Erläuternder Bericht

Erläuternder Bericht zum Vorentwurf zur Revision vom Mai 2024 der Stromversorgungsverordnung (Schutz vor

Cyberbedrohungen)

EU sind gestiegen und sie ist bestrebt, diese weiter zu erhöhen. Dazu werden in der EU zurzeit sogenannte Network Codes on Cybersecurity erarbeitet, die Vorgaben für verschiedene Aspekte der Cybersicherheit im Elektrizitätsbereich enthalten sollen.

Die vorliegende Regelung verbessert die Cybersicherheit im Stromsektor und sieht hierzu die Erarbeitung entsprechender Schutzmassnahmen vor. Sie entspricht dem Bestreben der EU, die Cybersicherheit im Elektrizitätsbereich weiter zu verbessern.

6. Erläuterungen zu den einzelnen Bestimmungen

Artikel 1 Absatz 2

Gemäss Artikel 1 Absatz 2 StromVV untersteht das mit der Frequenz 16.7 Hz und auf der Spannungsebene 132 kV betriebene Übertragungsnetz der schweizerischen Eisenbahnen (Bahnstromnetz) dem StromVG, soweit dieses bezweckt, die Voraussetzungen für eine sichere Elektrizitätsversorgung zu schaffen. Die Regelung von Artikel 8a StromVG¹⁴ dient einer sicheren Elektrizitätsversorgung und würde demnach auch für den Bahnstrombereich zur Anwendung kommen. Für die Bahnstrom-Telematikanwendungen existieren indes bereits spezialrechtliche Vorgaben zur Cybersicherheit, die vom Bundesamt für Verkehr (BAV) überwacht werden¹⁵. Zur Vermeidung doppelter Zuständigkeiten (BAV

– Eidgenössische Elektrizitätskommission [ElCom]) gelten daher die Vorgaben von Artikel 8a

StromVG sowie die entsprechenden Ausführungsbestimmungen von Artikel 5a StromVV für den Bahnstrombereich nicht.

Artikel 5a

Absatz 1: Die Bestimmung enthält einen direkt-statischen Verweis auf den IKT-Minimalstandard. Der Standard wird damit in der erwähnten Version (2023) für verbindlich erklärt und die darin festgehaltenen Empfehlungen sind von den adressierten Akteuren unter Berücksichtigung der im Anhang 1a definierten Schutzniveaus (vgl. unten) umzusetzen. Erzeuger und Speicherbetreiber (Bst. b) sowie deren Dienstleister (Bst. c Ziff. 2) sind dieser Pflicht nur unterstellt, wenn der Zugriff auf die definierte Leistung über ein einziges System erfolgen kann. Für die Berechnung der Summe der Leistung ist vor dem Hintergrund eines Cyberangriff die Einflussnahme des Akteurs über das Steuerungssystem (industrielles Kontrollsystem / operatives Leitsystem) massgebend. Sind mehrere Steuersysteme in der Weise verbunden, dass eine Kompromittierung des einen Systems auch das andere System kompromittieren kann, so gelten sie als ein einziges System im Sinne dieser Bestimmung. Nicht verpflichtet wäre beispielsweise ein Erzeuger, der mehrere Anlagen von jeweils unter 100 MW Leistung über verschiedene, nicht verbundene Steuerungssysteme betreibt. Die Kernkraftwerksbetreiber (Inhaber der Betriebsbewilligung für ein Kernkraftwerk) werden gestützt auf Artikel 8a Absatz 2 StromVG vom Geltungsbereich der neuen Bestimmung ausgenommen, da für sie bereits entsprechende Vorgaben bestehen, die vom Eidgenössischen Nuklearsicherheitsinspektorat (ENSI) überwacht werden¹⁶. Der Fernzugriff eines Dienstleisters (Bst. c) ist dauerhaft, sofern dieser ihm im Rahmen eines Dauerschuldverhältnisses eingeräumt wurde, ohne dass die Auftraggeberin ihm jeweils ad hoc entsprechende Zugriffrechte erteilen muss.

Absatz 2: Die Bestimmung stellt klar, dass die im IKT-Minimalstandard erwähnten Regelwerke (Referenzen) nicht verbindlich sind.