Erläuternder Bericht

Erläuterungen zur Verordnung über die Cybersicherheit (Cybersicherheitsverordnung, CSV)

Geschäftstätigkeit im Gasabsatz an Endverbraucher besteht (nicht von der Ausnahmebestimmung erfasst wäre daher bspw. die Transitgas AG).

Mit Art. 74b Abs. 1 Bst. d ISG werden neben den Elektrizitäts- und den Gasversorgungsunternehmen auch andere Energieunternehmen der Meldepflicht unterstellt, beispielsweise Betreiber von Rohrleitungen zur Beförderung von Erdöl, Fernheizwerke, Raffinerien oder Unternehmen in den Bereichen der Holzenergie und Kohle. Diese Unternehmen sind grundsätzlich meldepflichtig, ausser sie liegen unterhalb der in Art. 16 Abs. 2 Bst. b dieser Verordnung definierten Schwellenwerte. Unternehmen, die sowohl in der Elektrizitäts- oder Gasversorgung als auch in einem anderen Energiebereich (Erdöl, Fernwärme, etc.) tätig sind, können sich nur dann auf eine Ausnahmeregelung berufen, wenn sich der Cyberangriff bzw. dessen Auswirkungen auf diesen Energiebereich beschränkt.

Bereits nach Art. 74b Abs. 1 Bst. d ISG sind die Bewilligungsinhaber gemäss Kernenergiegesetz vom 21. März 2003²⁷ von der Meldepflicht ausgenommen. Dementsprechend erübrigt sich eine Regelung auf Verordnungsebene.

Bst. c: Unternehmen nach Art. 74b Absatz 1 Buchstabe n ISG

Unternehmen, die nach Art. 74b Absatz 1 Buchstabe n ISG definiert sind und keine spezifischen Sicherheitsmanagement- oder -programmvorgaben gemäss den genannten EU-Verordnungen erfüllen müssen, sind von der Pflicht ausgenommen, Cyberangriffe auf ihre Informatiksysteme an das BACS zu melden. Dies gilt für Unternehmen, die:

− nicht verpflichtet sind, ein Information Security Management System (ISMS) gemäss den Artikeln 2 und 4 und dem Anhang II der Verordnung (EU)

2023/203 vom 5. Oktober 2023 oder Artikel 2 und dem Anhang II der Verordnung (EU) 2022/1645 vom 14. Juli 2022 einzurichten. Diese sind auch von der Meldepflicht bei Cyberangriffen gegenüber dem BACS ausgenommen. Ein ISMS ist ein systematischer Ansatz zur Verwaltung sensibler Unternehmensinformationen, damit sie sicher bleiben. Es umfasst Personen, Prozesse und IT-Systeme durch Anwendung eines Risikomanagementprozesses. Die genannten Verordnungen der EU legen Standards und Anforderungen für die Einrichtung eines solchen Systems fest. Wenn ein Unternehmen nicht verpflichtet ist.

− welche nicht die Vorgaben nach Punkt 1.7 des Anhangs der Verordnung (EU) 2015/1998 umsetzen müssen: Diese Verordnung betrifft Sicherheitsvorschriften für die Zivilluftfahrt. Punkt 1.7 des Anhangs könnte spezifische Sicherheitsmassnahmen oder -standards enthalten, die in einem «Security Programme» umgesetzt werden müssen. Wenn das betreffende Unternehmen nicht verpflichtet ist, diese Vorgaben in seinem Sicherheitsprogramm umzusetzen – was wiederum auf Grundlage von Artikel 2, 12, 13 oder 14 der Verordnung (EG) 300/2008 erfolgt – dann ist es ebenfalls von der Meldepflicht bei Cyberangriffen befreit.