Geschäftsbericht 2024 – ÖBB-Infrastruktur AG

ÖBB-Infrastruktur Aktiengesellschaft Konzernlagebericht | Konzernabschluss 25 Die Änderung von Rechtsvorschriften und Regelwerken kann z. B. durch neue technische oder organisatorische Vorgaben einerseits zu erhöhten Systemkosten führen. Das gilt sowohl auf nationaler als auch auf internationaler Ebene. Dementsprechend sorgfältig werden die Entwicklungen auf mögliche Auswirkungen untersucht, um frühzeitig reagieren zu können. Andererseits können Verstöße gegen spezifische Rechtsvorschriften auch zu nicht unerheblichen Strafzahlungen führen – z. B. sieht REMIT II (Regulation on Wholesale Energy Market Integrity and Transparency), die am 07.05.2024 in Kraft getreten ist, u. a. Verschärfungen bei Sanktionen für Verstöße vor [mögliche Bußgelder: bis zu 5 Mio. EUR für natürliche Personen und mind. 15 % des jährlichen Gesamtumsatzes für juristische Personen]). Dementsprechend werden spezifische Schulungen für spezifische Zielgruppen in den Fachbereichen abgehalten und auch interne Kontrollsysteme regelmäßig aktualisiert. Entsprechend dem Verbandverantwortlichkeitsgesetz kann ein Unternehmen für gerichtlich strafbare Taten seiner Mitarbeiter:innen oder Entscheidungsträger:innen verantwortlich gemacht und bestraft werden. Das gilt auch für den ÖBB Infrastruktur-Konzern. Diesem Risiko gilt es zu begegnen. So werden im Rahmen des rechtlichen Risikomanagements strafrechtlich bedeutsame Bereiche identifiziert. Des Weiteren werden etwa im Bereich der Fahrlässigkeits-, Umwelt- und Korruptionstatbestände der Ist-Stand bewertet und Maßnahmen zur Risikovermeidung gesetzt. Mit der Einführung von Kontroll- und Berichtssystemen wurden Vorsorgemaßnahmen getroffen, ebenso wie mit der Erlassung allgemeiner Verhaltensanweisungen durch den Code of Conduct. Entsprechende Schulungen und die Schaffung klarer Verantwortlichkeitsbereiche dienen ebenfalls einer Risikominimierung. Einkauf und Beschaffung Risiken ergeben sich nach wie vor aus den Unsicherheiten auf den Energiemärkten, die sich durch geopolitische Spannungen und Dynamiken wie jüngst durch den Nahostkonflikt sehr kurzfristig entwickeln können – Preisrisiken, Kreditrisiken und auch Bewertungsrisiken begegnet man neben dem Ausbau der Eigenerzeugung durch risikominimierende Beschaffungs- und Marktstrategien im Energiebereich, die im Kontext der Preisentwicklungen und -volatilitäten gründlich evaluiert und gegebenenfalls angepasst werden. Insbesondere stehen die vertraglichen Regelungen mit den Kund:innen im Fokus – hohe und sehr volatile Strompreise erfordern verbindliche Abnahmemengen. Andernfalls wäre das kund:innenseitig verursachte Verbrauchsrisiko (Mengen- und Preiskomponente) für die ÖBB-Infrastruktur AG nicht tragbar. Mögliche Auswirkungen der geopolitischen Spannungen auf die Verfügbarkeit von Bauprodukten bzw. -komponenten werden laufend evaluiert und bestmöglich antizipiert, um z. B. eventuell auftretende terminliche und finanzielle Konsequenzen auf Bauprojekte frühzeitig zu bewerten und bestmöglich zu kompensieren. Preissteigerungen auf den Energiemärkten werden mitunter erst zeitverzögert auf andere Preisindizes einwirken, sodass Risiken für planabweichende Preisvalorisierungen nicht ausgeschlossen werden können. Die Beobachtung und Analyse der Märkte ermöglicht eine entsprechende Vertragsgestaltung zur Risikominderung. Komplexe Infrastrukturprojekte werden einem laufenden Risikomanagement unterzogen, welches u. a. monetäre Risikovorsorgen zur Abdeckung etwaiger Mehrkosten vorsieht und in die Aktualisierung der Kostenprognosen einfließt. In der Projektumsetzung können sich Umstände ergeben, bei denen seitens der Lieferanten (Baufirmen, Planer, etc.) im Laufe des Baufortschrittes entstandene Mehrkosten eingefordert werden. Diese Mehrkostenforderungen werden durch interne Fachexperten, bei komplexen Sachverhalten auch unter Beiziehung externer Gutachter, dem Grunde und der Höhe nach beurteilt und entsprechend als Verbindlichkeit, Rückstellung oder Eventualverbindlichkeit in den Büchern erfasst. Informationsverarbeitung Systemausfälle können bei den operativen Teilbereichen Mehraufwendungen und Umsatzeinbußen auslösen. Um dieses Risiko zu mindern, werden laufend eine Vielzahl von Maßnahmen gesetzt, zur Erhöhung der Verfügbarkeit der IT (z. B. Ausstattung der Serverräume) ebenso wie zur Erhöhung der Vertraulichkeit (u. a. Awareness-Schulung der Mitarbeiter:innen) und der Integrität der Daten (z. B. Back-up-Sicherungen). Neben den technischen Absicherungen sorgt der „Chief Information Security Officer” des Konzerns für eine konzernweite einheitliche Steuerung und Überwachung (Security-Governance) der Informationssicherheit. Diese Aufgabe erfüllt der „Chief Information Security Officer” gemeinsam mit den Ansprechpersonen in den Teilkonzernen und Gesellschaften. Die Security-Governance muss gewährleisten, dass durch die regelmäßige Prüfung der umgesetzten Maßnahmen Schäden – z. B. durch Schadsoftware – oder identifizierte Risiken gemindert werden. Um der verstärkten Bedrohungslage für Cyberangriffe entgegenzutreten, wurde das Programm „Information Security Next Level“ ins Leben gerufen, in dem es um die Erstellung eines detaillierten Regelwerkes zur Informationssicherheit inklusive zugehöriger Prozesse, die Gewährleistung der Umsetzung des NIS- Gesetzes (NISG-Audit wurde bereits erfolgreich abgeschlossen), die Sicherstellung einer vollständigen und nachhaltigen Asseterfassung von IT / OT sowie um die Umsetzung der Konzernprojekte TOM (Target Operating Model) und PROTECT+ geht.