Erläuternder Bericht

und Fachstellen erfordern. Soweit die Sicherstellung der Überwachung des Fernmel- deverkehrs im Sinne des BÜPF durch eine Massnahme nach Absatz 3 betroffen sein könnte, wäre auch der Dienst ÜPF vorgängig zu konsultieren.

Das Bundesgesetz vom 13. Dezember 2002⁷⁵ über die Bundesversammlung (Parla- mentsgesetz, ParlG) sieht besondere Regeln für Verordnungen vor, die der Bundesrat aufgrund einer gesetzlichen Kompetenz zur Krisenbewältigung erlässt. Diese Rechts- grundlagen sind in Anhang 2 des ParlG aufgeführt. Artikel 48 ist bereits in diesem An- hang enthalten. Es ist Sache des Parlaments, bei der Beratung des Gesetzesentwurfs zu entscheiden, ob der neue Artikel 48c hinzugefügt werden soll.

Art. 48d Bearbeitung von Daten und Zusammenarbeit

Abs. 1

Artikel 48d Absatz 1 schafft die gesetzliche Grundlage, damit das BAKOM zur Erfüllung seiner Aufgaben nach den Artikeln 48a und 48b Profilings durchführen und dabei be- stimmte besonders schützenswerte Personendaten bearbeiten darf. Diese Aufgaben beinhalten die Erkennung, Bewertung und Abwehr von Cyberbedrohungen sowie den Schutz und die Resilienz von Fernmeldeinfrastrukturen (vgl. Art. 1 Abs. 2 Bst. b und f i. V. m. Art. 48a Abs. 2).

Die dazu erforderlichen besonders schützenswerten Personendaten sind eng begrenzt auf biometrische Identifikationsdaten (vgl. Bst. a) und Daten über verwaltungs- oder strafrechtliche Verfolgungen oder Sanktionen im Fernmeldebereich (vgl. Bst. b). Diese Daten können im Einzelfall notwendig sein, um Cyberangreifer eindeutig zu identifizie- ren oder Risikoprofile zu erstellen. Eine entsprechende Bearbeitung ist nur zulässig, sofern sie zum Schutz der Fernmeldeinfrastrukturen und vor Cyberbedrohungen erfor- derlich ist.

Der überwiegende Teil der Cyberbedrohungsanalysen stützt sich jedoch nicht auf Per- sonendaten, sondern auf technische Informationen ohne Personenbezug (z. B. techni- sche Infrastrukturdaten, Malware-Merkmale oder typische Angriffsmuster) beziehungs- weise auf Daten über juristische Personen. Die Bearbeitung besonders schützenswer- ter Daten bleibt somit auf die obgenannten klar umrissenen Ausnahmefälle beschränkt.

Abs. 2

Artikel 48d Absatz 2 erlaubt dem BAKOM, die im Rahmen seiner Aufgaben nach den Artikeln 48a und 48b gewonnenen Daten und Resultate von Profilings an andere für den Schutz vor Cyberbedrohungen zuständige Behörden sowie an nach Artikel 29 an- erkannte private und öffentliche Stellen weiterzugeben. Die Weitergabe ist nur zulässig, wenn die empfangende Stelle über eine entsprechende gesetzliche Grundlage verfügt und die Daten zur Erfüllung ihrer Aufgaben im Bereich der Cybersicherheit benötigt. Es handelt sich dabei um Behörden, die ebenfalls im Bereich der Cybersicherheit Aufga- ben erfüllen, wie namentlich das BACS, fedpol oder SEPOS.

Die Bestimmung soll sicherstellen, dass der Datenaustausch klar auf den Zweck des Schutzes der Fernmeldeinfrastrukturen und der Abwehr von Cyberbedrohungen be- grenzt bleibt (vgl. Art. 1 Abs. 2 Bst. b und f, i. V. m. Art. 48a und 48b) und auch nur von Behörden beantragt werden kann, die selbst einen gesetzlichen Auftrag zum Schutz