Erläuternder Bericht

Namen vor Cyberdrohungen leistet. Damit trägt das Gesetz der zunehmenden Bedeu- tung koordinierter Sicherheitsmassnahmen im Fernmeldebereich Rechnung und schafft eine rechtliche Grundlage für den strukturierten Informationsaustausch sowie gemeinsame Lagebeurteilungen. Die Vorschrift ermöglicht eine engere Zusammenar- beit zwischen staatlichen Akteuren und spezialisierten privaten Organisationen und stärkt damit die Resilienz der DNS-Infrastruktur. Es ist dabei unerlässlich, dass ein In- formationsaustausch mit anderen an der Bekämpfung von Cyberrisiken beteiligten Stellen erfolgen kann. Nur so kann ein effektiver Schutz der DNS-Infrastruktur wie auch der Benutzerinnen und Benutzer gewährleistet werden.

Der Begriff der privaten und öffentlichen Stellen umfasst Akteure, deren Tätigkeit ganz oder teilweise die Bekämpfung der Cyberkriminalität beinhaltet und die geeignet, qua- litativ hochwertig und allgemein anerkannt sind.

Abs. 3

Absatz 3 ermächtigt den Bundesrat, die Kriterien festzulegen, nach denen private und öffentliche Stellen als für die Cybersicherheit zuständige Stellen anerkannt werden, mit welchen ein Informationsaustausch und eine Zusammenarbeit stattfinden darf. Diese Anerkennungsvoraussetzungen dienen der Qualitätssicherung sowie der Schaffung ei- nes einheitlichen und transparenten Rahmens für die Aufgabenwahrnehmung der be- teiligten Stellen. Sie stellen sicher, dass nur fachlich geeignete und organisatorisch verlässliche Akteure am Austausch sicherheitsrelevanter Informationen beteiligt sind.

Art. 30a Datenbearbeitung sowie Amts- und Rechtshilfe

Der neue Artikel 30a schafft einerseits eine datenschutzrechtliche Grundlage für Da- tenbearbeitungen im Zusammenhang mit der Erkennung, Analyse und Bewältigung von Cyberbedrohungen im Bereich der Adressierungselemente, insbesondere hin- sichtlich der Sicherheit und des Funktionierens der DNS-Infrastruktur (vgl. Art. 28d Bst. a). Andererseits soll damit aber auch die Grundlage für die Zusammenarbeit mit spezi- alisierten Stellen im Bereich Cybersicherheit auf Gesetzesstufe verankert werden (vgl. Art. 28e Bst. c). Die Bestimmung ersetzt die frühere, wesentlich knappere Regelung, die lediglich auf die Anwendbarkeit der Artikel 13a und 13b verwies, und trägt damit der stark gestiegenen Bedeutung von Cybersicherheit im Fernmeldebereich Rechnung.

Dabei ist hervorzuheben, dass der überwiegende Teil der Analysen und Profilings, die zum Schutz vor Cyberbedrohungen durchgeführt werden, in der Regel nicht auf Per- sonendaten im Sinne des DSG beruhen und daher keine besonders schützenswerte Personendaten umfassen. Vielmehr stützen sie sich auf technische Daten (Sachda- ten), die keinen Bezug zu einer bestimmten Person aufweisen. So etwa technische Daten von Fernmeldeinfrastrukturen, Merkmale von Schadsoftware oder typische Vor- gehensweisen bei Cyberangriffen. Zudem betreffen zahlreiche Daten Konstellationen, bei denen eine Identifikation von im Internet agierenden Einheiten faktisch nicht mög- lich oder zur Erreichung des Schutzes der Benutzerinnen und Benutzer beziehungs- weise der DNS-Infrastrukturen nicht erforderlich ist. Schliesslich handelt es sich häufig um Daten, die einen Bezug zu einer juristischen Person aufweisen, etwa zu Herstellern von Fernmeldeanlagen oder ‑infrastrukturen.

Abs. 1

Artikel 30a Absatz 1 erlaubt dem BAKOM sowie den nach Artikel 28a beauftragten Stel- len, zur Erfüllung der gesetzlich vorgesehenen Aufgaben Profilings durchzuführen