IKT-Minimalstandards nach StromVV: So vermeiden Sie ein Blackout-Szenario

Stellen Sie sich vor: Ein lauer Sommerabend, die Klimaanlage surrt im Hintergrund. Plötzlich legt ein Hackerangriff zentrale Systeme lahm und binnen Minuten könnte die Versorgung ganzer Regionen ins Wanken geraten.

Was wie ein Film-Plot klingt, ist längst Realität. Cyberangriffe sind für die Energiebranche heute wahrscheinlicher als ein Stromausfall durch ein Gewitter. Die Branche steht an einem Wendepunkt: Mit der Revision der Stromversorgungsverordnung (StromVV) sind die IKT-Minimalstandards ab Juli 2024 verbindlich. Für die Gasversorgung ab Juli 2025, ein Signal mit Strahlkraft weit über die Energie hinaus.

Drei Schutzniveaus – passgenau für jede Kritikalität

Sowohl in der Strom- als auch in der Gasversorgung basieren die IKT-Minimalstandards auf einem abgestuften Modell mit drei Schutzstufen (A, B, C). Ziel ist es, ein verhältnismässiges, aber vergleichbares Sicherheitsniveau zu schaffen. Von grossen Betreibern mit höchster Kritikalität bis hin zu kleineren Unternehmen mit überschaubarem Risiko.

• Schutzniveau A: Gilt für die Betreiber mit der höchsten Kritikalität z.B. Stromnetzbetreiber ab 450 GWh/Jahr oder Gasnetzbetreiber mit Hochdruckleitungen bzw. Transportvolumen über 2600 GWh/Jahr. Hier sind die umfassenden Sicherheitsanforderungen des IKT-Minimalstandards vollständig umzusetzen, jeweils an die branchenspezifischen Besonderheiten angepasst.
• Schutzniveau B: Betrifft Betreiber mittlerer Grösse (Strom: 112–450 GWh/Jahr; Gas: 400–2600 GWh/Jahr). Die Anforderungen orientieren sich am Niveau A, sind aber reduziert, praxisnah und mit geringerem Ressourceneinsatz umsetzbar.
• Schutzniveau C: Deckt kleinere Betreiber ab (Strom: <112 GWh/Jahr; Gas: bis 400 GWh/Jahr). Es stehen vor allem organisatorische Mindestanforderungen im Vordergrund, technische Massnahmen sind teilweise lediglich Empfehlungen.

Diese Staffelung ermöglicht eine gezielte Umsetzung nach Kritikalität, verhindert Überregulierung bei kleineren Unternehmen. Gleichzeitig bleibt die Vergleichbarkeit der Sicherheitsniveaus innerhalb und zwischen den Branchen gewährleistet.

Doch die Schutzniveaus bleiben Theorie, wenn sie nicht in den Alltag übersetzt werden. Genau hier stehen IT- und OT-Sicherheitsverantwortliche vor der Frage: Was heisst das konkret für meinen Betrieb?

4 Massnahmen, die Sicherheitsverantwortliche jetzt umsetzen.

Im Dialog mit IT-Sicherheitsverantwortlichen kristallisieren sich vertraute Pain Points und neue Erkenntnisse heraus.

Die IKT-Minimalstandards sind keine Checkliste, sondern fordern einen methodischen Gesamtansatz:

• Strukturierte Risikobewertungen und regelmässige Gap-Analysen
• Aufbau und Pflege eines IKT-Sicherheitskonzepts
• Glaubhafte Nachweisführung gegenüber der Aufsichtsbehörde (z.B. ElCom)
• Etablierung eines echten kontinuierlichen Verbesserungsprozess (PDCA), der über das blosse Dokumentieren hinausgehen

Interoperabilität, Auditierbarkeit und die Integration in bestehende ISMS- und SOC-Strukturen sind das technische Salz in der Suppe, kein Nice-to-have, sondern Pflicht. Die Anforderungen sind klar, aber wie gut sind Unternehmen heute tatsächlich darauf vorbereitet? Gap Assessments gemäss StromVV geben Aufschluss und zeigen, wo die grössten Lücken liegen.

«Der beste Moment für ein Gap Assessment war gestern. Der zweitbeste ist heute. Handeln Sie jetzt und verwandeln Sie regulatorische Pflicht in gelebte Sicherheitspraxis!»

Der 14-Punkte-Check: So entlarven Sie Schwachstellen in Ihrer StromVV-Compliance

Im Rahmen erster Assessments gemäss StromVV wurden wiederholt technische und organisatorische Schwachstellen festgestellt.

Die wichtigsten Handlungsfelder im Überblick:

Klarer Kurs für KMU: Leitfäden, die Ihr Gap Assessment vereinfachen

Für viele Organisationen, besonders KMU, ist die Einführung eines Gap Assessments nach dem IKT-Minimalstandard anspruchsvoll. Branchenverbände wie der VSE stellen deshalb Leitfäden und Vorlagen bereit, die eine strukturierte Durchführung erleichtern und für Konsistenz sorgen.

Hilfreich sind praxisnahe Dokumente wie der LVR-CH 2024 (strom.ch). Ebenso wichtig ist ein frühzeitiges Alignment mit dem NIST CSF 2.0, um künftige internationale Anforderungen mitzudenken.

Diese Leitfäden unterstützen bei:

• der Identifikation relevanter Sicherheitslücken
• der risikobasierten Priorisierung
• der klaren Zuweisung von Massnahmen und Verantwortlichkeiten
• der Vorbereitung auf Nachweispflichten und Audits

Gerade für Unternehmen mit knappen Ressourcen bieten sie einen einfachen Einstieg und lassen sich ohne grosse Umstrukturierungen in bestehende ISMS integrieren.

Umsetzungslücken schliessen: So gelingt's auch mit knappen Ressourcen

Die Erfahrung aus bisherigen Assessments zeigt, dass bei der Umsetzung oft sehr ähnliche Hürden auftreten.

In diesen Fällen greifen drei strategische Hebel besonders wirksam: 

• Ressourcenbindung: Insbesondere KMU kämpfen mit begrenztem Personal und Knowhow. Hier braucht es mehr als guten Willen, etwa unterstützende Tools und gezielte Weiterbildung.
• Koordination: Cybersicherheit kann nicht von der IT-Abteilung allein gestemmt werden, erst das Zusammenspiel von IT, OT, Geschäftsleitung und Dienstleistern bringt den nötigen Schub.
• Strategische Führung: Ohne klaren Kurs der Firmenleitung bleibt Sicherheit ein Schönwetter-Projekt. Sichtbare Priorisierung und eine regelmässige Statusprüfung sind unverhandelbar.

Knowhow-Aufbau und das Compliance-Ziel im Fokus

Die Einführung der IKT-Minimalstandards ist kein reines Compliance-Thema. Sie ist die Chance, die eigene Resilienz systematisch zu stärken, egal ob in Strom- oder Gasversorgung. 
Die Vorgaben schaffen einen klaren Rahmen, aber den Unterschied macht die Praxis:

• CISOs gewinnen mit Gap Assessments und klarer Governance eine fundierte Grundlage für Investitionen.
• Geschäftsleitungen sichern die Versorgung und schützen Reputation durch sichtbare Priorisierung der Cyber Resilienz.
• KMU profitieren von Leitfäden, die auch mit knappen Ressourcen eine pragmatische Umsetzung ermöglichen.

Der beste Moment für ein Gap Assessment war gestern, der zweitbeste ist heute. Starten Sie noch heute mit sechs unverzichtbaren Massnahmen und verwandeln Sie regulatorische Pflicht in gelebte Sicherheitspraxis.

6 unverzichtbare Handlungsempfehlungen zur StromVV-Compliance

1. Gap Assessments durchführen: Sicherheitsdefizite mittels Gap-Analysen systematisch identifizieren und priorisierte Massnahmen ableiten.  
2. Branchenleitfäden nutzen: VSE- und SVGW-Dokumente sowie BWL-Vorlagen als praxisnahe Orientierung heranziehen.
3. Risikoorientiert vorgehen: Massnahmen konsequent nach Kritikalität und Schutzniveau (A, B, C) priorisieren.
4. Integration in bestehende Systeme: Gap Assessments und Sicherheitsmassnahmen in ISMS, Business Continuity Management (BCM) und Krisenmanagement einbetten.
5. Multi-Utility-Strukturen berücksichtigen: Querverbundunternehmen sollten sektorübergreifende Harmonisierung nutzen, um Doppelarbeit zu vermeiden.
6. Internationale Entwicklungen im Blick behalten: NIS2, CRA und DORA frühzeitig berücksichtigen, um langfristige Compliance und Wettbewerbsfähigkeit sicherzustellen.
7. Frühzeitige Anpassung an NIST 2.0 einleiten: Obwohl die verbindliche Einführung erst mit einer späteren Revision erfolgt, sollten Unternehmen bereits jetzt prüfen, welche zusätzlichen Dokumentationspflichten und Anpassungsbedarfe entstehen. Eine proaktive Auseinandersetzung mit den neuen NIST-Strukturen erleichtert die spätere Umstellung erheblich.

Darum lohnt sich ein Gap Assessment mit InfoGuard

Cybersicherheit hört nie auf – sie ist ein kontinuierlicher Prozess, der Organisationen täglich fordert und voranbringt. Mit klaren Standards, praxisnahen Tools und einer konsequent risikobasierten Herangehensweise schaffen Energie- und Gasversorger nicht nur Compliance, sondern machen Resilienz und Sicherheit zum echten Wertbeitrag für den Betrieb.

Was macht den Unterschied?

• Sie stärken die Widerstandsfähigkeit Ihres Unternehmens nachhaltig,
• erfüllen regulatorische Vorgaben auditfest und mit Augenmass und
• generieren daraus zusätzlichen Mehrwert für Ihre Geschäftsprozesse.

Entscheidend ist das Zusammenspiel von Führung, IT, OT und externen Partnern – denn nur gemeinsam wird regulatorische Pflicht zur gelebten Sicherheitskultur.

Nutzen Sie die Erfahrung der InfoGuard-Expert*innen und gehen Sie den nächsten Schritt: Gestalten Sie Ihre Cyberstrategie auf Augenhöhe – strukturiert, partnerschaftlich und zukunftsfähig. Kontaktieren Sie uns für eine unverbindliche Beratung – gemeinsam verwandeln wir regulatorische Vorgaben in gelebte Cybersicherheitspraxis.

Bildlegende: mit KI generiertes Bild