Erläuternder Bericht

der Anlage deren bestimmungsgemässe Nutzung zu definieren. Sache der Netzbe- treiberin ist es wiederum, Anlagen zu verwenden, die dazu bestimmt sind, in ein Netz integriert und darin betrieben zu werden.

Als Ausfälle oder erhebliche Beeinträchtigungen der Infrastrukturen gelten insbeson- dere eine weitreichende Panne im Mobilfunknetz (4G/5G), die Anrufe, SMS und den Internetzugang grossflächig verunmöglicht, eine längere Unterbrechung der Notfall- netze, welche die Kommunikation mit den Rettungsdiensten verhindert, grossange- legte Cyberangriffe (z. B. Denial-of-Service-Angriff), die die Fernmeldenetze einer Be- treiberin lahmlegen, erhebliche physische Schäden (Brand, Überschwemmung, Sabo- tage) an Telefonzentralen, Glasfaserleitungen oder Relaisstationen oder auch der Ausfall der Signalisierungs- oder Routingsysteme, der weiträumig zu fehlerhafter, ver- zögerter oder verlorener Kommunikation führt. Ein Angriff auf die öffentliche Sicher- heit besteht zum Beispiel dann, wenn Systeme zur Warnung der Bevölkerung (SMS-Alarmierung, Sirenen, Verbreitung über Radio/TV) im Falle einer Naturkatastrophe oder einer unmittelbaren Gefährdung nicht zur Verfügung stehen und so die Informa- tion und den Schutz der Bevölkerung verhindern.

Eine Netzwerkanlage unterliegt den Anforderungen nach Artikel 28b und Artikel 28c FAV, wenn sie zu den kritischen Netzwerkanlagen gehört (das BAKOM führt eine Liste der kritischen Netzwerkanlagen) und für die Integration und den Betrieb inner- halb eines Fernmeldenetzes bestimmt ist.

Art. 28b Grundsätze

Artikel 28b Absatz 1 FAV legt das Bewertungsverfahren fest, das den Herstellerinnen ermöglicht, die für kritische Netzwerkanlagen geltenden Sicherheitsanforderungen zu erfüllen. Um den Aufwand möglichst klein zu halten, ist ein Verfahren auf eigene Ver- antwortung der Herstellerinnen vorgesehen. Letztere bewerten die Konformität ihrer Anlagen mit den Sicherheitsanforderungen und erstellen die technischen Unterlagen, die unter anderem eine Analyse der Sicherheitsrisiken enthalten.

Die Bewertung beruht auf einer international, insbesondere auf europäischer Ebene, anerkannten Methode. Als Referenz dienen kann namentlich die 5G-Toolbox der EU (Abs. 2). Die Herstellerin legt die technischen Unterlagen einer anerkannten Konfor- mitätsbewertungsstelle zur Beurteilung vor. Anhand der eingereichten technischen Unterlagen und ihrer Analyse entscheidet die Konformitätsbewertungsstelle, ob die Konformität mit den Sicherheitsanforderungen nachgewiesen wurde. Ist dies der Fall, stellt sie eine Konformitätserklärung aus, welche die technischen Unterlagen vervoll- ständigt. Dieses Verfahren ähnelt einem Audit und stützt sich auf ein Verfahren, das für Funkanlagen bereits angewendet wurde und sich bewährt hat. Die Bewertung muss durchgeführt werden, bevor die Anlage in Verkehr gebracht wird.

Gemäss Absatz 3 kann das BAKOM unter Berücksichtigung der internationalen Praxis in der VFAV definieren, welche Anlagen kritische Netzwerkanlagen sind, und unter Be- achtung der anerkannten internationalen Normen und Praxis die spezifischen Anforde- rungen festlegen. In Anhang 8 VFAV werden die kritischen Netzwerkanlagen aufge- führt, die einer Konformitätsbewertung in Bezug auf die Sicherheit zu unterziehen sind. Aufgrund der mit Artikel 48a Absatz 2 FMG vorgesehenen Kompetenzdelegation im Bereich der Infrastrukturen kann der Bundesrat diese Regelung der FAV und VFAV auf Infrastrukturen anwenden bzw. ausweiten, die keine Fernmeldeanlagen im engeren