Festlegung kritischer Komponenten
Mit der zunehmenden Digitalisierung der Kritischen Infrastruktur und den Veränderungen der geopolitischen Bedrohungslagen steigen auch die Sicherheitsanforderungen beim Aus- und Umbau der kritischen Infrastruktur im Strom- und Gasbereich. Als präventive Sicherheitsmaßnahme kann daher der Einsatz bestimmter kritischer Komponenten untersagt werden.
Bis zur Veröffentlichung eines neuen IT-Sicherheitskatalogs gelten die IT-Sicherheitskataloge nach § 11 Abs. 1a und 1b EnWG (alte Fassung) weiterhin für die bestehenden Adressaten (Netz- und Anlagenbetreiber). Bestehende Systeme zur Angriffserkennung (SzA) sind entsprechend der Vorgaben aus § 11 Abs. 1e EnWG (alte Fassung) weiter zu betreiben. Für die Umsetzung der SzA können sich die Betreiber an der im „B3S Aggregatoren“ referenzierten Orientierungshilfe SzA des BSI orientieren, um eine Umsetzung der gesetzlichen Standards sicherzustellen. Es steht den Betreibern frei, individuell gleichwertige Alternativen zu nutzen, um mindestens das gesetzlich geforderte Sicherheitsniveau zu erreichen.
Für Aggregatoren, die bisher der Regulierung des BSI nach § 8a BSIG (alte Fassung) unterfielen, gilt der „B3S Aggregatoren“ des BDEW inklusive der Vorgaben zu Systemen zur Angriffserkennung (SzA) weiterhin.
Bei Rückfragen können Sie sich gerne an unser Postfach: it-sicherheitskatalog@bnetza.de wenden.
[ENDE]
Die Zuständigkeit für kritische Komponenten liegt seit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes beim Bundesministerium des Inneren (BMI). Es kann nach § 56 Abs. 6 BSIG i.V.m. § 4 Abs. 3, 4 KRITISDachG eine Liste kritischer Komponenten im Einvernehmen mit dem BMWE festlegen. Auf dieser Basis kann Unternehmen der Einsatz bestimmter kritischer Komponenten durch das BMI zukünftig nach § 41 BSIG untersagt werden. Die Bundesnetzagentur ist seitdem nur noch übergangsweise bis zu einer entsprechenden Festlegung durch das BMI für kritische Funktionen und für kritische Komponenten zuständig.
Bis zu einer solchen Festlegung nach § 56 Abs. 6 BSI-Gesetzes i.V.m. § 4 Abs. 3, 4 KRITISDachG gilt die Festlegung kritischer Funktionen der Bundesnetzagentur nach § 5c Abs. 6 EnWG übergangsweise weiter. Auf dieser Basis kann Betreibern von Energieversorgungsnetzen und Energieanlagen, die durch Rechtsverordnung gemäß § 56 Abs. 6 BSI-Gesetzes i.V.m. § 4 Abs. 3, 4 KRITISDachG als Kritische Anlagen bestimmt wurden, der Einsatz von kritischen Komponenten, die die in der Festlegung der Bundesnetzagentur bestimmte kritischen Funktionen realisieren, durch das BMI untersagt werden. So sind bereits jetzt Untersagungen nach § 41 BSIG möglich.
Die Festlegung kritischer Funktionen wirkt in zwei Stufen:
- Mit Wirkung zum 25. Dezember 2025 werden für die Übertragungsnetzbetreiber (ÜNB) die Funktionen der Netz- und Systemsteuerung (Steuerung, Leittechnik und Netzschutz) von Hochspannungs-Gleichstrom-Übertragungs-(HGÜ)-Verbindungen, sowie für die Betreiber von Offshore-Windenergieanlagen alle im Katalog kritischer Funktionen genannten als kritische Funktionen festgelegt.
- Mit Wirkung zum 6. Dezember 2025, d.h. ab dem Zeitpunkt des Wegfalls der Anzeigepflicht nach § 9b Abs. 1 S. 1 BSIG in der Fassung vom 28.05.2021, werden die im Katalog kritischer Funktionen genannten Funktionen für Betreiber von Energieversorgungsnetzen und von Energieanlagen, die durch Rechtsverordnung als Kritische Infrastruktur bestimmt wurden, als kritische Funktionen bestimmt.
Die nach § 29 Abs. 1 i.V. m. § 11 Abs. 1g S. 1 Nr. 2 EnWG Festlegung kritisch bestimmter Funktionen im Sinne des § 2 Abs. 13 S. 1 Nr. 3 lit. b BSIG ist im Amtsblatt 12/2025 veröffentlicht.