Erläuternder Bericht

Erläuternder Bericht zur

Revision vom November 2023 der Rohrleitungssicherheitsverordnung

1. Ausgangslage

Die Informations- und Kommunikationstechnologien (IKT) unterstützen die Entwicklung einer flexiblen und effizienten Energieversorgung. Dazu werden sie zunehmend für die Überwachung und Steuerung in Energieversorgungsnetzen genutzt. Zwar tragen sie dadurch zu Optimierungen bei, vergrössern aber auch die Angriffsfläche für Cyberkriminelle und stellen somit neue Risikoquellen dar.

Die Sicherheit der Energieversorgung ist von strategischer Bedeutung. Ihr sicherer Betrieb gewährleistet den Schutz wichtiger Rechtsgüter. Die Abhängigkeit unseres sozioökonomischen Systems von Energiequellen ist so gross, dass ein schwerwiegender Ausfall verheerende Folgen hätte. Die Bedrohung der Energienetze durch einen Cyberangriff ist heute sehr realistisch.

Die Nationale Strategie zum Schutz kritischer Infrastrukturen (SKI) 2018-2022¹ und die Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS) 2018-2022² halten entsprechende Massnahmen fest, um die allgemeine Widerstandsfähigkeit kritischer Infrastrukturen zu erhöhen. Die NCS³ sieht dazu die Erarbeitung und Einführung von freiwilligen Mindeststandards der IKT-Sicherheit vor, was mit dem sogenannten IKT-Minimalstandard⁴ entsprechend umgesetzt worden ist. Dieser Standard legt eine Reihe von Massnahmen fest und stellt ein wichtiges Hilfsmittel zur Sicherstellung des Schutzes gegen Cyberangriffe dar. Gestützt darauf hat die Branche Empfehlungen⁵ ausgearbeitet, die erstmalig die notwendigen Grundlagen für die Cybersicherheit im Gasversorgungssystem geschaffen haben. Diese sogenannten Branchenstandards sind indes grundsätzlich freiwillig und werden noch nicht systematisch angewendet. Aufgrund der steigenden Bedrohungslage⁶ ist es daher zwingend notwendig, mittelfristig solche Empfehlungen für diejenigen Unternehmen verbindlich zu erklären, deren Ausfall die schwerwiegendsten Folgen hätte. Damit die Empfehlungen für verbindlich erklärt werden können, müssen sie präzise und klar genug formuliert sein. Hierfür bedarf es einer zielgerichteten und raschen Überarbeitung der bestehenden Grundlagen sowie klaren Verantwortungen.

2. Grundzüge der Vorlage

Schon heute sieht Artikel 39 Absatz 3 der Rohrleitungssicherheitsverordnung vom 4. Juni 2021

(RLSV; SR 746.12) vor, dass die Betreiber ihre Einrichtungen vor störender äusserer Beeinflussung – und damit auch vor Cyberbedrohungen – zu schützen haben. Mit dem vorliegend neu eingeführten Artikel 39a wird die Pflicht zum Schutz vor Cyberbedrohungen einer spezifischen Regelung zugeführt und ein entsprechendes Verfahren zur Erarbeitung der dazu notwendigen Massnahmen festgelegt. Die Vorgabe adressiert aufgrund der technischen Vernetzung der IKT-Systeme und der damit verbundenen Risiken alle Betreiber, das heisst auch solche von Infrastrukturen mit einem Druck von 5 bar oder weniger (Art. 1 Abs. 2).

Der Bundesrat klärt damit die Verantwortung zum Schutz vor Cyberbedrohungen. Im Hinblick auf einen für die Zukunft angestrebten direkt-verbindlichen Verweis auf die Branchenstandards, ist es notwendig, diese zielgerichtet und unter Einbezug des Bundesamtes für Energie (BFE) zu überarbeiten respektive neu auszuarbeiten. Die vorliegende Regelung überträgt diese Aufgabe den Betreibern. Die dabei zu erarbeitenden Vorgaben sollten auf dem IKT-Minimalstandard des Bundesamts für wirtschaftliche Landesversorgung (BWL) sowie den bestehenden Branchenrichtlinien fussen. Sie sollten