Erläuternder Bericht

oder Softwarekomponenten, die von Anfang an sicher konzipiert, hergestellt und kon- figuriert wurden, in Fernmeldenetze integriert werden dürfen. Dadurch ist es möglich, das Risiko von Sicherheitslücken ohne vorherige Intervention der Anbieterinnen zu ver- ringern und die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen zu schüt- zen. Das Prinzip lässt sich aus der allgemeinen Sicherheitspflicht (vgl. Art. 48a) und aus dem Fernmeldegeheimnis (vgl. Art. 43, Art. 13 Abs. 1 BV und Art. 321^terStGB) ableiten. In Absatz 1 wird die Tragweite des Prinzips festgelegt. Mit der Präzisierung, dass die Sicherheitseinstellungen nicht nur aktiviert, sondern standardmässig konfigu- riert sein müssen, wird unterstrichen, dass diese Einstellungen nicht nur einfach mit den Werkseinstellungen aktiviert, sondern auch unter Beachtung der besten Praktiken (Best Practices) im Bereich der Sicherheit korrekt konfiguriert sein müssen. Im Übrigen ist es wesentlich, dass diese Einstellungen regelmässig gepflegt und auf dem neuesten Stand gehalten werden. Die hardware- und softwarebasierten Massnahmen und Tech- nologien, die die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen nach Absatz 1 schützen, müssen sich möglichst an den internationalen Normen und Stan- dards in diesem Bereich orientieren.

Abs. 2

Absatz 2 verpflichtet die Anbieterinnen von Fernmeldediensten zu einer Mehrlieferan- tenstrategie. So müssen sie in ihren Netzen Bestandteile von Fernmeldeinfrastrukturen von verschiedenen Herstellern erwerben, in Betrieb zu nehmen und betreiben. Jede Anbieterin muss für ihr eigenes Fernmeldenetz eine solche Strategie umsetzen. Sie verstärkt die Sicherheit, indem für die Erbringung von Fernmeldediensten eine Vielzahl verschiedener Geräte, Produkte und anderer Hardware- oder Softwarekomponenten verwendet und so eine gleichförmige technologische Umgebung, die Cyberangriffe be- günstigt, verhindert wird. Ziel ist auch, das Risiko einer grossen Abhängigkeit von ei- nem Hersteller zu begrenzen und mehr Flexibilität und Resilienz hinsichtlich der Liefer- ketten von Fernmeldeinfrastrukturen sicherzustellen. Dies auch aufgrund der Tatsache, dass es in unserem Land keine wesentlichen Gerätehersteller gibt. Unter Hersteller ist dabei jede natürliche oder juristische Person, die eine Fernmeldeanlage herstellt be- ziehungsweise entwickeln oder herstellen lässt und diese Anlage unter ihrem Namen oder ihrer Handelsmarke in Verkehr bringt (vgl. in diesem Sinne Art. 2 Bst. l FAV).

Die meisten Anbieterinnen, vor allem im Mobilfunkbereich, verfolgen bereits aus eige- nem Antrieb eine Mehrlieferantenstrategie. Die Verpflichtung zu einer Mehrlieferanten- strategie im Sinne von Absatz 2 betrifft ausschliesslich die kritischen Bestandteile der Fernmeldeinfrastruktur einer Anbieterin, nämlich die Bestandteile deren Störung oder Fehlfunktion die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit der übertra- genen Informationen beeinflussen und dadurch zu einem Ausfall oder einer erhebli- chen Beeinträchtigung des Betriebs von Fernmeldeinfrastrukturen führen oder die öf- fentliche Sicherheit gefährden kann. Grundsätzlich sollte der Bundesrat nur dann tätig werden und von seiner Kompetenz zur Festlegung der Kategorien, Teile, Anteile oder Mindestprozentsätze von betroffenen kritischen Infrastrukturen Gebrauch machen, wenn er einen besonderen Mangel an Vielfalt in wesentlichen Teilen der Fernmelde- systeme feststellt, etwa Elementen des Mobilfunk-Kernnetzes (Core Network) oder von Funkzugangsnetzen (Radio Access Network, RAN).

In jedem Fall muss mindestens einer der von der Anbieterin gewählten Hersteller in einem Staat domiziliert sein, dessen Gesetzgebung einen angemessenen Datenschutz