Erläuternder Bericht

Grundlagen auf absehbare Frist nur eingeschränktes staatliches Handeln zulassen. Kurzfristig möglich sind insbesondere Massnahmen auf technischer Ebene. Zu berücksichtigen ist weiter, dass bei den Mobilfunk- konzessionärinnen von einem gewissen Eigeninteresse an der Sicherheit ihrer 5G-Netze auszugehen ist. Eine vom BAKOM unter den drei Schweizer Mobilfunkkonzessionärinnen durchgeführte Umfrage¹⁰ zeigt denn auch bedeutende Aktivitäten zur Ermöglichung sicherer 5G-Netze.

Ziele

Ziel ist ein allgemeines Mindestniveau an 5G-Netzwerksicherheit in der Schweiz, basierend insbesondere auf internationalen Standards.

1.1.2 Unbefugte Manipulation von Fernmeldeanlagen

Problematik

Cyberangriffe führen zu hohen volkswirtschaftlichen Schäden. Zwar gehen die Schätzungen weit auseinan- der, es herrscht jedoch Einigkeit, dass die Dimension der Schäden längst eine Grössenordnung in Milliar- denhöhe erreicht. Der Schweizerische Versicherungsverband (SVV) hat beispielsweise 2018 die jährlichen Schäden auf 9.5 Mia CHF beziffert.¹¹ Die Zahl dürfte seither weiter gestiegen sein. Die Schäden betreffen nicht nur grosse Unternehmen oder einzelne Sektoren, sondern potentiell alle Unternehmen¹² sowie Privat- personen. In einer repräsentativen Befragung der Geschäftsführenden von KMU wurde beispielsweise fest- gestellt, dass jedes dritte der ca. 38’000 KMU, welche bereits Opfer eines folgenschweren Cyberangriffs wurden, finanzielle Schäden erlitten hat.¹³ Cyberangriffe haben aber nicht nur hohe wirtschaftliche Auswir- kungen, sondern gefährden die Sicherheit des Landes, da sie zu Ausfällen oder fehlerhaftem Funktionieren von kritischen Infrastrukturen führen können. Es besteht daher ein sicherheits- und wirtschaftspolitisches In- teresse daran, Massnahmen gegen Cyberangriffe umzusetzen.

Bei der Unterbindung der Cyberangriffe spielen die Anbieterinnen von Internetzugängen (IAP bzw. «Internet Access Provider») eine zentrale Rolle. Sie ermöglichen ihren Kundinnen und Kunden die Kommunikation mit dem Internet und stellen ihnen häufig auch direkt die dafür nötige Ausrüstung zur Verfügung. Dadurch sind sie in der Lage präventive oder reaktive Massnahmen mit direkter Auswirkung zu treffen. Solche Massnah- men sind für die Cybersicherheit der Schweiz von grosser Bedeutung. Ohne eine enge Einbindung der IAP wird es nicht gelingen, die Anzahl von Cyberangriffen signifikant zu reduzieren.

Weil die Bedrohung durch Cyberangriffe über die letzten Jahre kontinuierlich gestiegen ist und davon ausge- gangen werden muss, dass dies weiter der Fall sein wird,¹⁴ steigt der Handlungsbedarf für Schutzmassnah- men. Der Staat ist in der Pflicht solche zu prüfen. Das geschieht einerseits über die Unterstützung der Wirt- schaft durch Anlaufstellen und Kompetenzzentren und durch den Ausbau der Strafverfolgung. Andererseits gehört aber auch dazu, dass der Staat regulative Rahmenbedingungen für eine angemessene Cybersicher- heit schafft. Diese müssen sinnvoll aufeinander abgestimmt sein. Die Definition von Pflichten für IAP ist da- bei ein sehr wichtiges Instrument. Es ist nicht sinnvoll, in vielen Wirtschaftssektoren strenge Schutzmassnah- men gegen Cyberangriffe einzuführen, wenn nicht gleichzeitig Vorgaben gemacht werden, welche die Rolle der IAP bei diesen Schutzbemühungen klären.

Diese Überlegungen haben dazu geführt, dass bei der Revision des FMG der Artikel 48a derart angepasst wurde, dass die Anbieterinnen neu verpflichtet werden, Cyberangriffe zu bekämpfen und ihnen zu diesem Zweck auch erlaubt, «Verbindungen umzuleiten oder zu verhindern sowie Informationen zu unterdrücken». Das FMG lässt aber offen, zu welchen Massnahmen die Anbieterinnen beim Schutz vor Cyberangriffen kon- kret verpflichtet sind. Die vorliegenden Massnahmen in der Verordnung über Fernmeldedienste wurden unter Federführung des BAKOM in Zusammenarbeit mit dem Nationalen Zentrum für Cybersicherheit (NCSC) er- arbeitet.