Erläuternder Bericht

CPE bei Ende der Lebensdauer liegt in der Verantwortung der Anbieterinnen. Die Hersteller stellen jedoch die nötigen Updates zur Verfügung, so dass der Aufwand für die Anbieterinnen üblicherweise gering ist. Das Risiko und der Wartungsaufwand für unsichere oder veraltete CPE-Geräte ist über längere Dauer sehr wahr- scheinlich kostspieliger als eine korrekte Konfiguration und Wartung der Geräte.

Auch die Massnahme 2 wird bei grösseren Anbieterinnen tendenziell zu höheren Kosten führen als bei klei- neren Anbieterinnen. Letztere haben weniger CPE im Einsatz und können daher die sichere Konfiguration und Wartung mit geringerem Ressourcenaufwand sicherstellen.

Zu beachten ist, dass Art. 96a Abs. 3 nur den Fall regelt, in dem die Geräte den Kunden durch die IAP zur Verfügung gestellt werden. Bezieht der Kunde sein Gerät über eine Drittanbieterin, fallen keine Regulie- rungskosten an. Nach der Auslieferung der Geräte wiederum fallen allfällige Zusatzkosten bspw. beim Ein- spielen von Sicherheitsupdates nur an, falls die IAP weiterhin die Kontrolle über die Geräte innehaben.

4.2.2.3 Massnahme 3: Recht, Internetzugänge oder Adressierungselemente, von denen eine

Gefährdung von Fernmeldeanlagen ausgeht, zu sperren oder deren Nutzung einzu-

schränken sowie Pflicht zur Information der Kunden

Da die Sperrung oder Einschränkung des Internetanschlusses im Ermessen der Anbieterinnen bleibt, gene- riert diese Massnahme nur dann Kosten, wenn sich die Anbieterinnen zur Sperrung oder Einschränkung ent- scheiden. Auch in diesem Fall liegen die Kosten tief und sind im Interesse der Anbieterin. Bezüglich Informa- tionspflicht entstehen der Anbieterin mindestens gleichwertige Kosten, wie wenn sie die Kunden nicht aktiv über eine Sperrung oder Einschränkung ihrer Anschlüsse informiert, weil davon auszugehen ist, dass in ei- nem solchen Fall die Kunden ihre Anbieterin mit hoher Wahrscheinlichkeit von sich aus kontaktieren würden. Beim Kundendienst entsteht damit so oder so Aufwand.

4.2.2.4 Massnahme 4: Pflicht der Anbieterinnen, eine Meldestelle für die Meldung von Mani-

pulationen zu führen und auf Meldungen innerhalb einer angemessenen Frist mit ge-

eigneten Abwehrmassnahmen zu reagieren.

Die Pflicht, eine Meldestelle zu bezeichnen, welche eine Reaktion auf Meldungen in den gegebenen Fristen sicherstellt, führt bei Anbieterinnen, welche noch nicht über eine solche Meldestelle verfügen zu Kosten. Die geforderte Reaktionszeit innerhalb einer angemessenen Frist verhindert aber, dass die Anbieterinnen einen Pikettdienst über Nacht oder über das Wochenende aufrechterhalten müssen. Es kann zudem mit dem NCSC Rücksprache genommen werden, ob die Meldung des NCSC auch über andere Kanäle erfolgen kann, womit den Anbieterinnen ermöglicht wird, die Reaktionsfähigkeit innert angemessener Frist zu mög- lichst geringen Kosten sicherzustellen. Den Kosten für die IAP steht ein hoher Nutzen beim Schutz der übri- gen Anschlüsse gegenüber, da nur durch eine rasche Reaktion die Gefährdung der übrigen Anschlüsse re- duziert werden kann. Die Kosten der Reaktion bzw. der Abwehrmassnahmen an sich sind schwierig zu beziffern, da sie in hohem Mass variieren je nach Anbieterin und vor allem je nach Gefährdung. Die mögli- chen Gefährdungen und die angemessenen Abwehrmassnahmen der IAP darauf entwickeln sich zudem lau- fend weiter.

4.3 Auswirkungen auf die Gesellschaft

4.3.1 Netzwerksicherheit von 5G-Mobilfunknetzen

Nutzenseitig lassen sich auch die Auswirkungen auf die Gesellschaft, insbesondere auf Gesundheit und Si- cherheit, anführen. Etwa beschreibt das in Ziff. 4.2.1 (Auswirkungen auf die Volkswirtschaft) erwähnte Ge- fährdungsdossier des BABS auch Todesfälle, Verletzte und Einschränkungen in der Tätigkeit von Blaulicht- organisationen als mögliche Folgen eines Mobilfunkausfalls.