Bund verschärft Pflichten für ISPs und Telkos

Der Bundesrat hat am 16. November verschiedene Massnahmen zur Verbesserung der Sicherheit von Fernmeldenetzen verabschiedet. Diese verschärfen gewisse bestehende Pflichten und führen auch neue für die Betreiber derartiger Netzwerke ein. Alle Änderungen treten ab dem 1. Januar 2023 in Kraft.

ISPs etwa müssen ab nächstem Jahr Internetanschlüsse sperren oder einschränken können, wenn sie beispielsweise einen Phishing-Versuch oder andere schädliche Aktivitäten auf einer Website feststellen. Mit denselben Massnahmen müssen sie auch infizierte oder verwundbare Geräte isolieren können, wie der Bundesrat mitteilt.

Hernâni Marques, Vorstandsmitglied des Chaos Computer Club Schweiz, äusserte sich auf Twitter insbesondere zu dieser Massnahme. Er schätzt, dass der Artikel (Art. 96a), der diese Massnahme definiert, ein gewisses Missbrauchpotenzial bieten dürfte.

Der neue Art. 96a dürfte ein gewisses Missbrauchspotenzial bieten. pic.twitter.com/NwbwXcom8r

— 🏴 Hernâni Marques 🐈‍⬛ (@vecirex) November 16, 2022

Der Bundesrat verpflichtet ISPs ferner, eine spezialisierte Stelle zu betreiben, die Meldungen über unbefugte Manipulationen von Fernmeldeanlagen entgegennimmt, sowie Angriffe auf die Verfügbarkeit eines Servers, eines Dienstes oder einer Infrastruktur bekämpfen. Zu diesem Zweck müssen die ISPs gemäss der Mitteilung aus ihrem Netzwerk stammende Daten mit gefälschter Quell-IP-Adresse filtern können.

Schwelle für Meldepflicht gesenkt

In derselben Revision senkte der Bundesrat die Schwelle, ab der Telkos Störungen melden müssen. Früher mussten Störungsmeldungen ab 30'000 potenziell betroffenen Kundinnen und Kunden gemacht werden. Neu ist dies schon ab 10'000 Personen der Fall. Zudem müssen die Netzbetreiber ab 2023 die Nationale Alarmzentrale (NAZ) benachrichtigen, statt wie bisher das Bakom. Da die NAZ rund um die Uhr erreichbar sei, könnten Störungen so zeitnah behandelt werden. Die NAZ informiere anschliessend das Bakom. Telkos müssen Störungen zudem auf einer Website veröffentlichen.

Die dritte Änderung betrifft die Betreiber von 5G-Mobilfunknetzwerken - beziehungsweise von Mobilfunknetzen der neusten Generation, wie es in der Mitteilung heisst. Die Betreiber müssen - unter Berücksichtigung der Anforderungen des Bakom - ein Managementsystem für die Informationssicherheit betreiben. Dazu gehören auch ein betriebliches Kontinuitätsmanagement sowie ein Plan für das Management von Sicherheitsvorfällen. Der Standort dieser Netzwerk- und ihrer Sicherheitsbetriebszentren muss sich in der Schweiz befinden, oder in einem Staat, dessen Gesetzgebung ein angemessenes Datenschutzniveau gewährleistet.

Übrigens: Die Schweizer Bundesräte Alain Berset und Ignazio Cassis sind Opfer von Cyberangriffen geworden. Was Sie dazu wissen müssen, erfahren Sie hier.

Wenn Sie mehr zu Cybersecurity und Datenschutz lesen möchten, melden Sie sich hier für den Newsletter von SwissCybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.