IKT-Minimalstandard nach Stromversorgungsverordnung (StromVV, Art. 5a).

Wann gilt IKT-Minimalstandard StromVV für Sie?

IKT-Minimalstandard StromVV kann für Sie gelten, wenn einer dieser Auslöser zutrifft. Der Normen-Check prüft sie anhand Ihrer Angaben.

• Branche: Energie (Trifft wahrscheinlich zu): Als Unternehmen der Energiebranche kommen Sie grundsätzlich als Netzbetreiberin, Erzeugerin oder Speicherbetreiberin unter Art. 5a StromVV in Frage - ob Sie konkret erfasst sind, hängt von Ihrer Rolle und, bei Erzeugung oder Speicherung, von der Schwelle von 100 MW steuerbarer Anlagenleistung ab.
• Tätigkeit: Kritische Infrastruktur (gilt, wenn zusätzlich: Branche: Energie) (Trifft wahrscheinlich zu): Sie zählen als Energieunternehmen zu den kritischen Infrastrukturen - im Energiesektor grenzt Art. 5a StromVV den Kreis der Verpflichteten präzise auf Netzbetreiber, grössere Erzeuger/Speicherbetreiber ab 100 MW und deren Fernsteuerungs-Dienstleister ein; prüfen Sie, ob Sie in eine dieser drei Kategorien fallen. Kritische Infrastruktur ausserhalb der Energiebranche fällt nicht unter diese Verordnung.
• Tätigkeit: Betriebstechnik (OT-Anlagen) (gilt, wenn zusätzlich: Branche: Energie) (Trifft wahrscheinlich zu): Sie betreiben oder steuern OT-Anlagen (Betriebstechnik) im Energiesektor - wenn diese der Stromerzeugung, -speicherung oder dem Netzbetrieb dienen oder Sie solche Anlagen für Dritte dauerhaft fernsteuern können, greift möglicherweise der IKT-Minimalstandard nach Art. 5a StromVV für Sie. OT-Anlagen ausserhalb der Energiebranche sind davon nicht erfasst.
• Rolle gegenüber Kunden: Betreiber (gilt, wenn zusätzlich: Branche: Energie) (Bitte prüfen lassen): Als Betreiberin einer Anlage im Energiesektor sollten Sie im Einzelfall prüfen, ob Sie unter eine der drei in Art. 5a Abs. 1 StromVV genannten Kategorien fallen: Netzbetreiber, Erzeuger/Speicherbetreiber ab 100 MW (ausser Kernkraftwerke), oder Dienstleister mit dauerhaftem Fernsteuerungszugriff auf solche Anlagen.

Ausnahmen

• Kernkraftwerksbetreiber sind von den Pflichten für Erzeuger nach Art. 5a Abs. 1 Bst. b StromVV ausdrücklich ausgenommen; sie unterstehen eigenen kernenergierechtlichen Sicherheitsvorgaben.
• Erzeuger und Speicherbetreiber, deren Anlagen zusammen weniger als 100 MW Leistung haben oder die nicht über ein einziges System gesteuert werden können, sind nach Art. 5a Abs. 1 Bst. b StromVV nicht erfasst.
• Die im IKT-Minimalstandard selbst genannten international anerkannten Standards sind für sich allein nicht verbindlich (Art. 5a Abs. 2 StromVV); verbindlich sind die Empfehlungen des IKT-Minimalstandards, auch wenn diese auf solche Standards Bezug nehmen.

Was verlangt IKT-Minimalstandard StromVV?

• Empfehlungen des IKT-Minimalstandards (Ausgabe Mai 2023) gemäss dem für die eigene Rolle bzw. Anlage zugeordneten Schutzniveau nach Anhang 1a StromVV umsetzen (Art. 5a Abs. 1 StromVV).
• Das Erreichen des jeweiligen Schutzniveaus der ElCom auf Verlangen nachweisen (Art. 5a Abs. 3 StromVV).

Welche Nachweise braucht es?

• Nachweisdokumentation zum erreichten Schutzniveau (A, B oder C) gegenüber der ElCom.
• Dokumentation der Umsetzung der einzelnen Empfehlungen des IKT-Minimalstandards je zugeordnetem Schutzniveau (Anhang 1a StromVV).

Welche Fristen gelten?

1. 01.07.2024 Art. 5a StromVV (Schutz vor Cyberbedrohungen / IKT-Minimalstandard) tritt in Kraft (AS 2024 282).

Stand der Angaben: 24.09.2026. Vergangene Daten sind grau, kommende hervorgehoben (Stand beim Erstellen der Seite).

Was droht bei Verstössen?

Art. 5a StromVV selbst sieht keine eigene Bussenbestimmung vor. Die ElCom kann das Erreichen des Schutzniveaus jederzeit einfordern (Art. 5a Abs. 3 StromVV) und im Rahmen ihrer allgemeinen Aufsichts- und Weisungskompetenz nach Stromversorgungsgesetz (StromVG) Massnahmen anordnen. Eine konkret bezifferte Sanktionsnorm speziell für die Nichteinhaltung des IKT-Minimalstandards liess sich im gelesenen Verordnungstext nicht finden (siehe unsicher).

Was hängt damit zusammen?

• Meldepflicht für Cyberangriffe auf kritische Infrastrukturen (Informationssicherheitsgesetz, ISG): Seit dem 1.
• Richtlinie über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2): Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) verpflichtet Betreiber kritischer und wichtiger Sektoren zu Risikomanagement und zur Meldung erheblicher Sicherheitsvorfälle.

Was ist noch unsicher?

• Die genauen Zuordnungskriterien der Schutzniveaus A, B und C zu einzelnen Unternehmenskategorien (Anhang 1a StromVV) wurden nicht im Volltext gelesen; die Einordnung 'A = wichtigste Unternehmen, B = mittelgrosse, C = kleinere Akteure' stammt aus einem Fachartikel (InfoGuard, sekundär), nicht direkt aus dem Verordnungstext.
• Der IKT-Minimalstandard wird laut Fussnote zu Art. 5a StromVV über das Bundesamt für wirtschaftliche Landesversorgung (BWL, www.bwl.admin.ch) bezogen; eine Zuständigkeit von ncsc.admin.ch für dieses konkrete Dokument wurde in dieser Recherche nicht bestätigt.
• Eine konkrete Sanktionsnorm für Verstösse gegen Art. 5a StromVV wurde nicht gefunden; ob und wie die ElCom Verstösse im Einzelfall sanktioniert (z. B. gestützt auf das StromVG), wurde nicht recherchiert.

Quellen

Stand der Angaben: 24.09.2026.

• Stromversorgungsverordnung (StromVV), SR 734.71, Art. 5a Schutz vor Cyberbedrohungen (konsolidierter Stand am 1. Januar 2025, Art. 5a eingefügt durch Änderung vom 31. Mai 2024, in Kraft seit 1. Juli 2024), Bundeskanzlei / Fedlex (Änderungserlass AS 2024 282, wirksam in der konsolidierten StromVV SR 734.71), abgerufen am 24.09.2026
• IKT-Minimalstandards nach StromVV: So vermeiden Sie ein Blackout-Szenario, InfoGuard AG (Fachartikel), abgerufen am 24.09.2026

Fachliche Einordnung auf Basis öffentlich zugänglicher Quellen, keine Rechtsberatung. Ob eine Regel im Einzelfall gilt, hängt von Umständen ab, die hier nicht vollständig erfasst sind.