Bill C-26 ist Geschichte: Was Kanadas Bill C-8 verlangt

Bill C-26 ist nicht mehr Kanadas Gesetzesvorhaben zur Cybersicherheit kritischer Infrastrukturen. Mit dem Ende des 44. Parlaments war die Vorlage gescheitert. Der Nachfolger Bill C-8 erhielt am 15. Juni 2026 die königliche Zustimmung und schuf den Critical Cyber Systems Protection Act. Im August 2026 ist das Gesetz jedoch noch nicht in Kraft und Schedule 2 zur Benennung der Betreiber ist leer. Die Compliance-Pflichten gelten daher noch nicht.

Diese Einordnung fehlt in vielen Zusammenfassungen. Das Gesetz existiert, doch die operativen Fristen laufen noch nicht. Sicherheitsverantwortliche sollten die Zwischenzeit zur Vorbereitung nutzen. Dabei müssen sie klar zwischen bereits verabschiedeten Vorgaben, noch ausstehenden Verordnungen und sinnvollen, aber gesetzlich nicht vorgeschriebenen Maßnahmen unterscheiden.

Was ist aus Bill C-26 geworden?

Bill C-26 wurde nicht zum Gesetz. Die Vorlage hatte die letzten Phasen des 44. Parlaments erreicht, wurde aber nach der Prorogation des Parlaments im Januar 2025 nicht weiterbehandelt. Am 18. Juni 2025 brachte die Regierung den in weiten Teilen gleichlautenden Bill C-8 im neuen Parlament ein.

Das Parlamentsprotokoll zu Bill C-26 endet bei der Beratung der Änderungen des Senats. In einer späteren Ausschussunterlage der Bundesregierung zu Bill C-8 wird Bill C-8 als nahezu identisch mit der früheren Vorlage beschrieben. Bill C-8 durchlief das neue Gesetzgebungsverfahren vollständig und erhielt am 15. Juni 2026 die königliche Zustimmung.

Die heutige Gesetzesbezeichnung ist wichtig. Bill C-8 ist nun Statutes of Canada 2026, Kapitel 9 und trägt offiziell den Titel An Act respecting cyber security, amending the Telecommunications Act and making consequential amendments to other Acts. Mit seinem zweiten Teil wurde der Critical Cyber Systems Protection Act verabschiedet, meist als CCSPA abgekürzt.

Die Bezeichnung „Bill C-26“ ist nur noch sinnvoll, wenn Sie den historischen Verlauf erklären oder einen älteren Suchbegriff aufgreifen. Compliance-Pläne, Vorstandsunterlagen und Lieferantenfragebögen sollten sich auf Bill C-8 oder besser auf den CCSPA beziehen.

Ist Bill C-8 bereits in Kraft?

Nur ein Teil des Gesetzespakets ist in Kraft. Die Änderungen von Bill C-8 am Telecommunications Act traten mit der königlichen Zustimmung in Kraft. Der CCSPA enthält das Cybersicherheitsprogramm sowie die Vorgaben zu Vorfallmeldungen, Lieferketten, Aufzeichnungen und Durchsetzung. Im aktuellen Text der Justice Laws ist er weiterhin ausdrücklich als nicht in Kraft gekennzeichnet.

Laut der Mitteilung von Public Safety Canada zur königlichen Zustimmung soll die Umsetzung schrittweise erfolgen. Das Gesetz erlaubt dem Governor in Council, einzelne Bestimmungen zu unterschiedlichen, per Anordnung festgelegten Zeitpunkten in Kraft zu setzen.

Drei weitere Schritte sind nötig, bevor eine Organisation eine verbindliche Compliance-Frist berechnen kann:

1. Anordnungen zum Inkrafttreten müssen die einschlägigen Bestimmungen des CCSPA in Kraft setzen.
2. Benennungsanordnungen müssen Betreiberkategorien und die jeweils zuständigen Aufsichtsbehörden in Schedule 2 aufnehmen.
3. Verordnungen müssen Einzelheiten regeln, etwa meldepflichtige Vorfallarten, die genaue Meldefrist, Anforderungen an das Programm, den Umgang mit Aufzeichnungen und die anwendbaren Verwaltungssanktionen.

Am 28. August 2026 ist Schedule 2 leer. Darin findet sich keine Zuordnung zwischen einer Betreiberkategorie und einer Aufsichtsbehörde. Das Gesetz benennt somit wesentliche Dienste, aber noch keine Kategorie von Unternehmen, für die die Betreiberpflichten gelten.

Das ist kein Grund, das Gesetz zu ignorieren. Es ist ein Grund, den aktuellen Stand präzise zu beschreiben: verabschiedet, nicht in Kraft, noch keine benannten Betreiberkategorien.

Für wen wird der Critical Cyber Systems Protection Act gelten?

Der CCSPA ist für benannte Betreiber kritischer Cybersysteme in bundesrechtlich regulierten wesentlichen Diensten vorgesehen. Er ist kein allgemeines Cybersicherheitsgesetz für jedes kanadische Unternehmen. Er erfasst auch nicht automatisch jedes Unternehmen, das an einen der aufgeführten Sektoren verkauft.

Schedule 1 führt derzeit sechs wesentliche Dienste und Systeme auf:

Das Gesetz definiert ein kritisches Cybersystem als ein Cybersystem, dessen beeinträchtigte Vertraulichkeit, Integrität oder Verfügbarkeit die Kontinuität oder Sicherheit eines wesentlichen Dienstes oder Systems gefährden könnte. Das ist enger gefasst als „wichtige IT“. Eine E-Mail-Plattform kann wichtig sein. Ein Steuerungs-, Zahlungs-, Routing-, Signal- oder Netzwerksystem kann dagegen kritisch sein, weil sein Ausfall den zugrunde liegenden Dienst unterbrechen könnte.

Der Governor in Council kann Betreiberkategorien und die zugehörigen Aufsichtsbehörden in Schedule 2 aufnehmen. Sobald ein Unternehmen zu einer benannten Betreiberkategorie gehört und ein kritisches Cybersystem besitzt, kontrolliert oder betreibt, gelten die gesetzlichen Pflichten für dieses System.

Bis eine solche Anordnung vorliegt, sollten Sie zwei verbreitete Fehlschlüsse vermeiden:

• Eine Bank, ein Telekommunikationsanbieter, eine Eisenbahngesellschaft, eine Fluggesellschaft, ein Pipelinebetreiber oder ein Kernenergiebetreiber ist heute nicht automatisch ein benannter Betreiber. Die Sektorliste und die Benennung der Betreiber sind getrennte rechtliche Schritte.
• Ein Cloud- oder SaaS-Anbieter wird nicht automatisch reguliert, nur weil ein künftiger benannter Betreiber seinen Dienst nutzt. Lieferanten dürften über die Lieferkettenpflichten ihrer Kunden vertraglich stärker in die Pflicht genommen werden. Das ist jedoch etwas anderes als eine unmittelbare gesetzliche Benennung.

Welche Pflichten kommen auf benannte Betreiber zu?

Sobald der CCSPA in Kraft ist und ein Betreiber benannt wurde, braucht dieser ein laufend gepflegtes Cybersicherheitsprogramm, nicht bloß ein einmal erstelltes Richtliniendokument. Das Gesetz verbindet Governance, technischen Schutz, Vorfallreaktion, Risiken durch Dritte, Kommunikation mit Aufsichtsbehörden und Nachweise zu einem fortlaufenden Arbeitsablauf.

Ein Cybersicherheitsprogramm einrichten und pflegen

Nach den Abschnitten 9 und 10 hat ein neu benannter Betreiber ab seiner Aufnahme in eine benannte Betreiberkategorie 90 Tage Zeit, ein Cybersicherheitsprogramm einzurichten und es der zuständigen Aufsichtsbehörde vorzulegen oder zugänglich zu machen. Die Behörde kann diese Frist auf schriftlichen Antrag verlängern.

Das Programm muss Maßnahmen umfassen, mit denen der Betreiber:

• Cybersicherheitsrisiken der Organisation einschließlich Lieferketten- und Drittparteirisiken identifiziert und steuert;
• kritische Cybersysteme vor Beeinträchtigungen schützt;
• Vorfälle erkennt, die diese Systeme beeinträchtigen oder beeinträchtigen könnten; und
• die Auswirkungen von Vorfällen begrenzt.

Der Betreiber muss das Programm umsetzen und pflegen. Er muss es zu den in einer Verordnung festgelegten Terminen überprüfen, ersatzweise an jedem Jahrestag seiner Einrichtung. Nach der derzeitigen gesetzlichen Auffangregelung hat er 60 Tage Zeit, die Überprüfung abzuschließen, und anschließend 30 Tage, um die Aufsichtsbehörde darüber zu informieren, ob das Programm geändert wurde.

Änderungen in der Lieferkette als Sicherheitsereignisse behandeln

Abschnitt 15 verlangt von einem benannten Betreiber, ein Lieferkettenrisiko oder ein Risiko durch Dritte unverzüglich nach seiner Identifizierung zu mindern. Nach Abschnitt 14 muss er außerdem wesentliche Änderungen an den Eigentumsverhältnissen, der Kontrolle, der Lieferkette oder der Nutzung von Produkten und Diensten Dritter innerhalb der noch durch Verordnungen festzulegenden Fristen melden.

Damit wird das Lieferantenmanagement Teil des laufenden Sicherheitsprogramms. Ein benannter Betreiber kann nicht einmal im Jahr einen Lieferantenfragebogen bearbeiten und das Risiko damit als erledigt betrachten. Er braucht ein Verzeichnis, klar benannte Verantwortliche, Auslöser für wesentliche Änderungen und einen geregelten Weg vom Sicherheitsbefund bei einem Lieferanten zu einer aktualisierten Risikobewertung.

Nachweise in Kanada aufbewahren

Abschnitt 30 verlangt Aufzeichnungen über die Umsetzung des Programms, gemeldete Vorfälle, die Minderung von Lieferkettenrisiken und Maßnahmen aufgrund von Cybersicherheitsanweisungen. Diese Unterlagen müssen in Kanada an einem vorgeschriebenen Ort aufbewahrt werden. Ist kein Ort vorgeschrieben, gilt die Betriebsstätte des Betreibers. Die Aufsichtsbehörde oder künftige Verordnungen bestimmen Form und Aufbewahrungsfrist.

Es geht nicht nur um den Speicherort. Aus den Aufzeichnungen muss hervorgehen, was die Organisation tatsächlich getan hat. Eine Richtlinie ohne Versionsverlauf, Vorfallchronologie, Entscheidungsprotokoll oder Nachweise über Abhilfemaßnahmen lässt sich bei einer Prüfung oder einer angeordneten internen Revision nur schwer verteidigen.

Beträgt die CCSPA-Meldefrist genau 72 Stunden?

Noch nicht. Das Gesetz legt eine Obergrenze für die Meldefrist fest, aber keine endgültige allgemeine Frist. Abschnitt 17 verpflichtet einen benannten Betreiber, einen Cybersicherheitsvorfall innerhalb einer durch Verordnung festzulegenden Frist an das Communications Security Establishment zu melden. Diese Frist darf 72 Stunden nicht überschreiten.

Die Verordnungen müssen erst noch bestimmen, welche Vorfälle meldepflichtig sind, welche genaue Frist gilt und in welcher Form und auf welchem Weg die Meldung erfolgen muss. Daher ist die Aussage falsch, jedes Cyberereignis müsse innerhalb von genau 72 Stunden gemeldet werden.

Der gesetzlich festgelegte Ablauf ist trotz der offenen Einzelheiten eindeutig:

1. Ein benannter Betreiber erkennt einen meldepflichtigen Vorfall, der eines seiner kritischen Cybersysteme betrifft.
2. Er meldet den Vorfall innerhalb der vorgeschriebenen Frist von höchstens 72 Stunden an das Communications Security Establishment.
3. Unmittelbar nach dieser Meldung benachrichtigt er die zuständige Aufsichtsbehörde und übermittelt ihr eine Kopie.

Die gesetzliche Definition eines Vorfalls ist weit gefasst. Sie umfasst eine Handlung, Unterlassung oder einen Umstand, die oder der die Kontinuität oder Sicherheit eines wesentlichen Dienstes oder die Vertraulichkeit, Integrität oder Verfügbarkeit eines kritischen Cybersystems beeinträchtigt oder beeinträchtigen könnte. Die Verordnungen werden noch festlegen, welche Vorfälle innerhalb dieser weiten Definition eine Meldepflicht auslösen.

Die Meldung nach dem CCSPA hebt andere Pflichten nicht auf. Abschnitt 18.1 lässt den Personal Information Protection and Electronic Documents Act ausdrücklich unberührt. Ein einziger Vorfall kann daher getrennte Arbeitsabläufe für Cybersicherheit, Datenschutz, Verträge und sektorspezifische Regulierung auslösen.

Für die Vorbereitung sollte Ihr Ziel nicht „in Stunde 71 absenden“ lauten. Sie brauchen einen Prozess, der ein Ereignis einstuft, die Rechtsberatung einbindet, Beweise sichert, die Führungsebene informiert und die Meldungen an das CSE und die Aufsichtsbehörde deutlich vor Ablauf der gesetzlichen Höchstfrist vorbereitet.

Was bedeutet Bill C-8 für Lieferanten und SaaS-Anbieter?

Die meisten Lieferanten werden Bill C-8 zunächst durch Anforderungen ihrer Kunden und erst später durch eine mögliche unmittelbare Benennung spüren. Diese Schlussfolgerung ergibt sich aus den Lieferkettenpflichten des Gesetzes. Sie ist keine eigenständige gesetzliche Regel für jeden Anbieter.

Benannte Betreiber müssen Risiken durch Produkte und Dienste Dritter identifizieren und mindern und anschließend die Aufsichtsbehörden über wesentliche Änderungen informieren. Dadurch werden einige Fragen bei der Beschaffung absehbar:

• Welche Kundensysteme und wesentlichen Dienste hängen vom Lieferanten ab?
• Wo werden Daten, Protokolle, Sicherungskopien und Vorfallaufzeichnungen gespeichert?
• Wie schnell muss der Lieferant den Betreiber über einen vermuteten Vorfall informieren?
• Welche Unterauftragnehmer können auf den Dienst zugreifen?
• Kann der Betreiber Nachweise, Prüfergebnisse und den Stand der Fehlerbehebung erhalten?
• Was gilt als wesentliche Änderung am Produkt oder Hosting-Modell, an den Eigentumsverhältnissen oder an der Lieferkette?

Erfinden Sie weder eine gesetzliche Meldefrist für Lieferanten noch eine vorgeschriebene Vertragsklausel. Die Verordnungen stehen noch nicht fest, und die Anforderungen der Betreiber werden sich unterscheiden. Erfassen Sie stattdessen schon jetzt die kritischen Abhängigkeiten Ihrer Kunden. So beginnen Vertragsverhandlungen mit belastbaren Angaben zu Architektur und Vorfallreaktion statt mit einem allgemeinen Sicherheitsanhang.

Anbieter, die auch in Europa verkaufen, können die Struktur mit unserem Leitfaden zu den Meldepflichten des EU Cyber Resilience Act vergleichen. Geltungsbereich und Auslöser unterscheiden sich, doch beide Regelwerke legen dieselbe operative Schwäche offen: Erst während eines Vorfalls stellt sich heraus, dass niemand für Eingang, Einstufung, Meldung und Nachweiskette verantwortlich ist.

Wie hoch sind die Sanktionen nach dem CCSPA?

Der CCSPA sieht hohe gesetzliche Obergrenzen vor, doch die konkrete Regelung der Verwaltungssanktionen erfordert noch Verordnungen. Nach Abschnitt 91 darf eine durch Verordnung festgesetzte Sanktion 500.000 CAD für eine natürliche Person und 15 Millionen CAD in allen anderen Fällen nicht überschreiten.

Diese Beträge sind keine automatischen Bußgelder für jeden Vorfall. Zunächst müssen Verordnungen bestimmen, welche Verstöße als Zuwiderhandlungen gelten, wie sie eingestuft werden und welcher Höchstbetrag jeweils anwendbar ist. Das Gesetz soll mit den Sanktionen die Einhaltung fördern. In einem Verwaltungsverfahren kann der Betroffene zu seiner Verteidigung vorbringen, die gebotene Sorgfalt eingehalten zu haben.

Der Durchsetzungsrahmen hat dennoch weitreichende Folgen:

• Ein fortgesetzter Verstoß kann für jeden Tag als eigener Verstoß zählen.
• Mitglieder der Geschäftsleitung oder leitende Angestellte können persönlich haften, wenn sie einen Verstoß angewiesen, genehmigt, gebilligt, geduldet oder daran mitgewirkt haben.
• Aufsichtsbehörden können Prüfungen vornehmen, interne Revisionen anordnen und Compliance-Anordnungen erlassen.
• Gesonderte Strafvorschriften erlauben gerichtlich festgelegte Geldstrafen und in bestimmten Fällen Freiheitsstrafen für natürliche Personen.

Die richtige Lehre lautet nicht „jeder Verstoß kostet 15 Millionen CAD“. Entscheidend ist, dass Nachweise über angemessene Vorbereitung, rechtzeitige Eskalation, Schadensbegrenzung und Nachverfolgung wichtig sein können. Das Programm muss funktionieren, bevor eine Aufsichtsbehörde danach fragt.

Was sollten Sicherheitsteams vor Erlass der Verordnungen tun?

Bereiten Sie die Maßnahmen vor, die voraussichtlich in jedem Fall nützlich sind, und verfolgen Sie zugleich die rechtlichen Einzelheiten in der Canada Gazette. Spekulieren Sie nicht darüber, welche Unternehmen benannt werden könnten, und schreiben Sie keine Meldepflicht fest, die noch nicht erlassen wurde.

1. Ordnen Sie wesentliche Dienste den unterstützenden Systemen zu. Gehen Sie von dem Dienst aus, auf den sich Ihre Kunden verlassen. Identifizieren Sie dann die Systeme, deren Verlust von Vertraulichkeit, Integrität oder Verfügbarkeit diesen Dienst unterbrechen könnte.
2. Benennen Sie eine verantwortliche Person auf Führungsebene und eine operative Ansprechperson. Das Cybersicherheitsprogramm braucht jemanden, der Entscheidungen trifft, und jemanden, der bei einem Vorfall Entwicklung, Recht, Kommunikation, Datenschutz und den Meldeprozess gegenüber der Aufsichtsbehörde koordinieren kann.
3. Erfassen Sie Abhängigkeiten in der Lieferkette. Dokumentieren Sie kritische Lieferanten, Unterauftragnehmer, Hosting-Regionen, Datenstandorte, Kontakte für Vorfälle und Auslöser für wesentliche Änderungen.
4. Erstellen Sie ein Vorgehen zur Einstufung und Meldung von Vorfällen. Gestalten Sie den genauen Schwellenwert des CCSPA so, dass er später angepasst werden kann. Berücksichtigen Sie Meldungen an das CSE und die künftige sektorspezifische Aufsichtsbehörde sowie Entscheidungen zu Datenschutz, Verträgen, Versicherern, Strafverfolgungsbehörden und Kommunikation.
5. Führen Sie eine Übung unter Zeitdruck durch. Prüfen Sie, ob Ihr Team in weniger als 72 Stunden einen Vorfall erkennen und einstufen, Beweise sichern, eine Meldung freigeben und die Führungsebene informieren kann.
6. Bewahren Sie eine belastbare Chronologie auf. Halten Sie fest, wann das Ereignis eintrat und erkannt wurde, wer welche Entscheidung traf, welche Eindämmungsmaßnahmen ergriffen wurden und wann Dritte benachrichtigt wurden.
7. Beobachten Sie Primärquellen. Prüfen Sie die CCSPA-Seite der Justice Laws und die Canada Gazette regelmäßig auf Anordnungen zum Inkrafttreten, Benennungen in Schedule 2 und Durchführungsverordnungen.

Die Entgegennahme externer Schwachstellenmeldungen gehört zu diesen Vorbereitungen. Der CCSPA schreibt weder ein Programm zur Offenlegung von Schwachstellen noch security.txt vor. Eine externe Meldung kann jedoch das erste Anzeichen für eine Schwachstelle in einem kritischen System sein. Unser Leitfaden zum Aufbau eines Programms zur Offenlegung von Schwachstellen erläutert die öffentliche Kontaktmöglichkeit, den Geltungsbereich, Safe Harbor und den internen Sichtungsweg.

Wie Kit einen belastbaren Ablauf bei Vorfällen unterstützt

Kit unterstützt die Entgegennahme, klare Zuständigkeit, Koordination und Nachweisführung rund um Schwachstellenmeldungen. Kit macht eine Organisation nicht CCSPA-konform. Kit überwacht keine Netzwerke, erfasst keine kritischen Systeme, steuert keine Lieferantenrisiken und reicht keine Meldungen beim CSE oder einer Aufsichtsbehörde ein.

Das Sicherheitsmodul von Kit bietet externen Forschern ein Meldeportal im Erscheinungsbild des Unternehmens und veröffentlicht eine security.txt nach RFC 9116. So gelangt ein Schwachstellenhinweis auf einem vorgesehenen Weg in das Unternehmen. Meldungen durchlaufen eine strukturierte Sichtung, CVSS-Bewertung, Zuweisung, Statushistorie, Kommunikation mit Forschern und SLA-Überwachung. Bereitschaftsrotationen und die PagerDuty-Integration sorgen dafür, dass dringende Meldungen eine zuständige Person erreichen.

Nach der Bestätigung einer Schwachstelle lässt sich die Behebung über die Anbindung an Jira oder Linear in die Entwicklungswarteschlange übergeben, ohne standardmäßig sensible Einzelheiten zum Exploit zu kopieren. Zeitleiste, Nachrichten, Postmortem, Nachweise und Dossier-PDF einer Meldung dokumentieren, was geschah und warum. Ausführliche Abläufe finden Sie in den Leitfäden zur Sichtung von Schwachstellenmeldungen und zu Postmortems und Ursachenanalysen.

Bill C-8 hat den gesetzgeberischen Kurs festgelegt, doch der operative Geltungsbereich des CCSPA wird noch ausgestaltet. Bill C-26 ist Geschichte. Die aktuelle Lage lässt sich präzise zusammenfassen: Das Gesetz ist verabschiedet, aber nicht in Kraft, Schedule 2 ist leer, und Verordnungen werden die genauen Melde- und Sanktionsmechanismen bestimmen.

Das ist ein Zeitfenster zur Vorbereitung, keine Compliance-Frist. Erstellen Sie jetzt die Bestandsaufnahme, benennen Sie Verantwortliche und richten Sie den Meldeweg, die Lieferantennachweise und die Vorfallchronologie ein. Wenn Benennungen und Verordnungen vorliegen, sollte Ihr Team ein funktionierendes System anpassen, statt mit einem leeren Dokument zu beginnen.