Anrechenbarkeit Kosten Cybersicherheit

Fachsekretariat

Intern

Mitteilung

Bern, 28.09.2022 / Update 01.12.2025

Anrechenbarkeit Kosten Cybersicherheit Intern

2 Anrechenbarkeit der Kosten

Wie oben erwähnt sind nur Kosten aus einer risikobasierten und effizienten Umsetzung von Massnahmen zur Cybersicherheit anrechenbar. Dazu bietet der Leitf aden SKI des Bundesamtes f ür Bevölkerungsschutz (BABS) eine gute Grundlage. Nach Artikel 11 StromVG und Artikel 7 StromVV legen die Netzbetreiber der ElCom jährlich eine Kostenrechnung vor. Bei der Zuweisung der anrechenbaren Kosten gilt dabei die Wegleitung der ElCom zur Kostenrechnung (KoRe) sowie subsidiär das Kostenrechnungsschema f ür Verteilnetzbetreiber der Schweiz (KRSV) des Verbandes Schweizerischer Elektrizitätsunternehmen. Nachf olgende Gliederung soll dabei helf en diese Kosten sachgerecht zu erf assen. Generell sollten Kosten f ür den Schutz der OT1 unter den Positionen 200 und 500 und die Kosten für den Schutz der IT2 unter der Position 600 der KoRe angegeben werden. Bei der Abschreibungsdauer f ür Hard- und Software gilt Tabelle 1 des KRSV. Die ElCom behält sich vor, im Rahmen ihrer Aufsicht die ef f iziente Umsetzung der Schutzmassnahmen und Kosten zu überprüfen. Die Finanzbuchhaltung sollte daher so ausgelegt werden, dass die Kosten f ür Massnahmen zum Schutz von Cybervorfällen möglichst einfach ausgewiesen werden könnten. Dabei ist zu berücksichtigen, dass nur Kosten für die Sparte Netz anrechenbar sind (Art. 15 StromVG i.V.m. Art. 10 StromVG). Kosten f ür den Schutz von IKT-Systemen anderer Sparten (z. B. Energie, Telekom, Gas, …) sind direkt oder mit einer sachgerechten Schlüsselung (Art. 7 Abs. 5 StromVV) zu trennen und den entsprechenden Sparten anzulasten (vgl. auch Kapitel 2, KRSV). Untenstehende Abbildung 1 veranschaulicht die Idee der Kostenzuweisung. Diese wird in den nachf olgenden Kapiteln mit Beispielen veranschaulicht.

Unter Operational Technology (OT) werden Technologien, welche direkt für die Bereitstellung oder Lieferung von Elektrizität notwendig sind (z.B. SCADA, PIA, Remote Access auf Installationen in Unterwerken, Rundsteuerung, Energiedatenmanagement (EDM), Smart Meter) verstanden. Unter Information Technology (IT) werden Technologien zur Datenverarbeitung, welche nicht direkt mit der Bereitstellung von Elektrizität zu tun haben (z.B. Kundendatenmanagement, Personaldatenmanagement, Büroanwendungen) verstanden.

Anrechenbarkeit Kosten Cybersicherheit Intern

Abbildung 1 Übersicht Zuweisung Kosten Cybersicherheit in der Kostenrechnung ElCom

Sollten sich bei der risikobasierten Umsetzung von Cybersicherheitsmassnahmen oder bei der Anrechenbarkeit Unsicherheiten ergeben, gibt das Fachsekretariat der ElCom gerne Auskunft (Philippe Mahler, philippe.mahler@elcom.admin.ch).

2.1 Kalkulatorische Kapitalkosten und Betriebskosten der Netze (OT)

Kalkulatorische Abschreibungen und Zinsen von Sicherheitssystemen (Hard- und Software) für Steuer- und Regelsysteme sowie Betriebskosten f ür Sicherheitsmassnahmen des Netzes (OT) werden unter der KoRe-Position 200.1a erf asst. Zum Beispiel:

Hard- und Sof tware f ür DMZ f ür Netzleitstelle (SCADA)
Anteil OT Hard- und Sof tware f ür Schutz Zonenübergänge
Wartung Sicherheitssysteme in Netzleitstelle oder Unterwerken
Kosten Schutz Energiedaten Management (EDM)
Berater / externe Mandate
Kosten Pen-Tests
Patches / Updates
Audits
Anteilige Kosten SOC
Schulungen der Mitarbeitenden OT
Anteilige Kosten Intrusion Detection System (IDS) OT
Anteilige Kosten Security Inf ormation and Event Management (SIEM) OT
Anteilige Kosten Inf ormation Security Management System (ISMS) OT
Security as a Service (SECaaS) OT
Teilnahme an BugBounty Programm OT
Anteilige Kosten SCION/SSUN OT

Anrechenbarkeit Kosten Cybersicherheit Intern

2.2 Kalkulatorische Kapitalkosten intelligenter Messsysteme (KoRe 510.1, 510.2, 520.1, 520.2) Kosten für kalkulatorische Abschreibungen und Zinsen der entsprechenden Sicherheitssysteme bei intelligenten Messsystemen inkl. Systemen nach Artikel 17a StromVG und Artikel 8a und 8b StromVV (510.1, 510.2) und übrige Messsysteme (520.1, 520.2) werden unter den KoRe-Positionen 510.1, 510.2, 520.1 und 520.2 erf asst. Darunter fallen auch Kosten für den Schutz der Systeme gemäss Abbildung 5 der «Richtlinien f ür die Datensicherheit von intelligenten Messsystemen» des Verbandes Schweizerischer Elektrizitätsunternehmen für intelligente Messsysteme nach Artikel 8b StromVV wie zum Beispiel Schutzmassnamen f ür:

Intelligente Messsysteme
Datenkonzentrator / Gateway
Head End System (HES) inkl. Schlüsselmanagement
Meter Data Management (MDM)
Schutz Fernzugrif f externe Dienstleister

2.3 Betriebskosten intelligenter Messsysteme (KoRe 510.4, 520.4)

Kosten f ür Sicherheitsmassnahmen bei intelligenten Messsystemen inkl. Systemen nach Artikel 17a StromVG und Artikel 8a und 8b StromVV (510.4) und übrige Messsysteme (520.4) werden als sonstige Kosten erfasst. Dies beinhaltet auch die Umsetzung der «Richtlinien für die Datensicherheit von intelligenten Messsystemen» des Verbandes Schweizerischer Elektrizitätsunternehmen. Darunter f allen zum Beispiel Schutzmassnamen f ür:

Intelligente Messsysteme
Datenkonzentrator / Gateway
Head End System (HES) inkl. Schlüsselmanagement
Meter Data Management (MDM)
Schutz Fernzugrif f externe Dienstleister
Kosten Pen-Tests
Patches / Updates
Backups

2.4 Kalkulatorische Kapitalkosten intelligenter Steuer- und Regelsysteme

(KoRe 530.1, 530.2) Hier werden die kalkulatorischen Abschreibungen (530.1) und Zinsen (530.2) der Systeme zum Schutz vor Cybervorfällen der intelligenten Steuer- und Regelsysteme nach Artikel 8c StromVV sowie klassische Rundsteueranlagen erf asst. Beispiele hierf ür sind:

Schutzmassnahmen Fernzugrif f auf intelligente Steuer- und Regelsysteme
Firewall

2.5 Betriebskosten intelligenter Steuer- und Regelsysteme (KoRe 530.4)

Hier werden intelligente Steuer- und Regelsysteme nach Artikel 8c StromVV sowie klassische Rundsteueranlagen angesprochen. Darunter f allen auch die Systeme zu deren Schutz vor Cybervorfällen. Unter den Positionen 530.1 und 530.2 werden kalkulatorische Abschreibungen und Zinsen solcher Sicherheitssysteme erfasst. Unter der Position 530.4 werden alle Kosten von Sicherheitsmassnamen erf asst. Beispiele hierf ür sind:

Kosten Pen-Tests
Patches / Updates
Backups

Anrechenbarkeit Kosten Cybersicherheit Intern

2.6 Kalkulatorische Kapitalkosten und Betriebskosten der Netze (IT) (KoRe

Die Kapital- (Abschreibungen und Zinsen) und Betriebskosten f ür Sicherheitssysteme und -massnahmen der IT werden unter der Position 600.1a als Verwaltungskosten erf asst. Dies können zu Beispiel sein:

Anteilige Kosten Security Operation Center (SOC)
(Anteilige) Raumkosten f ür z. B. SOC
Kosten f ür Awarenesskampagnen
Schulungen der Mitarbeitenden IT
Anteilige Kosten Intrusion Detection System (IDS)
Anteilige Kosten Security Inf ormation and Event Management (SIEM)
Anteilige Kosten Inf ormation Security Management System (ISMS)
Security as a Service (SECaaS)
Kosten Netzsegmentierung
Anteilige Kosten Schutz Zonenübergänge IT – OT
Audits
Zertif izierung
Erstellung Inventar IT
Log-Analyse IT
Anteilige Kosten SCION/SSUN

Anrechenbarkeit Kosten Cybersicherheit Intern

3 Anhang

3.1 Glossar

Abkürzung Bedeutung EDM Energiedatenmanagement

HES Head End System IDS Intrusion Detection System

ISMS Information Security Management System

MDM Meter Data Management

SCADA Supervisory Control and Data Acquisition

SCION/SSUN Scalability, Control and Isolation On Next-Generation Networks / Secure Swiss Utility Network

SECaaS Security as a Service SIEM Security Information and Event Management

SOC Security Operations Center

StromVG Stromversorgungsgesetz, SR 734.7

StromVV Stromversorgungsverordnung, SR 734.71