Erläuternder Bericht

die Blockierung vorgeschrieben wird oder durch Behörden angeordnet werden kann. Ebenfalls verzichtet wurde auf die Einführung einer Pflicht der Anbieterinnen für den Schutz ihrer Kundinnen von DDoS-Angrif- fen.³² Dafür müssten die Anbieterinnen fähig sein, ein Vielfaches des üblichen Internetverkehrs auffangen zu können. Die dazu nötigen Instrumente sind relativ teuer. Zudem wird ein Schutz vor DDoS-Angriffen bereits heute auf dem Markt angeboten und kann von den Kundinnen erworben werden. Es ist deshalb nicht nötig, den Anbieterinnen vorzuschreiben alle ihre Kundinnen und Kunden vor solchen Angriffen zu schützen.

2 Grundzüge der Vorlage

2.1 Vorgeschlagene Regelung

Die vorgeschlagene Regelung sieht eine Änderung von Artikel 96 FDV vor, um die Zusammenarbeit zwi- schen dem BAKOM und der nationalen Alarmzentrale beim Empfang und bei der Bearbeitung von Meldun- gen über Störungen im Betrieb von Fernmeldenetzen und -diensten zu institutionalisieren. Weitere neue Bestimmungen umfassen Massnahmen zur Bekämpfung der unbefugten Manipulation von Fernmeldeanla- gen durch fernmeldetechnische Übertragungen und zur Gewährleistung der Sicherheit von Mobilfunknetzen der fünften Generation.

2.2 Umsetzungsfragen

2.2.1 Netzwerksicherheit von 5G-Mobilfunknetzen

Die Vorlage beschränkt sich in grossen Teilen auf Massnahmen, welche auch in anderen Ländern, insbe- sondere der EU, implementiert werden³³. Zudem beruhen sie teilweise auf internationalen Standards (z. B. 3GPP), an welchen auch die Mobilfunkindustrie mitwirkt³⁴. Bezüglich der Audits nach Art. 96g sollen insbe- sondere die Einhaltung anerkannter Normen geprüft werden, wofür ebenfalls etablierte Prozesse bestehen.

2.2.2 Unbefugte Manipulation von Fernmeldeanlagen

Bei der Pflicht, IP-Pakete mit gefälschter Quell-IP-Adresse zu filtern (Massnahme 1) handelt es sich gemäss den Ausführungen unter Ziff. 1.2.2.1 um erprobte Verfahren, für welche die IAP bei Bedarf auf öffentlich ver- fügbare Umsetzungshilfen zurückgreifen können. Bei der Pflicht zur korrekten Konfiguration und Wartung von CPE (Massnahme 2) dürfte es in den meisten Fällen möglich sein, auf bestehende Lieferantenbeziehun- gen zurückzugreifen und diese nötigenfalls anzupassen. Für die Pflicht der IAP zur Information der Kunden gemäss Massnahme 3 kann von etablierten Kommunikationswegen zum Kunden ausgegangen werden. Bei Massnahme 4 muss eine IAP erst aktiv werden, wenn sie z. B. vom NCSC kontaktiert wird und erhält zur Einleitung der Abwehrmassnahmen eine angemessene Frist.

3 Kommentar zu den einzelnen Bestimmungen

Artikel 96 und folgende sind nach ihrem persönlichen Geltungsbereich in drei Abschnitte unterteilt. Der

3. Abschnitt (Störungsmeldung) betrifft wie bereits heute sämtliche Anbieterinnen von Fernmeldediensten. Die Bestimmungen zur unbefugten Manipulation von Fernmeldeanlagen (4. Abschnitt) gelten für alle Anbie- terinnen von Internetzugängen. Der Kreis der Akteure, die vom 5. Abschnitt betroffen sind, beschränkt sich auf die Mobilfunkkonzessionärinnen, das heisst Salt, Sunrise UPC und Swisscom. Was den sachlichen Gel- tungsbereich anbelangt, gelten die Bestimmungen des 5. Abschnitts zudem nur für Mobilfunknetze der fünf- ten Generation (vgl. Art. 96d).