Erläuternder Bericht

Absatz 7:

Zu protokollieren sind insbesondere Datum und Uhrzeit des Zugriffs, IP-Adresse von Quelle und Ziel, der Benutzername und Prozess, unter welchem der Zugriff erfolgt so- wie relevante Meldungen zum Ereignis.

Art. 96f^bisSicherheitsmassnahmen

Absatz 1:

Diese Sicherheitsmassnahme umfasst mehrere Themen, die alle gleich wichtig sind. In technischer Hinsicht stellen die Mobilfunkkonzessionärinnen und die Full MVNO sicher, dass sie Geräte und Software bei verlässlichen Lieferanten beschaffen. Sie müssen gewährleisten, dass ihre Infrastrukturen ausreichend redundant ausgelegt sind. Aus- serdem wenden sie auf sämtliche ihrer Infrastrukturen kontinuierlich die Prinzipien «Zero Trust», Segmentierung multipler Entitäten (Netzknoten) oder Funktionalitäten (Network Functions), Verschlüsselung und Schutz (Firewalls) an.

Da Sicherheit nicht nur von Geräten, sondern auch von Menschen abhängt, gewähren die Mobilfunkkonzessionärinnen und die Full MVNO ihren eigenen oder den im Rah- men eines Unterauftrags tätigen Technikerinnen und Technikern nur eingeschränkten Zugang zu den Räumlichkeiten und Infrastrukturen ihrer IT- und Fernmeldenetze. Sie erstellen Handbücher mit detaillierten Beschreibungen des Vorgehens im Falle von Cy- berbedrohungen oder -angriffen und stellen diese dem betroffenen Personal zur Ver- fügung.

Die Cyberwelt kennt keine Grenzen und ist ständig Bedrohungen ausgesetzt. Wach- samkeit rund um die Uhr ist deshalb zwingend. Die Mobilfunkkonzessionärinnen und die Full MVNO stellen in ihren Netzen kontinuierlich sicher, dass einerseits Anomalien und Schwachstellen erkannt und andererseits Spionage, Sabotage und der Abfluss besonders schützenswerter Personendaten ihrer Kundinnen und Kunden bekämpft werden. Sie sind bestrebt, ihre Anlagen auf dem neuesten Stand zu halten, und wen- den unverzüglich alle verfügbaren Lösungen an, um Schwachstellen zu beheben.

Absatz 2:

Netzinfrastrukturen können definiert werden als die Hard- und Software-Ausstattung, welche die Erbringung von drahtlosen Kommunikationsdiensten (Sprache, Nachrich- ten, Internet) für Mobilfunknutzerinnen und Mobilfunknutzer ermöglicht. Es handelt sich dabei um alle Anlagen der Zugangsnetze (RAN), Kernnetze (Core Network) und Trans- portnetze (Transport Network) aller Generationen von Mobilfunknetzen (2G, 3G, 4G, 5G und folgende).

Die Netzinfrastrukturen müssen zwingend so genau wie möglich getestet werden, da- mit Abweichungen von den Spezifikationen der Herstellerinnen/Lieferanten und den international anerkannten Standards vor ihrer Inbetriebnahme erkannt werden.

Besonderes Augenmerk sollte auf allfällige Hintertüren (Backdoors) gelegt werden, um die Manipulation von Netzelementen und den Abfluss von Daten im Zusammenhang mit Abonnementskundinnen und Abonnementskunden oder anderer Informationen zu verhindern, welche die Integrität und Sicherheit von Personen, Unternehmen, Wirt- schaft oder Staat beeinträchtigen können. Netzinfrastruktur darf nicht in Betrieb ge-