Erläuternder Bericht

2 Rechtsvergleich, insbesondere mit dem europäischen Recht

Die Europäische Union (EU) ist ernsthaft besorgt um die Sicherheit ihrer digitalen Netz- werke und Informationssysteme als kritische Infrastrukturen für Wirtschaft und Gesell- schaft. Das EU-Recht soll deshalb auf die Schaffung eines sicheren und resilienten digitalen Ökosystems ausgelegt werden. Dazu werden Sicherheitsanforderungen für die wichtigen Akteure festgelegt, die Zusammenarbeit zwischen den Mitgliedstaaten gefördert und Zertifizierungs-, Überwachungs- und Sanktionsmechanismen eingeführt. Bürgerinnen und Bürger, Unternehmen und Institutionen sollen so vor Cyberbedrohun- gen geschützt und das einwandfreie Funktionieren des digitalen Binnenmarkts sicher- gestellt werden.

Die gesetzlichen Grundlagen der EU bilden im Bereich der Sicherheit der digitalen Inf- rastrukturen einen umfassenden rechtlichen Rahmen und sind in drei Kategorien ge- gliedert: ausschliesslich der Cybersicherheit gewidmete Regelwerke, Rechtsakte, die Bestimmungen zur Cybersicherheit enthalten und Grundlagen, die auf die Cybersicher- heit verweisen. Im Bereich der Sicherheit der Infrastrukturen, der Dienste und der End- geräte massgeblich sind im Wesentlichen die Bestimmungen des Rechtsakts zur Cy- bersicherheit (Cybersecurity Act, CSA)¹⁴, der Cyberresilienz-Verordnung (Cyber Resi- lience Act, CRA)¹⁵, der NIS2-Richtlinie über die Sicherheit der Netz- und Informations- systeme¹⁶ sowie des Konnektivitäts-Instrumentariums für 5G und schnelles Breitband der Europäischen Kommission («5G-Toolbox»)¹⁷.

Das Abkommen zwischen der Schweizerischen Eidgenossenschaft und der EU über die gegenseitige Anerkennung von Konformitätsbewertungen (MRA Schweiz–EU)¹⁸ ist ein Instrument zum Abbau technischer Handelshemmnisse bei der Vermarktung zahl- reicher Industrieerzeugnisse zwischen der Schweiz und der EU, insbesondere im Sek- tor Funkanlagen und Telekommunikationsendgeräte (Kapitel 7). Entsprechend bein- haltet das MRA Schweiz–EU verschiedene Cybersicherheitsvorschriften, die im Ein- klang mit dem europäischen Recht stehen. Die Richtlinie 2014/53/EU über Funkanla- gen (RED)¹⁹, an welche die Schweiz ihre Gesetzgebung gestützt auf ihre internationale Verpflichtung gemäss MRA angeglichen hat, schafft einen Regelungsrahmen für das Inverkehrbringen von Funkanlagen, der technische Anforderungen für den Schutz der Privatsphäre, den Schutz personenbezogener Daten und den Schutz vor Betrug um- fasst. Die Bestimmungen, die 2022 als zusätzliche grundlegende Anforderungen in die VFAV aufgenommen wurden (vgl. Art. 1 und Anhang 1 VFAV), erhöhen die Cybersi- cherheit bestimmter drahtloser Geräte (z.B. Smartphones, Smartwatches, Fitness-Tra- cker und drahtlose Spielzeuge), die auf dem Schweizer Markt erhältlich sind. Solche

¹⁴Verordnung (EU) 2019/881 des Europäischen Parlaments und des Rates vom 17. April 2019 über die ENISA (Agentur der Europäischen Union für Cybersicherheit) und über die Zertifizierung der Cybersicherheit von Informations- und Kom- munikationstechnik und zur Aufhebung der Verordnung (EU) Nr. 526/2013 (Rechtsakt zur Cybersicherheit), ABl. L 151 vom 7.6.2019, S. 15; geändert durch Verordnung (EU) 2025/37, ABl. L, 2025/37, 15.1.2025.

¹⁵Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cy- bersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr.

168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung), ABl. L, 2024/2847,

20.11.2024.

¹⁶Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie), ABl. L 333 vom

26.12.2022, S. 80.

¹⁷EU (2020).

18 SR 0.946.526.81