Erläuternder Bericht

Erläuternder Bericht zum Vorentwurf zur Revision vom Mai 2024 der Stromversorgungsverordnung (Schutz vor

Cyberbedrohungen)

Absatz 3: Die ElCom überwacht aufgrund ihrer subsidiären Generalkompetenz (Art. 22 Abs. 1

StromVG) die Einhaltung von Artikel 8a StromVG und 5a StromVV.

Anhang 1a: Die Schutzniveaus (Schutzprofile) definieren die Anforderungen an den Umsetzungsgrad der im IKT-Minimalstandard definierten Massnahmen. Die höchsten Anforderungen enthält das

Schutzniveau A für die für die Stromversorgung wichtigsten Unternehmen. Weniger hohe Anforderungen enthält das Schutzniveaus B für mittelgrosse und das Schutzniveau C für kleinere Akteure. Die Anforderungen werden entsprechend dem in Kapitel 3 des IKT-Minimalstandards festgelegten Prüfverfahren mittels sogenannten Werten (Tier Level) definiert. Diese reichen von «teilweise umgesetzt» (Wert 1) bis «dynamisch umgesetzt» (Wert 4). Als transportiere Elektrizität der Netzbetreiber (Ziff. 1.1 und 1.2) gilt die gesamte über ihr Netz geleitete Elektrizität (Verteilung zu den Endverbrauchern oder Weiterleitung zu anderen Netzen). Bei den Dienstleistern wird zur Bestimmung des massgebenden Schutzniveaus die Summe der transportierten Elektrizität (Netzbetreiber) beziehungsweise der installierten Leistung (Erzeuger und Speicherbetreiber) aller ihrer Auftraggeber berücksichtigt. Wenn ein Dienstleister über ein einziges System (vgl. oben zu Art. 5a Abs. 1) beispielsweise Zugriff hat auf die Steuersysteme von zehn Netzbetreibern mit einer transportierten Elektrizität von jeweils 13 GWh/Jahr, ergibt dies eine Summe transportierter Elektrizität von 130 GWh/Jahr. Der Dienstleister hat demnach die Werte des Schutzniveaus B zu berücksichtigen, während für jeden Netzbetreiber einzeln das Schutzniveau C massgebend wäre. Das Schutzniveau C für die kleineren Marktakteure enthält nur für rund 40 der insgesamt 108 Massnahmen des IKT-Minimalstandards verbindliche Vorgaben. Im Sinne der Verhältnismässigkeit sind damit nur die als prioritär eingestuften Massnahmen zu ergreifen. Sofern ein Akteur die Kriterien mehrerer Schutzniveaus erfüllt, ist das jeweils höchste Schutzniveau massgebend. Für die Überprüfung der Werte nach Anhang 1a stellt das BWL ein Formular auf seiner Webseite zur Verfügung¹⁷.