Erläuternder Bericht

Erläuternder Bericht zur

Revision vom November 2023 der Rohrleitungssicherheitsverordnung

die betrieblichen und technischen Anforderungen präzisieren und dabei nach aktuellem Kenntnisstand folgende Rahmenbedingungen berücksichtigen:

1. Festlegung von unterschiedlichen Schutzprofilen. Jedes Schutzprofil umfasst technische und organisatorische Massnahmen auf einem unterschiedlichen Schutzniveau (bspw. Schutzprofil A für hohe Anforderungen, Schutzprofil B für mittlere Anforderungen und Schutzprofil C für niedrige Anforderungen).

2. Kriterien für die Zuordnung eines Betreibers zum entsprechenden Schutzprofil. Oft werden diese Kriterien, welche es erlauben die Betreiber entsprechend ihrer Kritikalität zu gruppieren, als «Unternehmensprofile» bezeichnet.

3. Präzisierung einzelner Anforderungen aus den bestehenden Standards. Eine mit der Branche durchgeführte Analyse hat gezeigt, dass einige der in dem IKT-Minimalstandard beziehungsweise in der Branchenrichtlinie aufgeführten Anforderungen präzisiert werden müssen.

Die Branche muss bei der Erarbeitung der vorgenannten Punkte das BFE als Aufsichtsbehörde beziehungsweise Oberaufsichtsbehörde für Rohrleitungsanlagen eng einbeziehen. Das BFE stellt die Koordination mit den relevanten Stellen der zentralen Bundesverwaltung (BWL, Bundesamt für Bevölkerungsschutz, Nationales Zentrum für Cybersicherheit [NCSC]) und dem Eidgenössischen Rohrleitungsinspektorat sicher.

3. Finanzielle, personelle und weitere Auswirkungen auf Bund, Kantone und Gemeinden

Zur Umsetzung der angestrebten Änderungen fallen bei Bund, Kantonen und Gemeinden keine nennenswerten personellen oder finanziellen Kosten an. Die vorliegende Anpassung führt nur zu einer moderaten Erweiterung des Pflichtenhefts des BFE, welche mit den bestehenden personellen und finanziellen Ressourcen abgedeckt werden kann.

Der Revisionsentwurf zielt darauf ab, das Cybersicherheitsniveau der Rohrleitungsanlagen zu erhöhen. Das bietet mittel- und langfristig einen besseren Schutz vor Cyberbedrohungen, wovon letztlich Bund, Kantone und die Gemeinden profitieren. Ausfälle aufgrund von Cyberangriffen wären mit weitrechenden Kostenfolgen verbunden.

4. Auswirkungen auf Wirtschaft, Umwelt und Gesellschaft

Die wirtschaftlichen, ökologischen und sozialen Folgen eines Cyberangriffs können für das Land und die Gesellschaft sehr schwerwiegend sein. Ein Cyberangriff kann gravierende Konsequenzen haben, wie der Vorfall der Colonial Pipeline⁷ in den USA zeigte. So können die durch einen Ransomware-Angriff verursachten Kosten (Lösegeld, Datenverlust, Zeit für die Wiederherstellung des Betriebs usw.) die Kosten für die Sicherung der Infrastruktur eines Unternehmens übersteigen. Die durch ein entsprechendes Cyberschutzniveau vermiedenen Kosten und damit der Nutzen der angestrebten Revision sind also entsprechend hoch.

Die Umsetzung von Cybermassnahmen sind für die Unternehmen mit gewissen personellen und finanziellen Kosten verbunden. Da bereits nach bestehender Regelung entsprechende Vorkehrungen zu treffen waren, sollten sich indes keine nennenswerten Mehraufwände ergeben. Mit wesentlichen Auswirkungen haben nur Unternehmen zu rechnen, die entgegen den bestehenden Vorgaben in diesem Bereich bisher untätig waren. Risikobewusste Unternehmen, die angesichts der aktuellen Bedrohungen bereits Sicherheitsmassnahmen entlang der Branchenrichtlinie implementiert haben, werden kaum oder keine Mehrkosten zu tragen haben.