IT-Si­cher­heits­ka­ta­log für Di­gi­ta­le Ener­gie­diens­te

• Ziele des IT-Sicherheitskatalogs
• Übergangsregelungen
• FAQ

[ENDE]

Adressaten des geplanten IT-Sicherheitskatalogs sind Betreiber von digitalen Energiediensten, die gem. § 3 Nr. 7 und 26 EnWG

• als wichtige oder besonders wichtige Einrichtung gem. § 28 Abs. 1 und 2 BSIG gelten und
• den digitalen Energiedienst an einer Energieanlage ausüben, die an ein Energieversorgungsnetz angeschlossen ist (§ 5c Abs. 1 S. 1 Nr. 3, Abs. 2 EnWG).

Ziele des IT-Sicherheitskatalogs

• Sicherstellung der Verfügbarkeit der zu schützenden Systeme und Daten
• Sicherstellung der Integrität und Authentizität der verarbeiteten Informationen und Systeme
• Gewährleistung der Vertraulichkeit der verarbeiteten Informationen

Der IT-Sicherheitskatalog wird auch Betreiber digitaler Energiedienste zur Umsetzung IT-sicherheitstechnischer Mindeststandards auf Basis des nationalen NIS-2-Umsetzungsgesetzes verpflichten und auf „einschlägigen europäischen oder internationalen Normen“ basieren (§ 5c Abs. 3 EnWG). Kernforderung wird die Etablierung eines Informationssicherheits-Managementsystems (ISMS) gemäß DIN EN ISO/IEC 27001 und dessen Zertifizierung sein. Der IT-Sicherheitskatalog wird darüber hinaus spezifische Vorgaben enthalten, die die Einhaltung der Vorgaben des § 5c Abs. 4 EnWG auf Basis von Artikel 21 der NIS-2-Richtlinie für die Gruppe der digitalen Energiedienste sicherstellen.

Darüber hinaus müssen die betroffenen Betreiber eines digitalen Energiedienstes der Bundesnetzagentur eine Ansprechperson für IT-Sicherheit mit Kontaktdaten benennen.

Übergangsregelungen

Die betroffenen Betreiber digitaler Energiedienste sind dringend dazu angehalten, schnellstmöglich mit der Implementierung eines Informationssicherheitsmanagementsystems nach ISO27001 (z.B. nativ oder entlang des IT-Grundschutzes des BSI) zu beginnen, und Vorbereitungen für entsprechende Zertifizierungsaudits zu treffen. Damit wird das Sicherheitsniveau zügig gesteigert und die Zertifizierungsreife für den noch festzulegenden IT-Sicherheitskatalog der Bundesnetzagentur für digitale Energiedienste vorbereitet.

Sofern ein Betreiber eines digitalen Energiedienstes bereits als Aggregator den „B3S Aggregatoren“ des BDEW umzusetzen und dem BSI gegenüber nachzuweisen hatte, ist er im Sinne der Kontinuität der Regulierung verpflichtet, mindestens den Vorgaben des „B3S Aggregatoren“ weiterhin zu entsprechen. Dies gilt bis der IT-Sicherheitskatalog für digitale Energiedienste gemäß § 5c Abs. 2 festgelegt ist. Soweit die Umsetzung der ISO27001 Vorgaben aus dem „B3S Aggregatoren“ ersetzt, wird dies als im Sinne der Kontinuität angemessene Fortsetzung angesehen. Regelmäßige Audits der Systeme zur Angriffserkennung (SzA) sind ebenfalls fortzusetzen.

Für die Umsetzung der SzA können sich die Betreiber an der im „B3S Aggregatoren“ referenzierten Orientierungshilfe SzA des BSI orientieren, um eine Umsetzung der gesetzlichen Standards sicherzustellen, oder gleichwertige, individuelle Alternativen nutzen, um das notwendige Sicherheitsniveau zu erreichen.

FAQ