Ergebnisbericht

Revision der Verordnung über Fernmeldedienste (FDV) – Ergebnisse der Vernehmlassung

Salt fordert, dass die Daten der Störungsmeldungen nicht veröffentlicht werden. Diese könnten zu Falschdarstellungen in den Medien führen. Die gemeldeten Störungen seinen nur in aggregierter Form zu veröffentlichen.

Art. 96a Unbefugte Manipulation von Fernmeldeanlagen (Sicherheitsmassnahmen)

Absatz 1

IVR, KKPKS, KKJPD, BE, SG, OW, VD, KAPO AI, GVZG und FKS fordern, dass die Regelung nicht abschliessend auf DDoS-Angriffe zu beschränken sei. Derartige Angriffe seien vielmehr als Beispiel

o. ä. aufzuführen. Zudem wird geltend gemacht, dass die Details von potenziellen

Angriffsmechanismen nicht abschliessend in der FDV, sondern in den TAV zu regeln seien. Dies ermögliche ein adäquates Handeln und ein niederschwelliges Anpassen der zu berücksichtigenden Regelungen.

GE äussert sich dahingehend, dass die Betreiberinnen alle angemessenen technischen Mittel

einsetzen sollten, um ihre Netze nach bewährten Sicherheitspraktiken zu konfigurieren, einschliesslich der Kontrolle gefälschter Adressierungsressourcen.

Economiesuisse macht geltend, es seien ausreichende Umsetzungsfristen und Vorlaufzeiten (mind. 6 Monate) vorzusehen und in den TAV zu definieren.

Absatz 2

Economiesuisse, SVP und Swisscom wünschen, den Anwendungsbereich klar einzugrenzen. Die Aktualisierung von Smartphones soll den Enduserinnen und -usern überlassen sein und nicht unter diese Bestimmung fallen. Gemäss SUISSEDIGITAL soll klargestellt werden, dass die Bestimmung ausschliesslich für die in der Rolle als IAP abgegebenen Geräte gilt.

Economiesuisse und Swisscom plädieren für ausreichende Umsetzungsfristen (mindestens

6 Monate).

Gemäss economiesuisse soll das CPE im Sinne eines Basis-Sicherheitsstandards reguliert werden. Zudem sollen die Anforderungen der Regulierung punktuell stärker an die technische Machbarkeit geknüpft werden.

Gemäss FER könne digitale Resilienz nur durch eine umfassende Betrachtung aller verschiedenen Facetten von Cyberrisiken erreicht werden.

Salt fordert «regelmässige» statt «unverzügliche» Aktualisierungen.

Der SRG gehen die Sicherheitsmassnahmen zu wenig weit, da sie auf CPE zugeschnitten sind und nur die IAP in die Pflicht nehmen. Das Ziel sollte der Schutz aller exponierten Endgeräte sein.

Swisscom möchte die Beurteilung, ob Fernmeldeanlagen aktualisiert werden müssen, den IAP überlassen.

Verschiedene Stellungnahmen äussern sich bereits zur konkreten technischen Umsetzung der vorliegenden Bestimmung. Teilweise nehmen sie explizit Bezug auf die im erläuternden Bericht aufgeführten Grundsätze für die TAV.

Gemäss asut, digitalswitzerland und Sunrise UPC sollte der TAV-Grundsatz zum End of Life von CPE umformuliert werden. Erst wenn das CPE nicht mehr mit kritisch eingestuften Sicherheitsupdates versorgt werde, sei es auszutauschen. Swisscom möchte die Beurteilung, ob Anlagen aus

sicherheitsrelevanten Gründen auszutauschen seien, nicht den Herstellern allein überlassen. Die IAP seien einzubeziehen.

Asut und Sunrise UPC wünschen, den Grundsatz zu streichen, dass nicht benötigte Dienste auf dem CPE deaktiviert sein müssen. Gemäss Swisscom müssten gewisse Ports des CPE im

Auslieferungszustand offen sein, damit es via Fernwartungssystem konfiguriert werden könne.