IKT-Minimalstandard: Was Energieversorger jetzt tun müssen

Die Frist zur Einführung des IKT-Minimalstandards für Unternehmen der Energiebranche ist Ende Juni 2026 abgelaufen. Wer heute noch nicht compliant ist, steht vor einer klaren Frage: Wie gross ist die Lücke – und wie schnell lässt sie sich schliessen? Dieser Artikel liefert eine ehrliche Bestandsaufnahme und einen pragmatischen Einstieg, ohne Panikmache, aber mit klarem Handlungsimpuls.

Wen betrifft der IKT-Minimalstandard?

Der IKT-Minimalstandard richtet sich an Betreiberinnen und Betreiber kritischer Infrastrukturen in der Schweiz – insbesondere an Unternehmen der Energieversorgung. Dazu gehören Netzbetreiber, Energieversorger und Unternehmen, die wesentliche Teile der Energieinfrastruktur betreiben oder steuern.

Auch wenn Ihr Unternehmen nicht direkt als «kritische Infrastruktur» klassifiziert ist, lohnt sich eine Prüfung: Wer Energie produziert, transportiert oder verteilt, fällt in der Regel unter den Geltungsbereich. Und wer als Zulieferer oder Dienstleister eng mit solchen Unternehmen zusammenarbeitet, spürt den Druck zunehmend ebenfalls.

Was droht bei Nicht-Einhaltung des IKT-Minimalstandards?

Wer den IKT-Minimalstandard nicht erfüllt, riskiert mehr als eine Rüge. Die Konsequenzen sind konkret:

• Regulatorische Massnahmen: Zuständige Behörden können Nachweise verlangen und bei Mängeln Auflagen erteilen.

• Haftungsrisiken: Geschäftsführung und Verwaltungsrat tragen Verantwortung. Bei einem Vorfall, der auf bekannte Lücken zurückzuführen ist, kann das persönliche Konsequenzen haben.

• Reputationsschäden: Kunden, Partner und Behörden erwarten Nachweise. Wer sie nicht liefern kann, verliert Vertrauen.

• Betriebsrisiken: Fehlende Sicherheitsmassnahmen erhöhen die Wahrscheinlichkeit eines erfolgreichen Angriffs – mit direkten Auswirkungen auf die Versorgungssicherheit.

Die gute Nachricht: Wer jetzt handelt, zeigt Verantwortungsbewusstsein. Das zählt – gegenüber Behörden, Kunden und dem eigenen Verwaltungsrat.

Die 5 häufigsten Lücken aus der Praxis

Aus Projekten mit Energieversorgern und KMU zeigen sich immer wieder dieselben Schwachstellen. Diese fünf tauchen am häufigsten auf:

1. Kein dokumentiertes Inventar der IT- und OT-Systeme. Was nicht bekannt ist, kann nicht geschützt werden. Viele Unternehmen haben keine vollständige Übersicht – besonders in der Betriebstechnik (OT), also bei Steuerungssystemen und Leittechnik.

2. Fehlende oder veraltete Risikobeurteilung. Der IKT-Minimalstandard verlangt eine strukturierte Auseinandersetzung mit Risiken. Viele Unternehmen haben diese nie formell durchgeführt.

3. Unklare Verantwortlichkeiten bei Sicherheitsvorfällen. Wer macht was, wenn ein Angriff passiert? Ohne definierte Rollen und einen Notfallplan bleibt die Antwort offen – bis es zu spät ist.

4. Keine geregelte Lieferanten- und Dienstleisterkontrolle. Externe Partner haben oft weitreichenden Zugriff auf Systeme. Ob diese selbst sicher aufgestellt sind, wird selten geprüft.

5. Fehlende Awareness auf allen Ebenen. Mitarbeitende kennen die Risiken nicht, Führungskräfte unterschätzen sie. Informationssicherheit ist kein Thema im Alltag – bis ein Vorfall passiert.

Wie schnell kann man aufholen?

Das hängt vom Ausgangszustand ab. Die Erfahrung zeigt aber: Mit dem richtigen Fokus lassen sich die grössten Lücken in wenigen Wochen schliessen. Nicht alles muss sofort perfekt sein. Entscheidend ist, dass sie wissen, wo sie stehen – und dass sie nachweisbar handeln.

Ein strukturiertes Sofort-Assessment dauert in der Regel zwei bis vier Tage. Es liefert eine klare Übersicht über den Ist-Zustand, priorisiert die offenen Punkte und zeigt, welche Massnahmen den grössten Effekt haben.

Pragmatischer Fahrplan für den Einstieg

Wer jetzt startet, sollte in dieser Reihenfolge vorgehen:

1. Bestandsaufnahme: Welche Systeme, Daten und Prozesse sind vorhanden? Was ist kritisch?

2. Gap-Analyse: Wo weicht der Ist-Zustand vom IKT-Minimalstandard ab?

3. Priorisierung: Welche Lücken sind am dringlichsten – nach Risiko, nicht nach Aufwand?

4. Massnahmenplan: Konkrete Schritte, Verantwortlichkeiten und realistische Fristen.

5. Dokumentation: Nachweisbarkeit sicherstellen – für Behörden, Kunden und den Verwaltungsrat.

Dieser Fahrplan ist kein Jahresprojekt. Mit externer Unterstützung lässt sich der erste Schritt innerhalb weniger Tage machen.

Praxisbeispiel: Energieversorger

Ein regionaler Energieversorger mit rund 80 Mitarbeitenden wusste, dass er den IKT-Minimalstandard erfüllen musste – hatte aber keine Übersicht, wo er stand. Ein zweitägiges Assessment zeigte: Das Systemverzeichnis fehlte vollständig, Verantwortlichkeiten im Notfall waren nicht geregelt, und externe Dienstleister hatten unkontrollierten Zugriff auf kritische Systeme.

Innerhalb von sechs Wochen wurden die dringlichsten Lücken geschlossen: Inventar erstellt, Notfallrollen definiert, Dienstleisterzugriffe geregelt. Das Unternehmen konnte gegenüber der Aufsichtsbehörde nachweisen, dass es handelt – und das Vertrauen der Kunden blieb erhalten.

Jetzt handeln, nicht warten

Die Frist ist abgelaufen – aber das ist kein Grund zur Panik. Es ist ein Grund zu handeln. Wer jetzt eine ehrliche Bestandsaufnahme macht und gezielt priorisiert, kann die Compliance-Lücke schliessen und gleichzeitig die Sicherheit des Unternehmens spürbar verbessern. Der erste Schritt ist der wichtigste.

Sofort-Assessment anfragen

Noch nicht compliant? Ich helfe Ihnen, in wenigen Tagen Klarheit über Ihren Ist-Zustand zu erhalten – mit einem strukturierten Assessment, das Prioritäten setzt und Ihnen einen konkreten Massnahmenplan liefert.

Jetzt Kontakt aufnehmen

Häufig gestellte Fragen

Gilt der IKT-Minimalstandard auch für kleinere Energieversorger?
Ja. Der IKT-Minimalstandard richtet sich an alle Betreiberinnen und Betreiber kritischer Infrastrukturen in der Energieversorgung – unabhängig von der Unternehmensgrösse. Auch kleinere Netzbetreiber und Versorger fallen in der Regel unter den Geltungsbereich.

Was passiert, wenn wir die Anforderungen noch nicht erfüllen?
Behörden können Nachweise verlangen und Auflagen erteilen. Darüber hinaus tragen Geschäftsführung und Verwaltungsrat bei einem Vorfall, der auf bekannte Lücken zurückzuführen ist, persönliche Verantwortung. Wer nachweislich handelt, ist deutlich besser gestellt.

Wie lange dauert ein erstes Assessment?
Ein strukturiertes Sofort-Assessment dauert in der Regel zwei bis vier Tage. Es liefert eine klare Übersicht über den Ist-Zustand und zeigt, welche Massnahmen den grössten Effekt haben.

Müssen wir sofort alles umsetzen?
Nein. Entscheidend ist, dass sie wissen, wo sie stehen, und dass sie nachweisbar handeln. Mit einer klaren Priorisierung lassen sich die grössten Lücken zuerst schliessen – ohne das Unternehmen zu überfordern.