Erläuternder Bericht

gewährleistet (vgl. Art. 8 und 16 DSG sowie Anhang 1 der Verordnung vom 31. Au- gust 2022⁶⁹ über den Datenschutz, DSV). Von diesen Herstellern wird angenommen, dass sie die Anforderungen der Vertraulichkeit, Integrität und Verfügbarkeit von Infor- mationen für ihre Produkte, Anlagen und anderen Geräte, die für die Fernmeldeinfra- struktur bestimmt sind, in Übereinstimmung mit den Verpflichtungen ihres Sitzstaats zum Schutz der Privatsphäre erfüllen. Dies schränkt das Risiko erheblich ein, dass ein solcher Hersteller unter Artikel 48c fällt, da er als problematisch für die Sicherheit un- seres Landes gelten würde oder sich im Besitz, unter der Kontrolle oder dem Einfluss eines ausländischen Staates befände, der ein geopolitisches Risiko für das Land dar- stellt. Als Herstellerin im Sinne dieser Bestimmung gilt die Muttergesellschaft bezie- hungsweise die kontrollierende juristische oder natürliche Person, unabhängig von ver- wendeten Markennamen oder Tochtergesellschaften.

Abs. 3

Angesichts der Bedeutung der Fernmeldeinfrastrukturen für das Funktionieren unseres Landes und der Cyberbedrohungen, denen sie ausgesetzt sind, muss die Regulierung in diesem Bereich nach dem Vorbild der «5G-Toolbox» der EU⁷⁰ und der meisten nati- onalen Gesetzgebungen der EU-Mitgliedstaaten verstärkt werden. Gestützt auf Absatz 3 kann das BAKOM die Anbieterinnen von Fernmeldediensten deshalb verpflichten, kritische Bestandteile von Infrastrukturen nicht in Betrieb zu nehmen oder aus ihren Netzen zu entfernen, bei denen ein begründeter Verdacht besteht, dass sie ein beson- ders schwerwiegendes Sicherheitsrisiko für die Fernmeldenetze darstellen. Das be- sondere Sicherheitsrisiko bezieht sich auf die kritischen Bestandteile oder auf die in- tegre und vertrauliche Übertragung der Informationen sowie auf ihre Verfügbarkeit. Die Pflicht betrifft vor allem die wesentlichen Teile der Fernmeldenetze wie Elemente des Mobilfunk-Kernnetzes (Core Network) oder von Funkzugangsnetzen (RAN). Das be- sondere Sicherheitsrisiko für die Fernmeldeinfrastruktur oder für die Übertragung der Informationen bezieht sich auf ein Cybersicherheitsrisiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Vorfall führen wird, der schwerwiegende Auswirkungen haben und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte.

Das BAKOM muss in einer Liste die kritischen Bestandteile von Infrastrukturen konkret festlegen, deren Einsatz und Betrieb untersagt würden, und diese veröffentlichen. Da sich Technologien, Infrastrukturen und Cyberbedrohungen ständig weiterentwickeln, müsste die Liste laufend angepasst und auf dem neuesten Stand gehalten werden. Daher soll die Liste grundsätzlich als Anhang zu einer Verordnung ausgestaltet wer- den, die ein periodisches Nachführen zulassen würde. Zur Feststellung eines solchen Sicherheitsrisikos stützt sich das BAKOM auf die Informationen und Daten, die ihm von den Anbietern von Fernmeldediensten (vgl. Art. 48a Abs. 3) und von den Herstellern von Fernmeldeinfrastrukturen (vgl. Art. 59 Abs. 1) übermittelt werden. Bei Bedarf könnte das BAKOM hierzu gestützt auf Artikel 48d Absatz 2 auch das BACS, das Staatssekretariat für Wirtschaft (SECO), das SEPOS, den Nachrichtendienst des Bun- des (NDB) oder andere zuständige Stellen des Eidgenössischen Departementes für auswärtige Angelegenheiten (EDA), des Eidgenössischen Departementes für Verteidi- gung, Bevölkerungsschutz und Sport (VBS) oder des UVEK konsultieren. Weiter kann sich das BAKOM auf Forschungen und Studien von ausländischen Behörden oder an- erkannten privaten und öffentlichen Stellen im Sinne von Artikel 29 abstützen, die Be- drohungen oder Sicherheitsvorfälle erkennen, um eine Gefährdung der Sicherheit oder