Erläuternder Bericht

vernetzten Geräte müssen Funktionen aufweisen, die eine Beeinträchtigung des Kom- munikationsnetzes verhindern, damit deren Resilienz gestärkt wird. Die Bestimmungen der VFAV gelten auch für 5G-Anlagen.

3 Grundzüge der Vorlage

3.1 Die beantragte Neuregelung

Die Neuregelungen bringen im Weiteren strengere Sicherheitsanforderungen für die Anschaffung und den Betrieb von Fernmeldeanlagen wie z. B. Mobilfunkantennen und Software mit sich. Dies betrifft sowohl die Mobilfunkkonzessionärinnen als auch die Full MVNO. Dies insbesondere deshalb, weil durch die Definition des Begriffs «kritische Netzwerkanlagen» und der damit verbundenen Sicherheitsanforderungen in der FAV Kontroll-, Risikobewertungs- und Konformitätsverfahren eingeführt werden, die sich auf «mobile und feste Netzwerkgeräte/-einrichtungen» beziehen. Die Herstellerinnen wer- den zur Abgabe einer Kopie der technischen Unterlagen verpflichtet, welche die Kon- formität der kritischen Netzwerkanlagen mit den erhöhten Sicherheitsanforderungen nachweist. Die mit dieser Revision eingeführten neuen Sicherheitsmassnahmen be- treffen ausschliesslich die öffentlichen Fernmeldenetze, die für die Erbringung von Fernmeldediensten für Endkunden genutzt werden (Art. 2, Art. 28b und 28c FAV).

Zudem wird für die Mobilfunkkonzessionärinnen und Full MVNO eine Verpflichtung ge- schaffen, regelmässig die Konformität ihres Kernnetzes und ihrer anderen kritischen Netzwerkanlagen gemäss den Technischen und administrativen Vorschriften (TAV) für die Sicherheit mobiler Telekommunikationsnetze zu überprüfen sowie auch den Nach- weis zu erbringen, dass sie konform mit den verschiedenen harmonisierten internatio- nalen Normen sind (Art. 96f^bisFDV). Dem BAKOM wird es ermöglicht, Kontrollen der technischen Unterlagen, die in Besitz der Betreiberinnen sind, durchzuführen (Art. 28b und 28c FAV).

Die Mobilfunkkonzessionärinnen und die Full MVNO werden des Weiteren verpflichtet, sogenannte «Secure by Design»-Telekommunikationsnetze zu betreiben und alle Si- cherheitsoptionen und -funktionen zu implementieren, die von den Herstellerinnen der Netzwerkanlagen «Secure by Default» zur Verfügung gestellt werden (Art. 96f^bisFDV).

Mit der Vorlage wird für die Mobilfunkkonzessionärinnen und die Full MVNO zudem die Pflicht eingeführt, im Bereich der Sicherheit der Fernmeldenetze und -dienste aktiv un- tereinander und mit den zuständigen Stellen des Bundes zusammenzuarbeiten. Aus- serdem wird angestrebt, dass sie eine nationale Datenbank über unbefugtes Eindrin- gen und von Schwachstellen in Mobilfunknetzen aufbauen und betreiben. Überdies müssen die Mobilfunkkonzessionärinnen und die Full MVNO Methoden und Instru- mente zur Erkennung von unbefugtem Eindringen und von Kompromittierungen in Mo- bilfunknetzen einrichten und einsetzen (Art. 96f^bisFDV).

Ferner wird mit der geplanten Vorlage die Voraussetzung geschaffen, dass die Mobil- funkkonzessionärinnen und die Full MVNO ihre Netzbetriebszentren (NOC) und ihre Sicherheitsoperationszentren (SOC) in der Schweiz betreiben müssen. Die Mobilfunk- konzessionärinnen und die Full MVNO müssen des Weiteren neu sicherstellen, dass die für die Sicherheit und den Betrieb ihrer Netze essenziellen Funktionen in der Schweiz betrieben werden, wobei im Falle eines Ausfalles zeitlich befristet redundante Systeme im Ausland betrieben werden können (Art. 96f FDV).