Erläuternder Bericht

Erläuterungen zur Revision vom Mai 2027 der Kernenergieverordnung

Einführung der Meldepflicht für Cyberangriffe bei kritischen Infrastrukturen per 1. April 2025 Cyberangriffe auf eine Kernanlage, welche die Voraussetzungen von Artikel 74d des Informationssicherheitsgesetzes vom 18. Dezember 2020 (ISG; SR 128) erfüllen, dem Bundesamt für Cybersicherheit (BACS) weiterzuleiten hat. Es fehlt jedoch nach wie vor eine ausdrückliche Regelung zur allgemeinen Zuständigkeit für die IT-Sicherheit in Kernanlagen.

Artikel 5 Absatz 3 des Kernenergiegesetzes vom 21. März 2003 (KEG; SR 732.1) schreibt vor, dass Sicherungsmassnahmen getroffen werden müssen, um insbesondere zu verhindern, dass die nukleare Sicherheit von Kernanlagen und Kernmaterialien durch unbefugtes Einwirken beeinträchtigt wird. Damit sind auch unbefugte Einwirkungen auf computerbasierte bzw. informationstechnische Systeme einer Kernanlage umfasst, sofern dadurch die nukleare Sicherheit beeinträchtigt werden kann. Das heisst, die IT-Sicherheit einer Kernanlage ist ein Bestandteil der Sicherung und damit auch der nuklearen Sicherheit im Sinne des KEG.

Artikel 9 der Kernenergieverordnung vom 10. Dezember 2004 (KEV; SR 732.11) wird daher um einen Absatz 1^bis ergänzt, welcher neu ausdrücklich die IT-Sicherheit in Kernanlagen als Teil der Sicherheit und der Sicherung erwähnt. Da das ENSI gemäss Artikel 6 Buchstabe a KEV als Aufsichtsbehörde in Bezug auf die nukleare Sicherheit und Sicherung gilt, ist damit die Zuständigkeit des ENSI auch für die IT-Sicherheit klar geregelt.

Art. 9a

In Bezug auf die gesetzlichen Bestimmungen zur IT-Sicherheit stellte das internationale Expertenteam zudem fest, dass das ENSI mit der Richtlinie ENSI-G22³, welche sich insbesondere aus den Grundsätzen für die Auslegung von Kernkraftwerken (Art. 10 Abs. 2 KEV) und anderen Kernanlagen (Art. 12 Abs. 3 KEV) ableitet, wesentliche Grundsätze zur IT-Sicherheit in Kernanlagen festgelegt hat. Es erkannte aber auch, dass in der Schweiz in diesem Bereich derzeit keine ausdrücklichen rechtsverbindlichen Grundlagen existieren.

Mit dem neuen Artikel 9a wird eine Bestimmung eingeführt, mit welcher Betreiber von Kernanlagen verpflichtet werden, angemessene Massnahmen zum Schutz vor Cyberbedrohungen vorzusehen. Zu diesem Zweck wird das ENSI beauftragt, die entsprechenden Anforderungen in Richtlinien zu konkretisieren. Die Richtlinie ENSI-G22 erhält dadurch eine explizite Grundlage in der Verordnung.

Der neue Artikel stützt sich auf Artikel 5 Absätze 3 bzw. 4 des KEG, wonach Sicherungsmassnahmen getroffen werden müssen, um zu verhindern, dass die nukleare Sicherheit von Kernanlagen und Kernmaterialien durch unbefugtes Einwirken beeinträchtigt werden bzw. wonach der Bundesrat regelt, welche Massnahmen erforderlich sind.

Art. 9b

Die IAEA verweist in ihren Dokumenten auf die Schnittstelle zwischen der nuklearen Sicherheit und Sicherung. So ist in allen neueren Dokumenten der IAEA (z. B. Safety Standards und IAEA Nuclear Security Series) eine Generalklausel enthalten, wonach Sicherheitsmassnahmen («Safety») und Sicherungsmassnahmen («Security») integriert konzipiert und umgesetzt werden müssen, so dass Sicherungsmassnahmen die Sicherheit nicht beeinträchtigen (vgl. International Atomic Energy Agency, Fundamental Safety Principles, No. SF-1, Vienna 2006, paragraph 1.10).

In diesem Zusammenhang stellte das internationale Expertenteam fest, dass die Abgrenzung zwischen den Aspekten der Sicherheit und der Sicherung vom ENSI in der Praxis korrekt umgesetzt wird, es jedoch an einer ausdrücklichen Regelung auf Gesetzes- oder Verordnungsebene fehlt. Das KEG beschreibt im 2. Kapitel «Grundsätze der nuklearen Sicherheit» in Artikel 5 die Schutzmassnahmen. Dabei werden die Schutzmassnahmen sowohl für die nukleare Sicherheit (Abs. 1 und 2), als auch für die