Erläuternder Bericht

Erläuternder Bericht zum Vorentwurf zur Revision vom Mai 2024 der Stromversorgungsverordnung (Schutz vor

Cyberbedrohungen)

organisatorische Maturität der Cybersicherheit in einem Unternehmen kann mit Hilfe dieser Struktur bewertet und verbessert werden.

Die grundlegenden Massnahmen des Standards sind im Wesentlichen unveränderlich, erfordern jedoch für ihre Umsetzung eine gewisse Flexibilität, Anpassung an unternehmensspezifische und neue Bedrohungen und Gefährdungen, technische Hilfsmittel und entsprechendes Fachwissen⁷. Es werden darin keine technischen Lösungen vorgeschrieben. Die Unternehmen werden diese selbständig zu erarbeiten haben. Sie können sich hierzu auch im Rahmen der bestehenden Verbandsstrukturen zusammenschliessen und einen entsprechenden branchenspezifischen Standard erarbeiten.

2.2 Schutzniveau (Schutzprofil)

Das Schutzniveau definiert die Anforderungen an das Mass der Umsetzung der im IKT-Minimalstandard festgehaltenen Massnahmen (Werte / Tier Level gemäss Kapitel 3 des IKT-Minimalstandards). Die höchsten Anforderungen enthält das Schutzniveau A, die Schutzniveaus B und C enthalten jeweils etwas geringere Anforderungen. Für die kleinsten Marktakteure werden mit dem Schutzniveau C nur Vorgaben für eine begrenzte Anzahl von Massnahmen vorgesehen. Massnahmen für die keine entsprechenden Werte festgelegt werden, müssen nicht zwingend umgesetzt werden und bleiben daher unverbindliche Empfehlungen. Die einzelnen Schutzniveaus finden sich im neuen Anhang 1a. Die darin festgehaltenen Werte wurden für jedes Schutzniveau auf der Grundlage der Kritikalität der Unternehmen und unter Berücksichtigung der zur Umsetzung erforderlichen Mittel festgelegt. Sie wurden in einer Arbeitsgruppe des Verband Schweizerischer Elektrizitätsunternehmen (VSE) unter Einbezug von Experten des BFE erarbeitet.

Um die verpflichteten Unternehmen einem Schutzniveau (A, B oder C) zuzuordnen, werden entsprechende Kriterien festgelegt. Sofern ein Unternehmen die Kriterien eines Schutzniveaus erfüllt, ist dieses für das Unternehmen massgebend. So gilt beispielsweise das Schutzniveau A für Netzbetreiber, die eine transportierten Elektrizität von mindestens 450 GWh/Jahr erreichen (Ziff. 1.1 Anhang 1a). Bei der Festlegung der Kriterien wurden die Analysen und Praktiken anderer Fachstellen berücksichtigt. So entspricht das Kriterium von 450 GWh/Jahr, mit dem Netzbetreiber dem Schutzniveau A zugeordnet werden, einem vom Bundesamt für Bevölkerungsschutz (BABS) für die kritischen Infrastruktur von nationaler Bedeutung festgelegten Wert. Das Kriterium von 112 GWh/Jahr für das Schutzniveau B der Netzbetreiber und Dienstleister entspricht im Wesentlichen dem annualisierten Wert, der gemäss VSE eine Krise kennzeichnet⁸.

Für die Erzeuger und die Speicherbetreiber wurde eine Leistung von 800 MW für das Schutzniveau A und 100 MW für das Schutzniveau B gewählt. Letztere entspricht dem in der Energieverordnung⁹ definierten Wert für Pumpspeicherkraftwerke von nationalem Interesse.

Erzeuger, Speicherbetreiber und Dienstleister der beiden Akteure werden unter einer Leistung von 100 MW nicht von der Pflicht zur Einhaltung des IKT-Minimalstandards erfasst. Ein Schutzprofil C ist für sie nicht vorgesehen. Soweit der Schwellenwert von 100 MW nicht erreicht wird, bleibt für sie der Standard lediglich eine Empfehlung. Dies zum einen, weil ihr Einfluss auf die Versorgungssicherheit weniger hoch ist als bei den direkt via Steuertechnologie auf das Netz zugreifenden Netzbetreibern und zum anderen auch, weil sie die Kosten der Cybersicherheit im Gegensatz zu den Netzbetreibern nicht in die Tarife einrechnen können.