Erläuternder Bericht

- Ernennung einer Audit-Organisation

- Akkreditierung von Prüfstellen

- Sicherheitsanforderungen im Zusammenhang mit den Prozessen des Lieferanten und den Netz- werkprodukten sowie Methoden zur Evaluation der Prozesse des Lieferanten und der Produkte.

Gewisse Anbieterinnen von Mobilnetzausrüstung (vor allem aus China) haben die Entwicklungs- und Life-Cycle-Prozesse einiger ihrer Produkte von unabhängiger Seite bewerten und prüfen lassen («GSMA

NESAS»-zertifizierte Prüfstellen), um die Integration der Sicherheit in ihre Design-, Entwicklungs-, Implemen- tierungs- und Wartungsprozesse nachzuweisen (z. B. für die «5G gNodeB»-Produktelinien [Basisstationen]). Trotz zunehmender Möglichkeiten der Virtualisierung der Mobilfunknetze stellt die Präsenz von Infrastruktu- ren und Anlagen vor Ort oder in Ländern mit vergleichbaren Sicherheitsmassnahmen nach wie vor einen Si- cherheitsvorteil dar. In diesem Sinne sieht Absatz 2 der vorliegenden Bestimmung vor, dass Netzwerk- und Sicherheitsbetriebszentren der Mobilfunkkonzessionärinnen in der Schweiz, im Europäischen Wirtschafts- raum oder im Vereinigten Königreich zu betreiben sind.

Gemäss Art. XIV^bisAbsatz 1 Buchstabe b von Anhang 1B des Abkommens zur Errichtung der Welthandels- organisation (General Agreement on Trade in Services; GATS) hindern dessen Bestimmungen ein Mitglied nicht daran, Massnahmen zu treffen, die nach seiner Auffassung zum Schutz seiner wesentlichen Sicher- heitsinteressen notwendig sind. Ein Teil der Lehre vertritt die Auffassung, dass auch Cybersicherheit in den Anwendungsbereich dieser Bestimmung fallen könnte.

Davon scheint auch die Europäische Union auszugehen, geht aus dem Bericht der «NIS Cooperation

Group» (Vertreter/-innen der EU-Mitgliedstaaten/EU-Kommission/ENISA) über die Fortschritte bei der Um- setzung der EU-Toolbox für 5G-Cybersicherheit doch hervor, dass 16 von 26 im Bericht berücksichtigte EU-Mitgliedstaaten bereits sichergestellt haben oder bis 2021 sicherstellen werden, dass die Mobilfunkbetreibe- rinnen ihre Network Operations Centres und Security Operations Centres vor Ort, innerhalb des Landes und/oder innerhalb der EU betreiben (Report on Member States’ progress in implementing the EU Toolbox on 5G Cybersecurity | Shaping Europe’s digital future; Veröffentlichung 24. Juli 2020; letztes Update: 8. März 2021).

Die erwähnte Toolbox stellt im Übrigen auch weitergehende Eingriffe, wie z. B. den gänzlichen Ausschluss bestimmter Akteure von Aktivitäten auf dem Territorium der Mitgliedstaaten, zur Auswahl und geht offen- sichtlich davon aus, dass auch diese durch das Recht der Welthandelsorganisation gedeckt wären.

Art. 96g Anwendbare Vorschriften und Aufsicht

Da Artikel 96e und 96f auf die anerkannten Sicherheitsnormen verweisen, obliegt es dem BAKOM, in seinen technischen und administrativen Vorschriften die Normen zu bezeichnen, die verbindlich anzuwenden sind (Abs. 1). Die Einhaltung dieser Normen kann von der betroffenen Anbieterin durch ein Zertifikat einer zustän- digen Stelle gemäss dem schweizerischen Akkreditierungssystem (vgl. Verordnung vom 17. Juni 1996 über das schweizerische Akkreditierungssystem und die Bezeichnung von Prüf-, Konformitäts-, Anmelde- und Zu- lassungsstellen; SR 946.512) oder einem anderen Zertifizierungssystem (GSMA NESAS, Europäische Cy- bersicherheitssysteme³⁶⁾nachgewiesen werden. Wurde das Sicherheitsmanagementsystem nicht auf freiwil- liger Basis zertifiziert (Art. 96e) oder werden sicherheitskritische Fernmeldeanlagen betrieben, die nicht nach anerkannten Sicherheitsnormen zertifiziert sind (Art. 96f), kann eine Mobilfunkkonzessionärin im Rahmen der Aufsicht dazu verpflichtet werden, sich auf eigene Kosten bei einer qualifizierten Stelle einem Audit zu unterziehen oder ihre Fernmeldeanlagen prüfen zu lassen und dem BAKOM die Ergebnisse dieses Audits oder dieser Prüfung vorzulegen (Abs. 2). Eine solche Massnahme kann jedoch nur im Rahmen von Artikel 58 Absatz 2 FMG ergriffen werden, wenn der Verdacht besteht, dass die Konzessionärin die Anforderungen von Art. 96e und 96f nicht einhält und das BAKOM nicht in der Lage ist, den entsprechenden Sachverhalt selbst festzustellen. Sie ist jedoch dann ausgeschlossen, wenn kein solcher Verdacht besteht, insbesondere im Rahmen der generellen Überwachung im Sinne von Artikel 58 Absatz 1 FMG (Aufsichtskampagnen). Es muss auch sichergestellt werden, dass die qualifizierte Stelle die Informationen, zu denen sie Zugang hat, vertraulich behandelt, insbesondere solche, die sich auf eine mögliche Überwachungsmassnahme im Sinne des BÜPF beziehen.

Bei Telekommunikationsanlagen wird das BAKOM die grundlegenden fernmeldetechnischen Anforderungen,