Erhöhte Cybersicherheit von IoT-Devices nach der revidierten Verordnung des BAKOM über Fernmeldeanlagen (VFAV) | HÄRTING Rechtsanwälte

Erneuerungen in der Verordnung des BAKOM über Fernmeldeanlagen (VFAV) vom 26. Mai 2016 (Stand am 1. September 2022, SR 784.101.21) sorgen dafür, dass die Privatsphäre und die Personendaten der Benutzer von vernetzten Geräten besser geschützt werden. Dadurch soll die Cybersicherheit von drahtlosen Geräten insgesamt verbessert werden. Die revidierte VFAV tritt am 1. September 2022 in Kraft. Was Hersteller und Entwickler von für den Schweizer Markt bestimmten drahtlosen Geräten neu zu beachten haben, erfahren Sie in diesem Beitrag.

2. September 2022

Von den Änderungen sind viele drahtlose, für den Schweizer Markt vorgesehene und mit dem Internet verbundene Geräte, wie beispielsweise Smartphones, Smartwatches, Fitness-Tracker, drahtlose Spielzeuge und Überwachungskameras betroffen. Ziel der Anpassung ist der bessere Schutz der Privatsphäre und der Personendaten der Benutzer und Benutzerinnen, sowie die Minimierung des Risikos von Geldbetrug und eine verstärkte Resilienz der Kommunikationsnetze.

Neben dem neu eingeführten Art. 10b VFAV wurde auch der Anhang 1 der VFAV um drei weitere Ziffern ergänzt. Die Ziffern 7-9 in Anhang 1 VFAV enthalten eine detaillierte Auflistung aller Funkanlagen, die künftig die zusätzlichen grundlegenden Anforderungen zu erfüllen haben, sowie der Funkanlagen, die davon ausgenommen sind. Zu entnehmen sind diese Anforderungen dem Anhang 1 VFAV.

Die neue Bestimmung sieht vor, dass Funkanlagen, welche die zusätzlichen grundlegenden Anforderungen nach Art. 7 Abs. 3 lit. d-f der Verordnung über Fernmeldeanlagen (FAV) vom 25. November 2015 (Stand am 1. Januar 2022, SR 784.101.2) in Verbindung mit Anhang 1 Ziff. 7-9 VFAV nicht erfüllen, nur noch bis zum 31. Juli 2024 in Verkehr gebracht werden können. Mit anderen Worten wurde also eine Übergangsfrist geschaffen, in der sich Hersteller und Entwickler drahtloser Geräte an die neue Regelung anpassen können. Ab dem 1. August 2024 dürfen Geräte, welche diese Auflagen nicht erfüllen, nicht mehr in Verkehr gebracht werden. Ab dann gilt die Vorschrift zwingend.

Zum Schutz der Privatsphäre müssen drahtlose Geräte, die mit dem Internet verbunden werden können, gewährleisten, dass Personendaten ausreichend sicher verwahrt werden (Art. 7 Abs. 3 lit. e FAV). Dementsprechend müssen die drahtlosen Geräte über Sicherheitsvorrichtungen verfügen. Die Verpflichtung ist dahingehend, dass mithilfe von diversen Massnahmen sowohl der unbefugte Zugriff als auch die unbefugte Übertragung von Personendaten durch miteinander verbundene Geräte bzw. mit dem Internet verbundene Geräte verhindert wird.

Zur Minimierung des Risikos von Geldbetrug müssen Geräte wie Smartphones oder Smartwatches, die für die elektronische Zahlung verwendet werden können, Funktionen aufweisen, um das Betrugsrisiko minimieren (Art. 7 Abs. 3 lit. f FAV). Zu denken wäre beispielsweise an eine ausgeweitete Kontrolle der Authentifikation der Benutzer. Darüber hinaus müssen Funktionen vorgesehen sein, die das Risiko der Beeinträchtigung der Kommunikationsnetze oder der Störung des Betriebs von Webseiten und anderen Diensten durch drahtlose Geräte ausschliessen (Art. 7 Abs. 3 lit. d FAV).

Letztendlich soll mit Art. 10b VFAV auch eine Angleichung an die Gesetzgebung der Europäischen Union stattfinden. Die Normungsgremien der EU arbeiten derzeit an harmonisierten Normen, welche die Konformitätsbewertung und des Inverkehrbringens von Produkten vereinfachen sollen. Diese werden voraussichtlich bis am 30. September 2023 verfügbar sein.

Quellen