IT-Si­cher­heits­ka­ta­log für Di­gi­ta­le Ener­gie­diens­te

• Ziele des IT-Sicherheitskatalogs
• Übergangsregelungen
• FAQ

[ENDE]

Adressaten des IT-Sicherheitskatalogs sind Betreiber von Digitalen Energiediensten, die

• durch die BSI-Kritisverordnung anhand von Schwellenwerten als Kritische Infrastrukturen bestimmt wurden
  und deren digitale Dienstleistung sich auf eine Energieanlage auswirkt, die an ein Energieversorgungsnetz angeschlossen ist,

oder

• wichtige oder besonders wichtige Einrichtungen in der Kategorie 1.1.6 der Anlage 1 BSIG sind.

Ziele des IT-Sicherheitskatalogs

• Sicherstellung der Verfügbarkeit der zu schützenden Systeme und Daten
• Sicherstellung der Integrität und Authentizität der verarbeiteten Informationen und Systeme
• Gewährleistung der Vertraulichkeit der verarbeiteten Informationen

Der IT-Sicherheitskatalog wird Betreiber eines digitalen Energiedienstes zur Umsetzung IT-sicherheitstechnischer Mindeststandards auf Basis des nationalen NIS-2-Umsetzungsgesetzes verpflichten. Kernforderung wird die Etablierung eines Informationssicherheits-Managementsystems (ISMS) gemäß DIN EN ISO/IEC 27001 und dessen Zertifizierung sein. Der IT-Sicherheitskatalog wird darüber hinaus spezifische Vorgaben enthalten, die die Einhaltung der Vorgaben des § 5c Abs. 4 EnWG auf Basis von Artikel 21 der NIS-2-Richtlinie für die Gruppe der digitalen Energiedienste sicherstellen.

Darüber hinaus müssen die betroffenen Betreiber eines digitalen Energiedienstes der Bundesnetzagentur eine Ansprechperson für IT-Sicherheit mit Kontaktdaten benennen.

Übergangsregelungen

Der IT-Sicherheitskatalog für digitale Energiedienste wird entsprechend der Vorgaben von § 5c Abs. 3 EnWG auf „einschlägigen europäischen oder internationalen Normen“ basieren. Daher sind alle Betreiber eines digitalen Energiedienstes im Sinne des § 3 EnWG in Verbindung mit § 5c Abs. 1 Nr. 3 dringend dazu angehalten, schnellstmöglich mit der Implementierung eines Informationssicherheitsmanagementsystems nach ISO27001 (z.B. nativ oder entlang des IT-Grundschutzes des BSI) zu beginnen, und Vorbereitungen für entsprechende Zertifizierungsaudits zu treffen. Damit wird das Sicherheitsniveau zügig gesteigert und die Zertifizierungsreife für den noch festzulegenden IT-Sicherheitskatalog der Bundesnetzagentur für digitale Energiedienste vorbereitet.

Sofern ein Betreiber eines digitalen Energiedienstes bereits als Aggregator den „B3S Aggregatoren“ des BDEW umzusetzen und dem BSI gegenüber nachzuweisen hatte, ist er im Sinne der Kontinuität der Regulierung verpflichtet, mindestens den Vorgaben des „B3S Aggregatoren“ weiterhin zu entsprechen. Dies gilt bis der IT-Sicherheitskatalog für digitale Energiedienste gemäß § 5c Abs. 2 festgelegt ist. Soweit die Umsetzung der ISO27001 Vorgaben aus dem „B3S Aggregatoren“ ersetzt, wird dies als im Sinne der Kontinuität angemessene Fortsetzung angesehen. Regelmäßige Audits der Systeme zur Angriffserkennung (SzA) sind ebenfalls fortzusetzen.

Für die Umsetzung der SzA können sich die Betreiber an der im „B3S Aggregatoren“ referenzierten Orientierungshilfe SzA des BSI orientieren, um eine Umsetzung der gesetzlichen Standards sicherzustellen, oder gleichwertige, individuelle Alternativen nutzen, um das notwendige Sicherheitsniveau zu erreichen.

FAQ