Zertifizierungen in der Energiewirtschaft

Digitalisierung ermöglicht das Integrieren von erneuerbaren Energien und hebt Effizienzpotenziale. Doch die digitale Vernetzung schafft auch neue Angriffsflächen. Cybersicherheit wird daher immer bedeutender für Unternehmen aus der Energiewirtschaft. Zertifizierungen spielen dabei eine zentrale Rolle: Sie dokumentieren das Einhalten von Sicherheitsstandards, geben Unternehmen Orientierung bei aktuellen Maßnahmen und schaffen Vertrauen innerhalb der Lieferkette.  Gleichzeitig prägen unterschiedliche Vorgaben und Zuständigkeiten sowie fragmentierte, teils inkompatible Prüfverfahren die Zertifizierungslandschaft in Deutschland.  

Die dena-Studie „Cybersicherheits-Zertifizierungen vernetzter Systeme in der Energiewirtschaft“ schafft aus diesem Grund eine Übersicht zum aktuellen Zertifizierungsrahmen. Dabei geht sie auch auf bestehende Herausforderungen sowie mögliche Ansätze zur Harmonisierung ein. Die dena führte die Studie in Zusammenarbeit mit c.con Management Consulting GmbH und dem Forschungsinstitut OFFIS in enger Abstimmung mit dem Expertenkreis der Branchenplattform Cybersicherheit in der Stromwirtschaft durch. Die Branchenplattform wird vom Bundesministerium für Wirtschaft und Energie gefördert. 

Im Austausch mit den Partnern der Branchenplattform wurde deutlich, dass die Branche die aktuelle Zertifizierungslandschaft als komplex, fragmentiert redundant und teils widersprüchlich wahrnimmt. Eine Analyse zentraler Prüfverfahren wie der KRITIS-Prüfung nach § 8 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik), des ISMS-Zertifizierungsnachweises nach § 11 EnWG (Energiewirtschaftgesetz), von Anforderungen des MsbG Messstellenbetriebsgesetzes für intelligente Messsysteme iMSys sowie etablierter Normen wie etwa der ISO 27000-Reihe oder der Branchenspezifischen Sicherheitsstandards B3S bestätigt diese Wahrnehmung. Gründe hierfür sind unterschiedliche Zielrichtungen und Nachweislogiken, die insbesondere bei Organisationen mit mehreren Rollen zu Abgrenzungsproblemen und Doppelverantwortlichkeiten führen. 

Daher formuliert die Studie konkrete Handlungsempfehlungen zum Überwinden bestehender Hürden und zum Aufbau eines modularen und anschlussfähigen Prüfökosystems:  

• Entwickeln modularer, anschlussfähiger Prüf­verfahren 

• Gegenseitige Anerkennung von Zertifikaten für Information Security Management Systeme (ISMS) 

• Einführen hybrider Prüfmodelle mit dialogischer Aufsicht 

• Standardisierung von Vorlagen für Prüfelemente und Audit­berichte 

• Offizielle Mappings und Anrechnungstabellen zwischen Bausteinen nach § 8a BSIG, ISO-Normen, European Cybersecurity Certification Scheme (EUCC), Cyber Resilience Act (CRA) und weiteren Normen 

• Verbindliche Berücksichtigung sektoraler Normen wie etwa ISO/IEC 27019 

• Harmonisierung technischer Prüfkataloge (z. B. BSI-TR, IEC 62443) 

• Anerkennen EU-weiter Zertifikate bei gleichwertiger Schutzwirkung 

• Einführen verbindlicher Qualifikationsstandards, zum Beispiel nach Vorbild des Konformitätsbewertungsprogramms mit Schulung und Referen­zprüfung 

• Aufbau europäischer Zertifikatsdatenbanken 

• Auditplattformen für vertraulichen Austausch 

Anhand der Fallstudie eines fiktiven Stadtwerks beleuchtet die Studie systemische Spannungsfelder, die häufig im Aufbau kommunaler Versorgungsunternehmen strukturell verankert sind.  

Besonders deutlich wird dabei, dass die Lebenszyklen alter, langlebiger Betriebstechnologie (OT-Systeme) und innovativer Informationstechnologien (IT-Systeme) mit laufenden Updates oft inkompatibel sind. OT-Systeme steuern die physischen Energieanlagen, während IT-Systeme Daten verarbeiten und ausgeben. Ihre unterschiedlichen Lebenszyklen und Funktionen sollten für eine effektive Prüfung gemeinsam betrachtet werden. In der Praxis zeigt sich oft, dass dies nicht der Fall ist.