Erläuternder Bericht

ten sie in der Masse ein sehr einfach zu manipulierendes Ziel für Angreifer. Diese nutzen dann die Rechen- leistung dieser Geräte für ihre Angriffe aus.²⁹

Eine rechtliche Verpflichtung der Anbieterinnen zur sicheren Konfiguration von CPE ist nötig, weil auch in diesem Fall die Kosten für die mangelnde Sicherheit nicht von jenen getragen werden, welche unsichere Ge- räte verteilen, sondern von der Allgemeinheit. Anbieterinnen möchten möglichst tiefe Kosten bei der Be- schaffung und Auslieferung der Geräte. Die Sicherheitsvorschriften können diese jedoch verteuern. Damit jene Anbieterinnen, welche die Sicherheit hoch gewichten, nicht vom Markt bestraft werden, braucht es Mini- malanforderungen für alle Anbieterinnen. Eine Regulierung entspricht auch der Absicht des Bundesrats im Bericht zum Po. 17.4295 Glättli, die Durchsetzung von Standards für die Sicherheit von IoT-Geräten über staatliche Massnahmen und Vorschriften zu unterstützen.³⁰

1.2.2.3 Massnahme 3: Recht, Internetzugänge oder Adressierungselemente, von denen eine

Gefährdung von Fernmeldeanlagen ausgeht, zu sperren oder deren Nutzung einzu-

schränken sowie Pflicht zur Information der Kunden

Art. 48a des FMG gibt den Anbieterinnen das Recht, Internetanschlüsse zu sperren oder deren Nutzung ein- zuschränken, wenn dies zum Schutz von Anlagen nötig ist. Dieses Recht gilt nur solange die Gefährdung anhält. Die Verordnung weist den Anbieterinnen in diesen Fällen die Pflicht zu, ihre Kunden über die Sper- rung zu informieren. Diese Pflicht dient der Transparenz gegenüber den Nutzern und hilft mit, bei den Nut- zern Verständnis für die Sicherheit und die nötigen Massnahmen zu erzeugen.

1.2.2.4 Massnahme 4: Pflicht der Anbieterinnen, eine Meldestelle für die Meldung von Mani-

pulationen zu führen und auf Meldungen innerhalb einer angemessenen Frist mit ge-

eigneten Abwehrmassnahmen zu reagieren

Die Cybersicherheit kann nur verbessert werden, wenn nationale und internationale Behörden, Fachstellen und Anbieterinnen von Internetanschlüssen aktiv zusammenarbeiten. Da es national und international eine Vielzahl von Akteuren gibt, ist es wichtig, dass die Kontaktstellen standardisiert bedient werden können.

Deshalb sollen die Anbieterinnen verpflichtet werden, eine Meldestelle («Abuse Desk») zu führen und beim zuständigen Regional Internet Registry (RIR)³¹ einen Kontakt zu hinterlegen. Es bleibt dabei den Anbieterin- nen freigestellt, ob sie diese Meldestelle selber führen oder die Aufgabe Dritten übertragen.

Weil ein manipulierter Anschluss die Sicherheit vieler anderer Teilnehmer gefährdet, ist eine rasche Reaktion sehr wichtig. Die IAP müssen deshalb innert angemessener Frist Massnahmen einleiten. Es wird nicht er- wartet, dass die Gefährdung in jedem Fall innerhalb dieser Frist bewältigt werden kann, es muss aber sicher- gestellt werden, dass eine Reaktion in diesem Zeitraum eingeleitet wurde.

1.2.2.5 Alternative Handlungsoptionen

Im Verhältnis zum Status Quo – welcher durch das revidierte FMG gegeben wird – führt die Änderung der FDV Konkretisierungen ein. Diese entsprechen den in der Botschaft zur Revision des FMG erläuterten Ab- sichten. Ein Verzicht auf eine solche Konkretisierung über die Anpassung der FDV würde die aus FMG Art. 48a entstehende Pflicht der Anbieterinnen nicht aufheben, es bliebe aber unklar, was mit dieser Pflicht ge- nau gemeint ist. Entsprechend entstünde Rechtsunsicherheit.

Als Alternative zum Status Quo besteht aufgrund der in der Vorlage beschriebenen, wenig restriktiven Mass- nahmen insbesondere die Möglichkeit einer weiter gehenden Konkretisierung. Gemäss Vorlage werden die Anbieterinnen nicht verpflichtet, Internetzugänge oder Adressierungselemente, von denen eine Gefährdung ausgeht, zu blockieren, sondern gibt ihnen nur das Recht dazu, dies zu tun. Auf eine Pflicht zur Blockierung wurde bewusst verzichtet. Die Anbieterinnen sollen weiterhin selber beurteilen können, in welchen Fällen eine Blockierung nötig ist. Es wird ihnen damit die Freiheit gelassen, die Sicherheit der von ihnen angebote- nen Dienstleistungen mit den für sie geeignetsten Mitteln zu gewährleisten. Die Alternative dazu wäre, dass