Erläuternder Bericht

Erläuternder Bericht zum Vorentwurf zur Revision vom Mai 2024 der Stromversorgungsverordnung (Schutz vor

Cyberbedrohungen)

1. Ausgangslage

Informations- und Kommunikationstechnologien (IKT) unterstützen die Entwicklung einer flexiblen und effizienten Energieversorgung. Zu diesem Zweck werden sie zunehmend zur Überwachung und Steuerung von Versorgungsnetzen und bei der Energieerzeugung eingesetzt. Sie tragen zwar zur Optimierung bei, vergrössern aber auch die Angriffsfläche für Cyberkriminelle und stellen somit neue Risiken dar.

Die Sicherheit der Energieversorgung ist von strategischer Bedeutung. Ihr sicherer Betrieb garantiert den Schutz wichtiger Rechtsgüter. Unser sozioökonomisches System ist so stark von der Energie abhängig, dass ein schwerwiegender Ausfall der Erzeugung oder der Verteilung gravierende Folgen hätte. Die Bedrohung eines Cyberangriffs auf die Energienetze hat deutlich zugenommen und ist heute höchst realistisch.

Die Nationale Strategie zum Schutz kritischer Infrastrukturen 2018-2022 (SKI)¹ und die neue Nationale Cyberstrategie (NCS)² sehen geeignete Massnahmen vor, um die allgemeine Widerstandsfähigkeit kritischer Infrastrukturen zu erhöhen. Die NCS unterstützt dazu die Umsetzung des vom Bundesamt für wirtschaftliche Landesversorgung (BWL) ausgearbeiteten Minimalstandards zur Verbesserung der IKT-Resilienz³ (IKT-Minimalstandard) und erwägt eine Verpflichtung, wo dies notwendig ist⁴. Die Anwendung dieses Dokuments ist freiwillig und die darin festgehaltenen Massnahmen werden daher in der Schweizer Energiewirtschaft bisher nicht systematisch umgesetzt.

Aufgrund der zunehmenden Bedrohungen und der Kritikalität ist es zwingend notwendig, ein hohes Cybersicherheitsniveau garantieren zu können. Obwohl die von den Akteuren der Branche bisher unternommenen Anstrengungen begrüsst werden, sind sie angesichts der Professionalisierung und Organisation krimineller Gruppen insgesamt noch zu wenig weitgehend und zudem nicht genügend verbreitet. Der 2021 veröffentlichte Grundlagenbericht des Bundesamts für Energie (BFE) zur Cybersicherheit⁵ zeigt auf, dass in der Stromversorgung zurzeit kein genügend hoher Schutz besteht und daher ein regulatives Eingreifen des Staates notwendig ist. Aktuelle Entwicklungen im Bereich der künstlichen Intelligenz (z. B. ChatGPT) werden die Arbeit der Cyberkriminellen zusätzlich erleichtern. Die Resilienz der Cybersicherheit im Stromsektor muss verbessert werden, um nicht nur den aktuellen, sondern auch den künftigen Herausforderungen gewachsen zu sein.

2. Grundzüge der Vorlage

Die Revision der Stromversorgungsverordnung vom 14. März 2008 (StromVV; SR 734.71) hat zum Ziel, den IKT-Minimalstandard für die wichtigsten Stromversorger für verbindlich zu erklären. Die damit verpflichteten Akteure haben bei der Umsetzung der im Standard vorgesehen Massnahmen ein gewisses Schutzniveau zu erreichen. Im Sinne der Verhältnismässigkeit werden mehrere Schutzniveaus (Schutzprofile) mit abgestuften Anforderungen vorgesehen.

2.1 IKT-Minimalstandard

Der IKT-Minimalstandard legt eine Reihe von Massnahmen fest und ist ein wichtiges Instrument, um den Schutz vor Cyberangriffen zu gewährleisten. Der Standard basiert auf dem US-amerikanischen NIST Cybersecurity Framework⁶. Er enthält 108 Massnahmen, die in 23 Kategorien unterteilt sind. Die