IT-Sicherheit für Energieversorger und kritische Infrastruktur
Pflichten einer kritischen Infrastruktur, Ressourcen eines KMU, regulierte Kosten. Wo wir bei Schweizer Versorgern konkret ansetzen.
Die Lage
Rund 600 Elektrizitätsversorgungsunternehmen versorgen die Schweiz. Der mittlere Verteilnetzbetreiber beliefert knapp 1'500 Endkunden. Der typische Schweizer Versorger trägt also die Pflichten einer kritischen Infrastruktur mit einer IT-Mannschaft von wenigen Personen.
Das ist die Grundspannung dieser Branche. Die Anforderungen sind für Betreiber mit eigenen Stabsstellen geschrieben, erfüllen muss sie ein Team, das gleichzeitig Leitstelle, Büro-IT und Kundenportal betreibt. Wer hier ein Programm im Konzernmassstab aufsetzt, produziert Papier, das niemand pflegt.
Dazu kommt die Kostenseite. Netzkosten sind reguliert. Sicherheit lässt sich nicht einfach über den Tarif finanzieren, sondern muss gegenüber Aufsicht und Eigentümern begründet und richtig dimensioniert sein. Ein Werkzeug zu kaufen ist einfacher, als zu erklären, warum es nötig war.
Und der Betrieb selbst verändert sich. Fernwirktechnik, Smart Meter und Fernwartungszugänge der Anlagenbauer hängen inzwischen an derselben Infrastruktur wie Mail und ERP. Die Angriffsfläche wächst schneller als die Mannschaft.
Was wir in dieser Branche antreffen
- Pflichten einer kritischen Infrastruktur, Ressourcen eines KMUDie Anforderungen sind für Betreiber mit eigenen Stabsstellen geschrieben. Erfüllen muss sie ein Team, das gleichzeitig Leitstelle, Büro-IT und Kundenportal betreibt. Der Umfang muss deshalb zur Grösse passen, sonst wird das System nicht gelebt.
- Leittechnik und Büro-IT wachsen zusammenFernwirktechnik, Smart Meter und Fernwartungszugänge der Anlagenbauer hängen inzwischen am selben Netz wie Mail und ERP. Was früher zwei getrennte Welten waren, ist heute eine gemeinsame Angriffsfläche.
- Fernzugänge, die niemand vollständig kenntÜber Jahre haben Lieferanten Zugänge bekommen, für Inbetriebnahmen, für Störungen, für Wartungsverträge. Wer heute worauf zugreifen kann, ist selten sauber dokumentiert. Das ist meist der erste Fund einer Bestandsaufnahme.
- Regulierte Kosten, unregulierte ErwartungenJeder Franken für Sicherheit muss gegenüber Aufsicht und Eigentümern begründbar sein. Ohne einen anerkannten Rahmen fehlt die Sprache dafür, und die Diskussion bleibt eine Glaubensfrage.
- Assets und Schutzbedarf sind nicht strukturiert erfasstOhne Inventar lässt sich weder priorisieren noch belegen. Genau das ist der Punkt, an dem in unseren Mandaten die meiste Arbeit liegt, und er ist unspektakulär, aber die Voraussetzung für alles Weitere.
- Die Meldepflicht setzt einen geübten Prozess vorausSeit April 2025 müssen kritische Infrastrukturen Cyberangriffe melden. Der Ablauf dahinter existiert vielerorts nur auf dem Papier, und im Ernstfall fehlt die Zeit, ihn zu erfinden.
Typischer Auslöser
Verwaltungsrat oder Eigentümergemeinde fragen nach dem Stand der Cybersicherheit, und es gibt keine belastbare Antwort. Oder ein Audit deckt auf, dass Assets und Schutzbedarf nirgends erfasst sind.
Der ODCUS-Unterschied
Kein Verkauf zusätzlicher Werkzeuge. Erster Schritt ist immer: Was habt ihr schon, was davon funktioniert, und was können wir streichen? Die meisten Mandate beginnen damit, Kosten zu senken und den Schutz gleichzeitig zu verbessern.
Warum diese Leistungen dort greifen
Struktur, die zur tatsächlichen Grösse passt
Wir bauen das ISMS entlang ISO 27001 und dem IKT-Minimalstandard auf, mit Asset-Inventar, Schutzbedarf und Lieferantenübersicht. Der Massnahmenkatalog wird über ISO 27001 Annex A, IKT-Minimalstandard und NIST CSF harmonisiert, damit nicht drei Listen nebeneinander gepflegt werden müssen.
Der Umfang richtet sich nach 1'500 Endkunden, nicht nach 150'000. Ein System, das dein Team im Alltag auch führen kann, ist mehr wert als eines, das dem Prüfer gefällt und danach niemandem.
Fernzugänge und Lieferanten wieder im Griff
Wir bringen Ordnung in Zugänge, Berechtigungen und Herstellerwartung und etablieren ein Lieferanten- und Massnahmenmanagement, das im laufenden Betrieb funktioniert.
Deine Leute bleiben am Netz. Wir arbeiten den Rückstand ab, ohne dass die Versorgung darunter leidet.
Eine benannte Verantwortung, die auch berichten kann
Für Verwaltungsrat, Gemeinde und Aufsicht zählt vor allem, dass jemand die Sicherheitslage in Geschäftssprache erklären und die Ausgaben begründen kann.
Das übernehmen wir auf Mandatsbasis, mit Erfahrung aus dem regulierten Umfeld und ohne dass du eine Stelle schaffen musst.
Standort bestimmen, bevor das Programm aufgesetzt wird
Ein Assessment zum Festpreis zeigt, wo du gegenüber anerkannten Rahmenwerken stehst und welche Lücken wirklich Wirkung haben.
Das Ergebnis ist eine Reihenfolge, die sich gegenüber Eigentümern und Aufsicht vertreten lässt, statt einer Liste aus dem Produktprospekt.
Für wen das passt
- Verteilnetzbetreiber und Energieversorger mit kleiner IT-Mannschaft
- Betreiber kritischer Infrastruktur mit ISMS-Anforderung und ohne Struktur dafür
- Werke im Eigentum von Gemeinden oder Kantonen mit Rechenschaftspflicht
- Versorger, bei denen Leittechnik und Büro-IT zusammenwachsen
Verwandte Mandate
- ISMS und Lieferantenmanagement für einen KRITIS-Energieversorger
- Cybersecurity-Strategie und Governance aus einem Reifegrad-Assessment
- Privileged Identity und Access Management mit Entra ID
Anonymisierte Einblicke in echte Mandate. Nicht alle stammen aus dieser Branche, die Aufgabenstellung ist aber dieselbe.
Häufige Fragen
Wir sind ein kleines Werk. Gilt der IKT-Minimalstandard für uns überhaupt?
Der IKT-Minimalstandard ist eine Empfehlung, keine Pflicht. In der Praxis wird er trotzdem zum Massstab, weil Aufsicht, Eigentümer und Versicherer sich daran orientieren. Wir setzen ihn deshalb als Rahmen ein und skalieren den Umfang auf die tatsächliche Grösse.
Müssen wir bei einem Angriff wirklich melden?
Seit dem 1. April 2025 besteht für Betreiber kritischer Infrastrukturen eine Meldepflicht bei Cyberangriffen. Entscheidend ist weniger die Pflicht selbst als der Prozess dahinter: wer feststellt, wer entscheidet, wer meldet. Den bauen und üben wir mit.
Können wir das ISMS auch ohne Zertifizierung aufbauen?
Ja, und für viele Versorger ist genau das der richtige Weg. Der Nutzen liegt in Inventar, Schutzbedarf und Massnahmensteuerung. Das Zertifikat ist ein späterer, separater Entscheid.
Wie halten wir das ISMS am Leben, wenn wir nur zwei IT-Leute haben?
Indem der Umfang von Anfang an auf zwei Leute ausgelegt wird. Weniger Dokumente, klare Verantwortlichkeiten, feste Termine. Ein kleines System, das läuft, schlägt ein grosses, das einschläft.
Sprechen wir über deine Situation
Dreissig Minuten, kostenlos und unverbindlich. Wir sagen dir ehrlich, ob und wo wir helfen können.