Vernehmlassungsvorlage - FDV

Verordnung «%ASFF_YYYY_ID»

a. die Mobilfunkkonzessionärinnen;

b. die Full MVNO.

Art. 96e Abs. 1

¹Die Mobilfunkkonzessionärinnen und die Full MVNO müssen auf der Grundlage einer Risikoanalyse und der sich daraus ergebenden Sicherheitsziele ein Management- system für die Informationssicherheit entwickeln, umsetzen und kontinuierlich über- prüfen.

Art. 96f Betrieb sicherheitskritischer Fernmeldeanlagen

¹Die Mobilfunkkonzessionärinnen und die Full MVNO müssen sicherstellen, dass die von ihnen betriebenen sicherheitskritischen Fernmeldeanlagen dem Stand der Technik entsprechen. Das BAKOM kann die betroffenen Anlagen festlegen.

²Die Mobilfunkkonzessionärinnen und die Full MVNO betreiben ihre Netzbetriebs- zentren (Network Operations Center [NOC]), ihre Sicherheitsoperationszentren (Security Operations Center [SOC]) sowie die für den Betrieb, die Steuerung und die Verwaltung ihrer Netze wesentlichen Fernmeldeanlagen ausschliesslich in der Schweiz.

³Zur Gewährleistung der Betriebskontinuität dürfen sie im Ausland über Systeme verfügen, die die Redundanz für die Zentren und Einrichtungen nach Absatz 2 sicher- stellen und die ausschliesslich für den Notbetrieb vorgesehen sind, sofern:

a. die Systeme und Einrichtungen in Staaten betrieben werden, deren Gesetzge- bung einen angemessenen Datenschutz gewährleistet;

b. sämtliche Verbindungen zu den Fernmeldeanlagen in der Schweiz verschlüs- selt und protokolliert werden;

c. die Kontrolle und Verwaltung der redundanten Systeme und der dazugehöri- gen kryptografischen Schlüssel von der Schweiz aus erfolgt; und

d. der öffentliche Telefondienst und der Zugangsdienst zum Internet in der Schweiz auch bei einer Unterbrechung internationaler Verbindungen zu re- dundanten Einrichtungen im Ausland aufrechterhalten werden können.

⁴Der Notbetrieb nach Absatz 3 ist zeitlich befristet. Das BAKOM legt die maximale Dauer und die Bedingungen für eine Verlängerung fest.

⁵Die Mobilfunkkonzessionärinnen und die Full MVNO, die auf ein redundantes Sys- tem nach Absatz 3 zurückgreifen, müssen das BAKOM spätestens 48 Stunden nach Beginn des Notbetriebs darüber informieren.

⁶Redundante Systeme nach Absatz 3, die sich im Ausland befinden, dürfen nur mit abgeleiteten oder temporären kryptografischen Schlüsseln und Zertifikaten betrieben werden. Die Generierung, Aktivierung und Deaktivierung dieser Schlüssel erfolgt ausschliesslich durch in der Schweiz betriebene, nach anerkannten Normen zertifi- zierte Hardware-Sicherheitsmodule.