Der folgende Beitrag bezieht sich insbesondere auf die Anforderungen an Energieversorger, die nicht nur durch das IT-Sicherheitsgesetz bestimmt, sondern auch noch durch die NIS-Richtlinie zusätzlich verschärft werden. Der xmera-Blogbeitrag gibt einen umfassenden Überblick über Gesetze, Regularien und Verordnungen für Energieversorger.

Was passiert auf EU-Ebene?

Neben dem Informationssicherheitsgesetz auf Bundesebene gibt es ein ähnliches Gesetz der EU. Die Netz- und Informationssicherheitsrichtlinie (kurz NIS) trat im August 2016 in Kraft und muss bis Mai 2018 in nationales Recht umgesetzt werden. Die Richtlinie beinhaltet insbesondere eine intensivere Zusammenarbeit zwischen den kritischen Infrastrukturen und erlegt ihnen eine Meldepflicht auf. Da das IT-SiG bereits im Juli 2015 in Kraft getreten ist, konnte die NIS-Richtlinie in Deutschland bereits am 30. Juni 2017 umgesetzt werden.

Welche Sektoren sind vom Informationssicherheitsgesetz betroffen?

Das IT-SiG richtet sich insbesondere an Betreiber sogenannter kritischer Infrastrukturen, deren Ausfall eine erhebliche Auswirkung auf die Gesellschaft hätte, z.B. in Form von Versorgungsengpässen. Dies betrifft meist Unternehmen in der Gesundheits-, Energieversorgungs-, und Verkehrsbranche. Angesprochen durch das Gesetz werden auch Betreiber von Webangeboten, Telekommunikationsunternehmen und das Bundesamt für Sicherheit in der Informationstechnik.

Welche Unternehmen als kritische Infrastrukturen eingestuft werden, wird anhand von quantitativen Kriterien festgelegt. Schätzungen zufolge sind etwa 2000 Unternehmen betroffen.

Sind alle Energieversorger in gleichem Maße betroffen?

Nein. Betroffen sind fast alle Stufen der energiewirtschaftlichen Wertschöpfungskette, also Erzeugung und Förderung, Speicherung und Lagerung, Handel, Transport, Verteilung und Messung. Allerdings werden die verschiedenen Stufen der Wertschöpfungskette unterschiedlichen Gruppen zugeteilt. Jeweilige Rechte, Pflichten und Konsequenzen bei Nichteinhaltung unterscheiden sich von Gruppe zu Gruppe; daher sind nicht alle Energieversorger in gleicher Weise betroffen.

Betreibern von Kernkraftwerken oder Energieversorgungsnetzen wird beispielsweise die Einhaltung des Informationssicherheitskataloges vorgeschrieben. Dieser fordert unter anderem die Einführung eines Informationssicherheitssystems (ISMS) und dessen Zertifizierung bis zum 31. Januar 2018.

Im Großen und Ganzen soll durch die neuen IT-Sicherheitsgesetze und Richtlinien in Deutschland und in der EU ein neues Sicherheitsbewusstsein geschaffen werden.

Für einen detaillierten Einblick in das Thema, sowie einen Überblick über die einzelnen Gesetze, Rechten und Pflichten der verschiedenen Gruppen, empfehlen wir Ihnen den Original-Artikel von xmera.