Zwei IT-Sicherheitskataloge: Netzbetreiber und Energieanlagen richtig einordnen

Problem in der Praxis

In der Praxis wird der IT-Sicherheitskatalog oft als ein homogener Pflichtenkatalog wahrgenommen. Das führt zu zwei typischen Fehlbildern. Erstens: Ein Netzbetreiber zertifiziert seinen Netzbetrieb und nimmt an, damit seien auch angeschlossene KRITIS-Erzeugungsanlagen abgedeckt. Zweitens: Ein Anlagenbetreiber orientiert sich am Netz-Katalog, obwohl für ihn ein eigener Geltungsbereich und ein eigenes Schwellenkriterium gelten.

Beide Fehler entstehen, weil die Frage "Welcher Katalog gilt für welchen Teil meiner Organisation?" zu spät gestellt wird. Sie wird erst sichtbar, wenn eine Zertifizierungsstelle den Geltungsbereich abgrenzen muss oder wenn die BNetzA als sektorale Aufsicht den Nachweis für eine konkrete Anlage verlangt.

CISO-Einordnung

Die historische Verortung hilft beim Verständnis der Trennung. In der alten Fassung des EnWG adressierte ein Absatz die Strom- und Gasnetzbetreiber, ein weiterer Absatz die KRITIS-Energieanlagenbetreiber (in der bisherigen Systematik § 11 Abs. 1a für Netze und § 11 Abs. 1b für Anlagen). Mit der deutschen NIS2-Umsetzung wurden diese Pflichten in neue Paragrafen des EnWG überführt (Systematik §§ 5c folgende). Die genaue Zuordnung einzelner Absätze zu den neuen Paragrafen ist gegen den aktuellen amtlichen Gesetzestext zu prüfen und sollte nicht als feststehend behauptet werden.

Für die Einordnung der eigenen Anlagen sind drei Achsen maßgeblich:

• Rolle: Betreibe ich ein Energieversorgungsnetz (Strom/Gas), eine Energieanlage, oder beides? Die neue Fassung kennt zusätzlich Betreiber digitaler Energiedienste als Adressaten.
• KRITIS-Status: Ist die Energieanlage als Kritische Infrastruktur eingestuft und an ein Energieversorgungsnetz angeschlossen? Der Anlagen-Katalog zielt genau auf diese Konstellation, typischerweise oberhalb definierter Schwellenwerte.
• Geltungsbereich (Scope): Welche konkreten Telekommunikations- und EDV-Systeme sind für den jeweiligen Betrieb notwendig und damit schutzbedürftig?

Der Netz-Katalog zielt auf die für den Netzbetrieb notwendigen Systeme inklusive netzsteuerungsspezifischer Aspekte. Der Anlagen-Katalog zielt auf die KRITIS-relevanten Energieanlagen. Beide verlangen dasselbe Steuerungsinstrument, setzen es aber auf unterschiedliche Gegenstände an.

Umsetzungsperspektive

Beide Kataloge fordern als Kernpflicht den Aufbau, Betrieb und die Zertifizierung eines ISMS nach ISO/IEC 27001, ergänzt um die branchenspezifische ISO/IEC 27019 und unter Berücksichtigung von ISO/IEC 27002. ISO/IEC 27019 liefert dabei die energiewirtschaftsspezifischen Zusatz- und Anpassungs-Controls, unter anderem für Prozessleit- und Netzsteuerungstechnik (OT). Welche Edition der ISO/IEC 27019 der jeweilige Katalog konkret referenziert, ist versionsabhängig und am geltenden Katalog zu prüfen.

Die Zertifizierung erfolgt durch eine akkreditierte Konformitätsbewertungs- beziehungsweise Zertifizierungsstelle nach dem besonderen Verfahren des jeweiligen Katalogs. Branchenüblich ist ein dreijähriger Zertifikatszyklus mit jährlichen Überwachungsaudits; die genauen Fristen sind am jeweiligen Katalog und Verfahren zu verifizieren. Zusätzlich müssen Betreiber der BNetzA einen Ansprechpartner IT-Sicherheit benennen und das Zertifikat als Nachweis vorlegen.

Wichtig für die Planung: Bis zur Veröffentlichung eines neuen, konsolidierten Katalogs auf Basis der neuen EnWG-Paragrafen gelten die bestehenden Kataloge fort (Netz-Katalog August 2015, Anlagen-Katalog Dezember 2018). Eine Neufassung ist in Arbeit; ein finaler, verbindlicher neuer Katalog war zum Stand dieses Beitrags noch nicht abschließend veröffentlicht. Der aktuelle Stand ist bei der BNetzA zu prüfen.

Typische Fehler

1. Der Geltungsbereich wird auf den Netzbetrieb verengt, obwohl angeschlossene KRITIS-Energieanlagen einen eigenen Katalog und Scope erfordern.
2. Ein Anlagenbetreiber orientiert sich am Netz-Katalog, ohne das eigene Schwellen- und KRITIS-Kriterium zu prüfen.
3. Die Einordnung der eigenen Anlagen erfolgt erst im Zertifizierungsprojekt statt als bewusste Management-Entscheidung am Anfang.
4. Veraltete Paragrafenstände werden als feste Rechtsgrundlage zitiert, statt den aktuellen EnWG-Text und Katalog heranzuziehen.
5. Die EnWG-Pflicht wird als gleichbedeutend mit dem BSIG behandelt oder umgekehrt additiv gedacht, obwohl § 28 Absatz 5 BSIG zentrale BSIG-Vorschriften für den energiewirtschaftlichen Kern ausnimmt.

Risiken und Trade-offs

Ein zu eng gezogener Geltungsbereich spart kurzfristig Aufwand, lässt aber Anlagen ungeschützt und nicht nachweisbar. Ein zu weit gezogener Scope erhöht den Zertifizierungs- und Betriebsaufwand und bindet Ressourcen an Systeme, die nicht katalogrelevant sind.

Der zweite Trade-off betrifft die Reichweite der Regime. Energie ist ein KRITIS- und NIS2-Sektor hoher Kritikalität; neben dem EnWG-Katalog greifen die Vorgaben zur physischen Resilienz. Die Abgrenzung zum BSIG ist dagegen gesetzlich geregelt und keine offene Einzelfallfrage mehr. Maßgeblich ist dabei § 28 Absatz 5 BSIG: Besonders wichtige und wichtige Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste betreiben und den §§ 5c bis 5e EnWG unterliegen, sind von einem aufgezählten Katalog zentraler BSIG-Vorschriften ausgenommen, darunter Risikomanagement, Meldung, Geschäftsleitungspflichten und Nachweis. Die Freistellung ist enumeriert, nicht pauschal: Der Status als Einrichtung bleibt, und die Registrierungspflichten der §§ 33 und 34 BSIG werden nicht ausgeschlossen. Sie entfällt zudem bei weiteren kritischen Anlagen nach § 2 Nummer 22 BSIG, bei weiteren Tätigkeiten, die einer Einrichtungsart nach Anlage 1 oder 2 zuzuordnen sind, und bei bloßer Nebentätigkeit beim Betrieb einer Energieanlage nach § 28 Absatz 5 Satz 1 Nummer 2 BSIG. Der Fehler liegt daher selten in unterschätzten zusätzlichen BSIG-Melde- und Geschäftsleitungspflichten, sondern häufiger in einem doppelt aufgebauten Programm oder in einer übersehenen Rückausnahme.

Entscheidungspunkte

• Welche Teile der Organisation fallen unter den Netz-Katalog, welche unter den Anlagen-Katalog, und welche unter beide?
• Wie wird der Geltungsbereich je Katalog abgegrenzt, damit alle notwendigen TK-/EDV-Systeme erfasst, aber nicht überzogen werden?
• Wird ein gemeinsames ISMS mit getrennten Scopes oder werden getrennte Zertifizierungen aufgebaut?
• Greift § 28 Absatz 5 BSIG für unsere Einheiten, und wie werden EnWG-Pflichten und verbleibende BSIG-Pflichten in einer konsistenten Steuerung zusammengeführt?
• Wie wird auf die kommende Konsolidierung der Kataloge vorbereitet, ohne den fortgeltenden Bestand zu vernachlässigen?

Praktische Empfehlungen

1. Erstellen Sie zuerst eine belastbare Rollen- und Anlagenlandkarte: Welche Einheit ist Netzbetreiber, welche Anlagenbetreiber, welche Anlage ist KRITIS und ans Netz angeschlossen.
2. Leiten Sie daraus pro Katalog einen sauber abgegrenzten Geltungsbereich ab und lassen Sie ihn frühzeitig mit der Zertifizierungsstelle abstimmen.
3. Behandeln Sie das ISMS nach ISO/IEC 27001 mit ISO/IEC 27019 als gemeinsame Basis, aber halten Sie die Scopes der beiden Kataloge nachvollziehbar getrennt.
4. Benennen Sie den Ansprechpartner IT-Sicherheit und richten Sie die Nachweis- und Meldewege frühzeitig ein.
5. Beobachten Sie die Neufassung der Kataloge und den aktuellen EnWG-Stand aktiv; prüfen Sie verbindliche Details stets am aktuellen BNetzA-Katalog und Gesetzestext.

Relevante Normreferenzen

• EnWG: Rechtsgrundlage der IT-Sicherheitspflichten und der Festlegungskompetenz der BNetzA; amtliches Werk, frei zitierbar mit Quellenangabe. Paragrafenstand (alte Fassung § 11 Abs. 1a/1b gegenüber neuer Systematik §§ 5c folgende) am aktuellen Gesetzestext prüfen.
• BNetzA IT-Sicherheitskatalog (Netzbetreiber, 2015; Energieanlagen, 2018): amtliche Verlautbarung, frei zitierbar mit Quellenangabe.
• ISO/IEC 27001: Referenz für die ISMS-Anforderungen (reine Referenz, kein Volltext).
• ISO/IEC 27019: Referenz für energiewirtschaftsspezifische Controls (reine Referenz, kein Volltext).