Zusammenfassung

  • Teil 1 von Bill C-8 änderte das Telecommunications Act und trat mit der Royal Assent in Kraft.
  • Teil 2 erließ den Critical Cyber Systems Protection Act; die jüngste konsolidierte Fassung kennzeichnet ihn weiterhin als nicht in Kraft.

Ein Gesetz kann gelten, während ein Teil seines Regimes noch wartet

Bill C-8 erhielt am 15. Juni 2026 die Royal Assent. Das Gesetz änderte das Telecommunications Act und erließ daneben den Critical Cyber Systems Protection Act (CCSPA). Die Teile folgen verschiedenen Zeitplänen. Teil 1 gilt seit der Royal Assent. Teil 2 tritt an einem oder mehreren Tagen in Kraft, die der Governor in Council festlegt. Der konsolidierte Gesetzestext des Justizministeriums, Stand 21. September 2026, markiert Teil 2 weiterhin als nicht in Kraft.

Das bestimmt, was Telekommunikationsanbieter heute erfüllen müssen. Teil 1 erlaubt dem Governor in Council, die Nutzung von Produkten oder Diensten einer benannten Person zu untersagen oder deren Produkte aus Netzwerken entfernen zu lassen. Der Minister of Industry kann unter anderem Sicherheitspläne, Schwachstellenprüfungen und Abhilfemaßnahmen, Standards, Beschaffungsprüfungen oder Backup-Systeme verlangen. Eine Anordnung muss angesichts der Schwere der Bedrohung erforderlich und angemessen sein. Zu berücksichtigen sind betriebliche und finanzielle Folgen, Auswirkungen auf die Versorgung sowie der Datenschutz.

Der CCSPA ist für Betreiber bestimmt, die später nach Klassen designiert werden. Er sieht Sicherheitsprogramme, Maßnahmen gegen Lieferkettenrisiken und Meldungen von Vorfällen vor. Dass Telekommunikation zu den vorgesehenen vitalen Diensten zählt, macht nicht jeden Anbieter automatisch zum designierten Betreiber. Die Meldefrist soll die Verordnung festlegen, höchstens 72 Stunden. Solange Teil 2 nicht gilt, läuft diese Frist nicht für alle Telekommunikationsunternehmen.

Für Anordnungen gibt es festgelegte Sichtbarkeitswege

Eine Anordnung nach Teil 1 kann die Veröffentlichung ihrer Existenz oder eines Teils ihres Inhalts untersagen. Geheimhaltung ist nicht automatisch vorgesehen. Vorher sind die Gefahr einer Vereitelung, die Notwendigkeit, eine mögliche Begrenzung des Verbots, die Folgen für Transparenz und Rechenschaft sowie Stellungnahmen betroffener Anbieter abzuwägen.

Bei einer nicht geheimen Anordnung müssen die benannten Personen innerhalb von sieben Tagen benachrichtigt werden. Enthält sie eine Geheimhaltungsklausel, muss der Minister binnen 90 Tagen das National Security and Intelligence Committee of Parliamentarians und die National Security and Intelligence Review Agency informieren. Der Jahresbericht an das Parlament muss Zahl und Art der Anordnungen, Widerrufe, betroffene Anbieter, deren teilweise oder vollständige Befolgung sowie die Begründung von Notwendigkeit, Angemessenheit und Nutzen enthalten. Er muss auch ausweisen, wie oft eine Anordnung eine CRTC-Entscheidung verdrängte.

Nach der Vorlage ist eine Zusammenfassung zu veröffentlichen.

So lässt sich der Einsatz von Befugnissen beurteilen, ohne während einer laufenden Bedrohung jede sensible Einzelheit offenzulegen. Entscheidend wird sein, ob die Berichte rechtzeitig erscheinen, Folgen für Kunden und Anbieter erklären und sichtbar machen, wann eine Anordnung eine Regulierungsentscheidung verändert hat.

Netzsicherheit hebt rechtliche Grenzen nicht auf

Das Telecommunications Act untersagt Anordnungen zur Abhörung privater Kommunikation. Der CCSPA enthält ebenfalls ein Abhörverbot; die Privacy Act bleibt anwendbar. Die Befugnisse betreffen Netze, Beschaffung und Schwachstellen, sind aber keine allgemeine Ermächtigung zur Überwachung privater Kommunikation.

Bill C-8 ist deshalb auf zwei Uhren zu lesen: Telekommunikationsanordnungen sind bereits möglich; Sicherheitsprogramm und Vorfallmeldungen für designierte Betreiber warten auf Inkrafttreten und Designierung. Unternehmen sollten den beschlossenen Rahmen vorbereiten, künftige Pflichten aber nicht als geltendes Recht darstellen. Die Regierung muss noch klar kommunizieren, wann Teil 2 beginnt, welche Betreiberklassen erfasst sind und welcher Regulator zuständig ist.

Heng Lus Note 73 dient nur als redaktionelle Linse: Betroffene und entscheidungsbefugte Stellen sind nicht dasselbe; der Einsatz bindender Autorität braucht überprüfbare Belege. Die Rechtsfakten stammen aus dem kanadischen Gesetz.

Quellen