Erläuternder Bericht

konkret auch dem im Zweckartikel aufgenommenen Ziel zur Gewährleistung der Si- cherheit und der Resilienz von Fernmeldeinfrastrukturen beitragen (vgl. Art. 1 Abs. 2 Bst. f)

Das FMG regelt das Angebot von Fernmeldediensten, indem es diese dem freien Wett- bewerb unterwirft (vgl. Art. 1 Abs. 1 und 2 Bst. c). Dieser freie Wettbewerb gilt im Übri- gen auch bei den Infrastrukturen. So sind die Anbieterinnen von Fernmeldediensten nach dem FMG frei in der Wahl ihrer Gerätehersteller sowie Anlagen und weiteren Inf- rastrukturen, die sie in ihrer Fernmeldeinfrastruktur erwerben, in Betrieb nehmen und betreiben wollen. Eine Einschränkung der freien Wahl der Anbieterinnen im Bereich der Fernmeldeinfrastruktur bedarf deshalb einer gesetzlichen Grundlage (vgl. Art. 36 Abs. 1 BV), da diese in ihre Wirtschaftsfreiheit (vgl. Art. 27 BV) und die Eigentumsga- rantie (vgl. Art. 26 BV) eingreift. Mit Artikel 48b wird diese formelle gesetzliche Grund- lage geschaffen, die die Einschränkung der freien Wahl der Anbieterin bezüglich ihrer Infrastruktur erlaubt.

Die Verminderung von Cyberbedrohungen, Schwachstellen und anderen Sicherheits- lücken, die die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten im Fernmelde- verkehr beeinträchtigen können, erfordert die Sicherung der Produkte und Hardware- oder Softwarekomponenten, die Bestandteil der Fernmeldeinfrastruktur sind. Wenn es sich bei diesen Produkten und anderen Komponenten um Fernmeldeanlagen nach Ar- tikel 3 Buchstabe d handelt, müssen sie die Cybersicherheitsanforderungen erfüllen und die Konformitätsbewertungsverfahren durchlaufen, die in der FAV und in der VFAV vorgesehen sind, bevor sie in der Schweiz angeboten, in Verkehr gebracht oder betrie- ben werden dürfen. In diesen Verordnungen können somit Cybersicherheitsanforde- rungen für diejenigen Anlagen festgelegt werden, die zur Integration in der Fernmeld- einfrastruktur bestimmt sind. Aufgrund der mit Artikel 48a Absatz 4 vorgesehenen Kompetenzdelegation im Bereich der Infrastrukturen kann der Bundesrat diese Rege- lung der FAV und VFAV auf Infrastrukturen anwenden bzw. ausweiten, die keine Fern- meldeanlagen im engeren Sinne darstellen, etwa Software, elektrische Geräte oder Betriebssysteme und andere Systeme zur Verwaltung der Cybersicherheit.

Durch die Tatsache, dass die Fernmeldeinfrastruktur nach Artikel 48a Absatz 4 allge- mein alle Produkte mit digitalen Elementen im Sinne der Verordnung (EU) 2024/2847⁶⁷ umfasst, kann dem Umstand Rechnung getragen werden, dass die Cybersicherheits- anforderungen neu weitgehend horizontal und unabhängig von den betroffenen Bran- chen ausgestaltet sind. Auf dieser Grundlage kann sich die Schweiz auf die techni- schen Normen der europäischen Komitees für Normung beziehen und in Anbetracht des MRA Schweiz–EU⁶⁸, das Handelshemmnisse zwischen der Schweiz und der EU verhindert, ihre Regulierung mit dem europäischen Recht und den Zertifizierungssys- temen im Bereich der Cybersicherheit, insbesondere für die von der EU-Agentur für Cybersicherheit (European Network and Information Security Agency, ENISA) vorge- sehenen 5G-Netze, harmonisieren.

Abs. 1

In Absatz 1 wird das Grundprinzip der Sicherheit durch Technikgestaltung und Vorein- stellungen (Secured by Design and by Default) im Gesetz verankert, das im Bereich des Erwerbs, der Inbetriebnahme und des Betriebs der Fernmeldeinfrastrukturen mas- sgeblich ist. Es bedeutet, dass nur Anlagen, Geräte, Produkte und andere Hardware-

⁶⁷Siehe Fussnote 27.

68 SR 0.946.526.81