Erläuternder Bericht
Vernehmlassung 2024/35: Erlass der Cybersicherheitsverordnung (CSV) · 34 Seiten
Fedlex · Erläuternder Bericht · Seite 23Fedlex · Erläuternder Bericht
Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)
1'000 Einwohnerinnen oder Einwohner, gemessen an der ständigen Wohnbevölkerung, zuständig ist, sind von der Meldepflicht ausgenommen.
Die Ausnahme gilt nicht für Anbieterinnen und Betreiberinnen von Diensten und Infrastrukturen, die der Ausübung der politischen Rechte dienen nach Art. 74b Abs. 1 Bst. s ISG. Diese sind auch dann meldepflichtig, wenn Sie Ihre Dienste und Infrastrukturen für weniger als 1’000 Einwohnerinnen und Einwohner anbieten.
Bst. b: Unternehmen nach Artikel 74b Absatz 1 Buchstabe d ISG)
Die hier für den Elektrizitätsbereich festgelegten Schwellenwerte orientieren sich an der Stromversorgungsverordnung vom 14. März 2008 (StromVV)23, mit der die Empfehlungen des Minimalstandards zur Verbesserung der IKT-Resilienz24 für gewisse Akteure der Elektrizitätsbranche für verbindlich erklärt werden sollen.25 Darin wird vorgesehen, dass die Akteure bei der Umsetzung des Minimalstandards ein gewisses Niveau für den Schutz ihrer Anlagen vor Cyberbedrohungen erreichen müssen (Schutzniveau A, B oder C). Die Höhe des Schutzniveaus ist abhängig von der Grösse respektive dem Einfluss des Akteurs auf die Versorgungssicherheit und wird durch entsprechende Schwellenwerte bestimmt. Entsprechend sollen nur die Elektrizitätsunternehmen der beiden höchsten Schutzniveaus A und B der Meldepflicht unterstellt werden. Kleinere Akteure, welche die weniger hohen Anforderungen des Schutzniveaus C erfüllen müssen, werden von der Meldepflicht ausgenommen. Die Elektrizitätserzeuger und Elektrizitätsspeicherbetreiber sind wie die Netzbetreiber Akteure des Stromversorgungsrechts26. Sofern ein Unternehmen sowohl Anlagen zur Erzeugung als auch zur Speicherung von Elektrizität betreibt und diese Anlagen über dasselbe System fernsteuerbar sind, werden die Leistungen entsprechend zusammengerechnet. Dienstleister der Netzbetreiber, Elektrizitätserzeuger und Speicherbetreiber sind ebenfalls von der Ausnahmeregelung erfasst. Nicht zu den Dienstleistern gehören Herstellerinnen von Hard- oder Software gemäss Art. 74b Abs. 1 Bst. u ISG, für die es keine Ausnahmeregelung gibt.
Der in Artikel 16 Absatz 1 Bst. b Ziffer 2 dieser Verordnung für Betreiber von Gasleitungen definierte Schwellenwert von 400 GWh/Jahr wurde in Zusammenarbeit mit dem Verband der Schweizerischen Gasindustrie (VSG) festgelegt. Massgebend ist die gesamte über ihr Netz geleitete Energie (zu den Endverbrauchern oder zu anderen Netzen). Die Ausnahmeregelung betrifft nur Betreiber von Gasleitungen, deren
23 SR 734.71
24 Bundesamt für wirtschaftliche Landesversorgung, «Minimalstandard zur Verbesserung der IKT- Resilienz», Bern, 2018.
25 Das Eidgenössische Departement für Umwelt, Verkehr, Energie und Kommunikation (UVEK) hat am 21. September 2023 die Vernehmlassung zu Teilrevisionen von verschiedenen Verordnungen im Energiebereich eröffnet. So ist vorgesehen, dass durch die Revision der Stromversorgungsverordnung (StromVV) der Schutz vor Cyberbedrohungen in der Stromversorgung gestärkt werden soll. Dazu wird der IKT-Minimalstandard für die wichtigsten Stromversorger – Netzbetreiber, Produzenten, und Speicherbetreiber – für verbindlich erklärt. Sie werden dazu einem bestimmten Schutzniveau (Schutzprofil) mit abgestuften Anforderungen zugeordnet, das sie erreichen müssen.
26 Zu den Elektrizitätserzeugern vgl. Art. 5 Abs. 2 des Stromversorgungsgesetzes vom 23. März 2007 (SR 734.7). Zu den Elektrizitätsspeicherbetreibern vgl. z.B. Art. 17a Abs. 1 StromVG oder Art. 8a Abs. 1 Bst. a Ziff. 3 StromVV. 23/34