das überarbeitete Sicherheitsdispositiv Bulgariens vom Global Forum validiert worden war.</p><p>Vor diesem Hintergrund kommt der Bundesrat zum Schluss, dass der Sicherheitsvorfall in Frankreich derzeit keine zusätzlichen Massnahmen im Bereich des AIA erfordert, da die bestehenden Verfahren eine angemessene Reaktion auf Datensicherheitsrisiken gewährleisten.</p>5Eingereichter Text<p>Am 13.&nbsp;August&nbsp;2026 bestätigten die französischen Behörden einen Cyberangriff auf die Generaldirektion für öffentliche Finanzen&nbsp;(DGFiP), bei dem Daten von knapp 700&nbsp;000&nbsp;Steuerpflichtigen abgeflossen sind. Die abgeflossenen Daten umfassen unter anderem das steuerliche Referenzeinkommen und den Quellensteuersatz.</p><p>&nbsp;</p><p>Dabei handelt es sich um besonders sensible Informationen, die zu kriminellen Zwecken wie Identitätsdiebstahl, Betrug, Erpressung oder gezielten Angriffen auf vermögende Personen missbraucht werden können.</p><p>&nbsp;</p><p>Der Cyberangriff wirft ernsthafte Fragen hinsichtlich der Fähigkeit Frankreichs auf, die ihm anvertrauten Steuerdaten zu schützen. Für die Schweiz ist die Situation besonders besorgniserregend, da sie mit Frankreich einen automatischen Informationsaustausch in Steuersachen unterhält. Finanzinformationen von in Frankreich steuerpflichtigen Schweizerinnen und Schweizern werden somit an die französischen Behörden übermittelt.</p><p>&nbsp;</p><p>Vertraulichkeit und Datensicherheit sind für diesen Austausch von zentraler Bedeutung. Der Bundesrat muss sicherstellen, dass Frankreich die dafür erforderlichen Voraussetzungen jederzeit erfüllt.</p><p>&nbsp;</p><p>Ich bitte den Bundesrat deshalb, die folgenden Fragen zu beantworten:</p><ol><li>Wie beurteilt der Bundesrat den erwähnten Cyberangriff und die Risiken, die dieser für in Frankreich steuerpflichtige Schweizerinnen und Schweizer birgt?</li><li>Wurden bei diesem Angriff Daten von Schweizerinnen und Schweizern kompromittiert?</li><li>Ist der Bundesrat der Auffassung, dass Frankreich die für die Fortführung des automatischen Informationsaustauschs erforderlichen Voraussetzungen hinsichtlich Vertraulichkeit, Cybersicherheit und Datenschutz weiterhin erfüllt?</li><li>Wird der Bundesrat eine umgehende Risikoanalyse durchführen und zusätzliche Vorkehrungen von Frankreich verlangen?</li><li>Welche Massnahmen kann die Schweiz ergreifen (beispielsweise eine Aussetzung des automatischen Informationsaustauschs), sollten die erforderlichen Voraussetzungen nicht mehr erfüllt sein?</li></ol>1Titel des GeschäftesWeitreichender Abfluss von Steuerdaten in Frankreich. Muss die Schweiz den automatischen Informationsaustausch überdenken?