Erläuternder Bericht

Erläuternder Bericht zum Vorentwurf zur Revision vom Mai 2024 der Stromversorgungsverordnung (Schutz vor

Cyberbedrohungen)

Soweit externe Dienstleister, die im Auftrag eines Unternehmens die IKT-Systeme verwalten, dauerhaft Zugriff auf die Steuersysteme (operativen Leitsysteme) der Auftraggeber haben, müssen sie dieselben Vorgaben wie die Auftraggeber einhalten.

3. Finanzielle, personelle und weitere Auswirkungen auf Bund, Kantone und Gemeinden

Zur Umsetzung der angestrebten Änderungen fallen bei Bund, Kantonen und Gemeinden keine nennenswerten personellen oder finanziellen Kosten an. Der Revisionsentwurf zielt darauf ab, das Cybersicherheitsniveau des Stromsektors zu erhöhen. Das bietet mittel- und langfristig einen besseren Schutz vor Cyberbedrohungen, wovon letztlich Bund, Kantone und die Gemeinden profitieren. Ausfälle aufgrund von Cyberangriffen wären mit weitreichenden Kostenfolgen verbunden.

4. Auswirkungen auf Wirtschaft, Umwelt und Gesellschaft

Die wirtschaftlichen, ökologischen und sozialen Folgen eines Cyberangriffs können sehr schwerwiegend sein. So können die durch einen Ransomware-Angriff verursachten Kosten (Lösegeld, Datenverlust, Zeit für die Wiederherstellung des Betriebs usw.) die Kosten für die Sicherung der Infrastruktur eines Unternehmens übersteigen. Die durch ein entsprechendes Cyberschutzniveau vermiedenen Kosten und damit der Nutzen der angestrebten Revision sind also entsprechend hoch.

Da bereits nach bestehender Regelung entsprechende Vorkehrungen für einen sicheren Netzbetrieb zu treffen sind (Art. 8 Stromversorgungsgesetz vom 23. März 2007 [StromVG; SR 734.7] und Art. 5 StromVV), sollten sich keine nennenswerten Mehraufwände ergeben. Risikobewusste Unternehmen, die bereits Sicherheitsmassnahmen umgesetzt haben, werden nur geringe oder keine zusätzlichen Kosten zu tragen haben. Mit wesentlichen Auswirkungen haben nur Unternehmen zu rechnen, die entgegen den bestehenden Vorgaben in diesem Bereich bisher untätig waren.

Im Allgemeinen werden die Kosten der Cybersicherheit für ein Unternehmen auf ca. 6 bis 14 % der IT-Ausgaben oder ca. 0,3 bis 0,5 % des Jahresumsatzes geschätzt. Diese Kosten müssen jedoch in Beziehung zu den Kosten eines Cybervorfalls, beispielsweise einer Erpressung durch Hacker nach einem Ransomware-Angriff gesetzt werden, bei dem die durchschnittlichen Kosten für ein KMU auf 1,4 Millionen Franken¹⁰ geschätzt werden und für grosse Unternehmen weitaus höher liegen.

5. Verhältnis zum europäischen Recht

Die Europäische Union ist bestrebt, die Cybersicherheit in ihrem gesamten Gebiet zu verbessern und die Resilienz ihrer kritischen Infrastrukturen zu erhöhen. In diesem Zusammenhang zu berücksichtigen ist insbesondere die sogenannte NIS-Richtlinie¹¹ respektive deren Nachfolgeregelung, die NIS-2- Richtlinie¹². Die EU sieht darin namentlich vor, dass die Mitgliedstaaten Massnahmen zum Schutz bedeutender Energieunternehmen vorzusehen haben¹³. Die allgemeinen Sicherheitsanforderungen der