Erläuternder Bericht

sind zwar in der Regel ebenfalls in den ISMS enthalten, wie bei jenen, die in den Normen ISO/IEC 2700x beschrieben werden. Sie werden jedoch in Absatz 2 explizit erwähnt, weil es sich dabei um Elemente han- delt, die bei der Erbringung von Dienstleistungen für die Allgemeinheit zwingend berücksichtigt werden müs- sen. Um die Anforderungen an das Kontinuitätsmanagement und das Management von Sicherheitsvorfällen zu präzisieren, ist vorgesehen, in den technischen und administrativen Vorschriften auf die Norm ISO

22301:2019 Security and resilience – Business continuity management systems – Requirements zu verwei- sen.

Ein ISMS richtet sich an Unternehmensleitungen, die für die Sicherheit verantwortlichen Mitarbeitenden und externe Evaluationsstellen. Eine unabhängige Evaluation durch eine akkreditierte Zertifizierungsstelle kann zu einer anerkannten Zertifizierung führen, die belegt, dass das betreffende Unternehmen das Sicherheits- management beherrscht. Es ist derzeit nicht geplant, von Mobilfunkkonzessionärinnen eine solche Zertifizie- rung zu fordern. Das BAKOM kann jedoch im Rahmen seiner Aufsichtsaufgaben von der Konzessionärin In- formationen über die Umsetzung des ISMS verlangen (vgl. Art. 96g).

Die Ausarbeitung eines ISMS wird von den Zielen, Bedürfnissen, Anforderungen und Risiken im Zusammen- hang mit der Tätigkeit der betreffenden Organisation beeinflusst. Es hängt im Übrigen von den eingesetzten Technologien, der Kundschaft sowie der Grösse und Struktur der Organisation ab. Jegliche Veränderung dieser Kriterien muss eine Anpassung des Sicherheitsmanagementsystems nach sich ziehen. Der Aufwand für die Umsetzung eines ISMS hängt somit direkt mit der Organisation und den angebotenen Diensten zu- sammen.

Art. 96f Betrieb sicherheitskritischer Fernmeldeanlagen

Die Mobilfunkkonzessionärinnen müssen sicherstellen, dass die von ihnen betriebenen sicherheitskritischen Fernmeldeanlagen nach anerkannten Sicherheitsnormen zertifiziert sind. Das BAKOM definiert die sicher- heitskritischen Fernmeldeanlagen, bei Bedarf in Zusammenarbeit mit der Branche. Die Liste der sicherheits- kritischen Anlagen wird in den entsprechenden technischen und administrativen Vorschriften aufgeführt.

Auf europäischer Ebene und im Auftrag der Europäischen Kommission wird die ENISA (EU-Agentur für Cy- bersicherheit) ein neues Zertifizierungssystem für die Cybersicherheit von 5G-Netzen ausarbeiten. Diese Etappe schliesst an den Massnahmenkatalog der Europäischen Union für die Sicherheit von 5G-Netzen (5G-Toolbox) an und dürfte die Cybersicherheit von 5G-Netzen verbessern, da sie zur Eliminierung gewisser Ri- siken beiträgt.

Das neue System wird sich auf bereits bestehende Bestimmungen und Systeme zur Zertifizierung der Cy- bersicherheit sowie auf Erfahrungen der ENISA abstützen, welche die Agentur seit Beginn ihrer Arbeiten im Bereich der Zertifizierung der Cybersicherheit gesammelt hat. Das Programm ist aktuell noch nicht abge- schlossen, und im Frühsommer 2021 wurde ein Aufruf zur Interessensbekundung für Sachverständige lan- ciert. Sobald dieses Zertifizierungssystem für 5G eingeführt ist, wird das BAKOM die Möglichkeiten für seine Nutzung prüfen.

Es gibt jedoch bereits andere anerkannte Normen in diesem Bereich, wie beispielsweise das NESAS (Net- work Equipment Security Assurance Scheme³⁵) der GSMA. GSMA NESAS ist eine freiwillige Initiative der Mobilfunkbranche zur Einführung eines Programms, mit dem die Sicherheit von Mobilnetzanlagen und -infra- strukturen kontinuierlich verbessert werden soll. Diese Norm betrifft Geräte, die vom 3GPP definierte Funkti- onen unterstützen und die von Mobilfunkbetreiberinnen in ihren Netzen eingesetzt werden. Die GSMA entwi- ckelt weltweit anerkannte Sicherheitsstandards und Zertifizierungen, an denen sich die gesamte

Telekommunikationsbranche beteiligt. Letztere setzt grosses Vertrauen in diese Spezifikationen, was ge- währleistet, dass der technische Fortschritt nicht gebremst wird. Es ist darauf hinzuweisen, dass NESAS we- der den Versand und die Bereitstellung von Netzausrüstung noch die Konfiguration und den Betrieb von Netzausrüstung in Mobilfunknetzen abdeckt.

Die GSMA hat die Sicherheitsanforderungen und -prozesse für NESAS in Zusammenarbeit mit 3GPP, Be- treiberinnen und Geräteherstellerinnen entwickelt. Die Organisation führt eine aktuelle Liste von Geräteher- stellerinnen, die am Programm beteiligt sind und deren Entwicklungs- und Life-Cycle-Prozesse sowie Netz- werkprodukte einer Sicherheitsbeurteilung unterzogen worden sind.

Die aktuelle Version der GSMA NESAS definiert die Elemente, die für die Entwicklung eines Zertifizierungs- systems erforderlich sind: