Erläuternder Bericht

Erläuternder Bericht zur

Revision vom November 2023 der Rohrleitungssicherheitsverordnung

5. Verhältnis zum europäischen Recht

Die EU ist bestrebt, die Cybersicherheit in ihrem gesamten Gebiet zu verbessern und die Resilienz ihrer kritischen Infrastrukturen zu erhöhen. In diesem Zusammenhang zu berücksichtigen ist insbesondere die sogenannte NIS-Richtlinie⁸ respektive deren Nachfolgeregelung, die NIS-2-Richtlinie⁹. Die EU sieht darin namentlich vor, dass die Mitgliedstaaten Massnahmen zum Schutz bedeutender Energieunternehmen vorzusehen haben¹⁰. Die allgemeinen Sicherheitsanforderungen sind mit der NIS-2- Richtlinie gestiegen.

Die vorliegende Regelung verbessert die Cybersicherheit im Sektor der rohrleitungsgebundenen Energien und sieht hierzu die Erarbeitung entsprechender Schutzmassnahmen vor. Sie steht damit im Einklang mit den erwähnten Vorgaben der EU. Die bisherigen Arbeiten zu den Branchenstandards orientieren sich an internationalen Standards.

6. Erläuterungen zu den einzelnen Bestimmungen

Art. 39a Schutz vor Cyberbedrohungen

Absatz 1: Die von den Betreibern zu treffenden Massnahmen sollen Funktionsstörungen der entsprechenden Anlagen verhindern oder gegebenenfalls möglichst rasch beheben. Die Massnahmen sind sowohl organisatorischer (bspw. Inventarisierungsprozesse, Regelung von Zuständigkeiten, Sensibilisierungen) wie auch technischer Natur (bspw. Backups, Einsatz von Schutztechnologie).

Absatz 2 beauftragt die Betreiber, Richtlinien mit Massnahmen zum Schutz vor Cyberbedrohungen zu erarbeiten. Die Betreiber können sich hierzu im Rahmen der bestehenden Verbandsstrukturen

(SVGW, VSG) entsprechend organisieren. Die bisherigen Arbeiten, die sich auf den IKT-Minimalstandard des BWL stützen, sollen in diesem Rahmen fortgeführt und präzisiert werden. Mit der vorgegebenen Konsultation wird die Einbindung aller interessierten Akteure gewährleistet. Neben den in der Bestimmung erwähnten Stellen ist insbesondere an das NCSC, das BWL und die Verbraucher zu denken. Die Durchführung der Konsultation ist in der Verantwortung der Betreiber.

Absatz 3: Die Vorgabe, wonach die Richtlinien über eine frei zugängliche Adresse im Internet zu veröffentlichen sind soll sicherstellen, dass der der Zugang zum entsprechenden Dokument nicht durch Logins oder dergleichen erschwert wird. Nach der Fertigstellung und der Publikation der Richtlinien durch die Betreiber wird das UVEK prüfen, ob sich diese dazu eignen, mit einem direkten Verweis in das Verordnungsrecht überführt zu werden (vgl. Art. 3 Abs. 2 und 3 RLSV). Die Betreiber haben insofern einen Anreiz zur Ausarbeitung einer möglichst sachgerechten Lösung (sog. gesteuerte Selbstregulierung).