Erläuternder Bericht

− Die Anbieterinnen stellen sicher, dass Meldungen über Manipulationen über die hinterlegte Adresse gemeldet werden können und innerhalb der gesetzten Fristen auf die Meldung reagiert werden kann. − Da Meldungen über Manipulationen oft Muster erhalten, die von Spamfilter aussortiert werden,

müssten allfällige Filter sehr sorgfältig konfiguriert sein und es muss sichergestellt sein, dass die Nachricht in jedem Fall bearbeitet wird.

Sollte sich der Rechtsbegriff «innert angemessener Frist» als zu offen erweisen, könnte das BAKOM diesen in den technischen und administrativen Vorschriften allenfalls präzisieren, indem es z. B. eine konkrete Dauer vorsieht und/oder je nach Kategorie der meldenden Personen unterschiedliche Regelungen trifft.

Art. 96c Vollzug

Das BAKOM vollzieht die vorliegende Bestimmung und erlässt die entsprechenden technischen und admi- nistrativen Vorschriften. Dabei wird es vom NCSC mit der notwendigen fachlichen Expertise unterstützt.

5. Abschnitt Sicherheit von Netzen und Diensten, die von Mobilfunkkonzessionärinnen betrieben werden

Art. 96d Geltung

Alle Bestimmungen zu den Sicherheitsfunktionen gelten sowohl für eigenständige (Standalone gemäss 3GPP TS 33.501) als auch für nicht eigenständige (Non Standalone) 5G-Netze. Die derzeitigen 5G-Netze verfügen nämlich über kein 5G-Kernnetz, sondern sind nicht eigenständige 5G-Netze mit 5G-Funkstationen, die auf der bestehenden Infrastruktur von 4G-Netzen und nicht auf einer reinen 5G-Infrastruktur betrieben werden (5G Standalone).

Die vom 3GPP (3rd Generation Partnership Project) standardisierten Sicherheitsfunktionen für 5G in den Be- reichen Verschlüsselung des Datenverkehrs, Netzzugang und Authentifizierung (TS 33.501) bauen auf der Sicherheit von 4G-Netzen auf, was bedeutet, dass viele 5G-Sicherheitsfunktionen identisch mit jenen des 4G-Standards sind.

Die bei 5G neu hinzugekommenen Sicherheitsfunktionen (z. B. Spoofing-Schutz des Kernnetzes betreffend Roaming-Frauds, Schutz vor Webtracking, SIM-lose Authentifizierung von IoT-Geräten) setzen das Vorhan- densein eines 5G-Kernnetzes voraus (logische Funktionen zur Verwaltung der neuen Zugänge und zur Kon- trolle von 5G-Funkstationen). Folglich können die in der Norm TS 33.501 spezifizierten Sicherheitsfunktio- nen, die über 4G hinausgehen, technisch nicht vor der Einführung von 5G Standalone umgesetzt werden.

Art. 96e Sicherheitsmanagement

Die 5G-Mobilfunkinfrastruktur und die von ihr erzeugten und verarbeiteten Informationen sind wichtige Res- sourcen, die umsichtig verwaltet werden müssen, um die Zuverlässigkeit und die Verfügbarkeit der Dienste zu gewährleisten.

Absatz 1 verlangt von den Mobilfunkkonzessionärinnen künftig die Entwicklung, Umsetzung und kontinuierli- che Überprüfung eines Managementsystems für die Informationssicherheit (Information Security Manage- ment System, ISMS), wie dies von den meisten von ihnen bereits heute praktiziert wird.

Die Umsetzung eines ISMS erfordert eine Planungsphase, in der die potenziellen Risiken der betreffenden Organisation ermittelt und evaluiert werden. Diese erste Phase ermöglicht es, eine Sicherheitspolitik unter Einbezug der zu beachtenden Risiken zu definieren und danach die Zielsetzungen im Sicherheitsbereich ebenso wie den zu sichernden Bereich zu beschreiben. Auf dieser Grundlage legt die Organisation schliess- lich die Kontrollen fest, die ihrer Sicherheitspolitik und den Risiken, vor denen sie sich schützen will, entspre- chen.

Für den Bereich der Informations- und Kommunikationstechnologie wurden bereits ISMS in der Form von Normen entwickelt. Dazu zählt insbesondere die Normenreihe ISO/IEC 2700x (ISO/IEC 27001:2005 Infor- mation technology – Security techniques – Information security management systems – Requirements;

ISO/IEC 27002:2005 Information technology – Code of practice for Information Security Management;

ISO/IEC 27011:2008 Information technology – Security techniques – Information security management gui- delines for telecommunications organizations based on ISO/IEC 27002), auf die gemäss Absatz 3 dieses Artikels in den technischen und administrativen Vorschriften verwiesen werden soll.

Diese Normen betreffen vor allem Aspekte der physischen Sicherheit, der Zugangsverwaltung und der Soft- waresicherheit. Das betriebliche Kontinuitätsmanagement und das Management von Sicherheitsvorfällen