Erläuternder Bericht

2 Rechtsvergleich, insbesondere mit dem europäischen Recht

2.1 Sicherheit

Infrastrukturen

Die Europäische Union nimmt die Sicherheit ihrer digitalen Netzwerke und Informati- onssysteme als kritische Infrastrukturen für Wirtschaft und Gesellschaft sehr ernst. Das EU-Recht zielt deshalb auf die Schaffung eines sicheren und resilienten digitalen Öko- systems ab. Dazu werden Sicherheitsanforderungen für die wichtigen Akteure festge- legt, die Zusammenarbeit zwischen den Mitgliedstaaten gefördert und Zertifizierungs-, Überwachungs- und Sanktionsmechanismen eingeführt. Bürgerinnen und Bürger, Un- ternehmen und Einrichtungen sollen so vor Cyberbedrohungen geschützt und das ein- wandfreie Funktionieren des digitalen Binnenmarkts sichergestellt werden.

Die gesetzlichen Grundlagen der EU bilden einen umfassenden rechtlichen Rahmen im Bereich der Sicherheit der digitalen Infrastrukturen und sind in drei Kategorien ge- gliedert: ausschliesslich der Cybersicherheit gewidmete Regelwerke, Rechtsakte, die Bestimmungen zur Cybersicherheit enthalten, und Grundlagen, die auf die Cybersi- cherheit verweisen. Im Bereich der Sicherheit der Infrastrukturen, der Dienste und der Endgeräte massgeblich sind im Wesentlichen die Bestimmungen der Verordnung (EU) 2019/881 (Cybersecurity Act, CSA)²⁶, der Verordnung (EU) 2024/2847 (Cyber Resi- lience Act, CRA)²⁷, der Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie)²⁸ sowie des EU-Instrumentariums für 5G-Sicherheit («5G-Toolbox»)²⁹.

Das Abkommen zwischen der Schweizerischen Eidgenossenschaft und der EU über die gegenseitige Anerkennung von Konformitätsbewertungen (Mutual Recognition Ag- reements - MRA Schweiz–EU)³⁰ ist ein Instrument zum Abbau technischer Handels- hemmnisse bei der Vermarktung zahlreicher Industrieerzeugnisse zwischen der Schweiz und der EU, insbesondere im Sektor Funkanlagen und Telekommunikations- endgeräte (Kapitel 7). Damit der Sektor im MRA verbleiben kann, muss die entspre- chende Schweizer Gesetzgebung an diejenige der EU angeglichen werden. Die Richt- linie 2014/53/EU (RED-Richtlinie)³¹ enthält wesentliche Anforderungen an die Cybersi- cherheit. Diese können von der Kommission durch einen delegierten Rechtsakt akti- viert werden. In diesem werden dann die Produkte festgelegt, die diese zusätzlichen Anforderungen erfüllen müssen. Im Jahr 2021 veröffentlichte die Kommission einen solchen Rechtsakt, mit dem die Cybersicherheitsanforderungen für bestimmte Funk- anlagen aktiviert wurden. Diese Bestimmungen wurden in die Verordnung des BAKOM

²⁶Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kom- munikationstechnik und zur Aufhebung der Verordnung (EU) Nr. 526/2013 (Rechtsakt zur Cybersicherheit), ABl. L 151 vom 7.6.2019, S. 15; geändert durch Verordnung (EU) 2025/37, ABl. L, 2025/37, 15.1.2025.

²⁷Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cy- bersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr.

168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung), ABl. L, 2024/2847,

20.11.2024.

²⁸Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Massnahmen für einhohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie), ABl. L 333 vom

26.12.2022, S. 80.

²⁹EU (2020)

30 SR 0.946.526.81