Ab dem 1. Juli 2025 wird der IKT-Minimalstandard für Gasversorger in der Schweiz verpflichtend. Dies hat das Bundesamt für Energie (BFE) im Rahmen des revidierten Gasversorgungsgesetzes (GasVG) beschlossen. Was bedeutet das für die betroffenen Unternehmen und wie können sie sich optimal auf die neuen Anforderungen vorbereiten?

Hintergrund der Verordnung

Die zunehmende Digitalisierung und Vernetzung kritischer Infrastrukturen macht den Energiesektor zu einem attraktiven Ziel für Cyber-Angriffe. Ausfälle in der Gasversorgung können schwerwiegende Folgen für die Wirtschaft und die Bevölkerung haben. Der IKT-Minimalstandard soll dazu beitragen, die Cyber-Sicherheit im Gassektor zu erhöhen und die Versorgungssicherheit zu gewährleisten.

Geltungsbereich des IKT-Minimalstandards

Der Geltungsbereich des IKT-Minimalstandards richtet sich, basierend auf der Gesetzesvorlage, an alle Betreiber von Rohrleitungsanlagen und konzentriert sich vor allem auf die ICS- (insbesondere SCADA), ERP- und Kommunikationssysteme der IKT (IT und OT), welche die Überwachung der Netze bzw. Netzanlagen ermöglichen. Dazu zählen z. B. Laptops und Desktop-Computer, Telefone, Instandhaltungssoftware, Schnittstellen zu SCADA-Systemen, Drucker, Smart Metering, miteinander verbundene Geräte (Internet of Things) sowie Netzwerke und Systeme in Betriebsgebäuden, soweit diese nicht getrennt vom Gasnetzbetrieb betrieben werden.

Die wichtigsten Anforderungen des IKT-Minimalstandards

Der IKT-Minimalstandard in der Gasversorgung und der zugehörige Leitfaden zur Umsetzung des IKT-Minimalstandards in der Gasversorgung (G1008) des Bundesamtes für Energie (BFE), des Fachverband für Wasser, Gas und Wärme (SVGW) und des Verbands der Schweizerischen Gasindustrie (VSG) definieren klare Anforderungen an die Cyber-Sicherheit von Gasversorgern. Einige der wichtigsten Punkte sind:

• Risikomanagement: Gasversorger müssen ein systematisches Risikomanagement implementieren, um Cyber-Risiken zu identifizieren, zu bewerten und zu minimieren. Dazu gehören regelmässige Risikoanalysen, die Entwicklung von Sicherheitskonzepten und die Implementierung von Massnahmen zur Risikominderung.
• Informationssicherheit: Der Schutz von Informationen ist zentral. Dazu gehören Massnahmen zur Vertraulichkeit, Integrität und Verfügbarkeit von Daten. Es müssen Richtlinien und Verfahren zur sicheren Verarbeitung von Informationen etabliert werden, einschliesslich Zugangskontrollen, Verschlüsselung und Datensicherung.
• Sicherheitsmassnahmen: Der IKT-Minimalstandard schreibt konkrete Sicherheitsmassnahmen vor, wie z. B. die Implementierung von Firewalls, Intrusion Detection Systemen, Virenschutz und die regelmässige Aktualisierung von Software.
• Notfallmanagement: Gasversorger müssen über ein Notfallmanagement verfügen, um im Falle eines Cyber-Angriffs schnell und effektiv reagieren zu können. Dazu gehören Notfallpläne, die regelmässig getestet und aktualisiert werden.
• Schulung und Sensibilisierung: Mitarbeitende müssen regelmässig zu Cyber-Sicherheits-Themen geschult und sensibilisiert werden, um das Sicherheitsbewusstsein zu stärken und menschliches Fehlverhalten zu minimieren.

Schutzniveaus: Einteilung der Gasversorger in Gruppen

Die Gasversorger werden im IKT-Minimalstandard hauptsächlich anhand ihrer jährlichen Gas-Abgabemenge in drei Gruppen eingeteilt:

• Schutzniveau A: Bei einem Druck von mehr als 5 bar und einer Leitungslänge von mehr als 15 km oder einer Gasabgabe über 2’600 GWh pro Jahr
• Schutzniveau B: Gasabgabe über 400 und weniger als 2’600 GWh pro Jahr
• Schutzniveau C: Gasabgabe von bis zu 400 GWh pro Jahr

Diese Einteilung in Gruppen dient dazu, die Anforderungen des IKT-Minimalstandards an die jeweilige Grösse und Komplexität des Gasversorgers anzupassen. Grössere Unternehmen mit einer höheren Gas-Abgabemenge müssen in der Regel strengere Sicherheitsmassnahmen implementieren als kleinere Unternehmen. Für alle drei oben genannten Schutzniveaus Gruppen wurde ein zu erreichender Schwellenwert für jede der 108 Massnahmen des Cyber-Sicherheits-Programms festgelegt, um ein grössenabhängig angemessenes Schutzniveau zu erreichen.

Wie können wir Sie unterstützen?

Unsere erfahrenen Cyber Security-Spezialisten unterstützen Sie als Gasversorger zielgerichtet bei der Umsetzung des IKT-Minimalstandards – Ihrem Zielschutzniveau angemessen. Nutzen Sie unsere langjährige Erfahrung im Energieversorgungsbereich, um Ihre Sicherheit zu erhöhen und die Vorgaben zeitgerecht einzuhalten. Unser Angebot umfasst:

1. Standortbestimmung: Wir analysieren Ihre aktuelle IT- und Sicherheitsinfrastruktur und bewerten den Reifegrad Ihrer Cyber-Sicherheit im Hinblick auf die Anforderungen des IKT-Minimalstandards. Dabei berücksichtigen wir Ihre individuellen Gegebenheiten und die spezifischen Risiken Ihres Unternehmens.

2. Gap-Analyse: Auf Basis der Standortbestimmung identifizieren wir die Lücken zwischen Ihrem aktuellen Sicherheitsniveau und den Anforderungen des IKT-Minimalstandards. Wir erstellen einen detaillierten Bericht mit konkreten Handlungsempfehlungen.

3. Roadmap zur Schliessung der Lücken: Wir entwickeln eine massgeschneiderte Roadmap, die Ihnen den Weg zur Einhaltung des IKT-Minimalstandards aufzeigt. Dabei priorisieren wir die Massnahmen nach Dringlichkeit und berücksichtigen Ihre Budgetvorgaben und zeitlichen Rahmenbedingungen.

4. Unterstützung in der Umsetzungsphase: Wir begleiten Sie in der Umsetzungsphase und unterstützen Sie bei der Implementierung der notwendigen Sicherheitsmassnahmen. Dabei können wir verschiedene Rollen übernehmen:

• Chief Information Security Officer (CISO) as a Service: Wir übernehmen die strategische Steuerung und operative Umsetzung Ihrer Cyber-Sicherheits-Massnahmen.
• Projektbegleitung: Wir unterstützen Sie bei der Planung und Durchführung einzelner Projekte, z. B. der Implementierung eines adäquaten ISMS oder der Durchführung von Mitarbeiterschulungen.

Verlassen Sie sich auf unsere Expertise

• Vertiefte Kenntnisse des IKT-Minimalstandards und der relevanten Gesetze und Verordnungen
• Langjährige Erfahrung in der Beratung und Umsetzung von Cyber-Sicherheits-Massnahmen
• Praxisbezogene Branchenkenntnisse im Energiesektor
• Zertifizierte Sicherheitsexperten

Die Umsetzung des IKT-Minimalstandards ist eine Herausforderung für Gasversorger. Mit unserer Unterstützung können Sie die Anforderungen erfüllen und Ihre Cyber-Sicherheit nachhaltig stärken.Kontaktieren Sie uns noch heute für ein unverbindliches Beratungsgespräch.