Florian Schütz, der Delegierte des Bundes für Cybersicherheit, liefert dem Bundesrat jedes Jahr ein Update zur IT-Security in der Bundesverwaltung. Für diesen "Bericht Informatiksicherheit Bund" nennen ihm die Departemente den Stand der Dinge. Darauf basierend hält der Delegierte fest, dass der Sicherheitsstandard "insgesamt der aktuellen Bedrohungslage entspricht". Dennoch müsse man davon ausgehen, dass die Bundesverwaltung Opfer einer Cyberattacke werden könne.

Im Bericht werden Kampagnen und Schulungen gelistet, die das verhindern sollen: Das neue Bug Bounty Programm, die "S-U-P-E-R"-Kampagne zur Sensibilisierung, ein Projekt für "Endpoint Detection and Response", externe Zertifizierungen und mehr. Vieles soll dieses Jahr fortgeführt werden, so wird etwa das Bug-Bounty-Programm erweitert und eine neue Verschlüsselungssoftware "CHCrypt" eingeführt. Laut dem Bericht ist der Bund mit seinen Vorkehrungen erfolgreich.

Das Cyber Fusion Center (CFC) musste 2022 insgesamt 559 Ereignisse bearbeiten, die von Malware-Verdacht bis Phishing-Kampagnen reichten. Das Computer Security Incident Response Team (CSIRT) hat 116 Domains gesperrt, die Malware verteiten oder für Phishing-Kamapgnen genutzt wurden. Zudem mussten Firewalls nachgerichtet und mangelhafter Malware-Schutz auf Servern verbessert werden. Da es keine kritischen Sicherheitsvorfälle gegeben habe, könne man die Gesamtsituation als ruhig beschreiben, heisst es im Bericht.

Auch 2022 gab es DDoS-Angriffe, gegen die aber eine Web Application Firewall (WAF) implementiert wurde, auf der eine Zugriffslimite besteht. Das NCSC ist ausserdem fleissig beim Erspähen von Sicherheitslücken: Seit das Zentrum von der US-Organisation MITRE im Herbst 2021 autorisiert wurde, CVE-Nummern zu vergeben, hat es insgesamt 30 Schwachstellen-Nummern publiziert. Auch diverse kritische Schwachstellen in der Schweizer konnte dank NCSC geschlossen werden.

Der Sicherheitsbericht erscheint dieses Jahr angesichts der sehr guten Noten von Schütz aber zur Unzeit: Nach dem Angriff auf den IT-Security-Dienstleisters Xplain rätselt die Verwaltung, ob nur die Bundesämter für Polizei und für Zoll vom Databreach betroffen sind oder auch "operative Daten" der Bundesverwaltung. Zudem gabs im Vorfeld des Besuchs des ukrainischen Präsidenten einen DDoS-Angriff auf die Parlamentswebsite, die kurzzeitig offline waren.

Der Bericht 2022 ist auf der Website des Finanzdepartements hinterlegt.