Versorgungssicherheit beginnt bei der IT-Sicherheit.

Als KRITIS-Energieversorger gelten Betreiber, die nach der BSI-KritisV den Schwellenwert von 420 MW installierter Nennleistung (Stromerzeugung), 3.000 MW Übertragungskapazität (Übertragungsnetzbetreiber) oder 250.000 versorgten Haushalten (Verteilernetzbetreiber) erreichen oder überschreiten. KRITIS-Betreiber im Sektor Energie müssen sich beim BSI registrieren, den B3S Energie umsetzen und Systeme zur Angriffserkennung (SzA) betreiben. Beim Nachweis gilt ein Sonderweg: Betreiber von Energieversorgungsnetzen und -anlagen weisen ihre IT-Sicherheit über den IT-Sicherheitskatalog der Bundesnetzagentur nach §11 EnWG nach (ISMS-Zertifizierung nach ISO 27001) und sind insoweit von der BSI-Nachweispflicht des §39 BSIG ausgenommen; für sonstige kritische Anlagen gilt der §39-Nachweis alle drei Jahre. Auch unterhalb der KRITIS-Schwellenwerte verpflichtet §11 EnWG alle Netzbetreiber zur Umsetzung des IT-Sicherheitskatalogs.

Die BSI-KritisV definiert für den Sektor Energie (Anlage 1) folgende Schwellenwerte: Stromerzeugung 420 MW installierte Nennleistung, Übertragungsnetz 3.000 MW Übertragungskapazität, Verteilernetz 250.000 versorgte Anschlussnutzer, Gasspeicher 500.000.000 m³ Arbeitsgasvolumen, Gaseinspeise- und Fernleitungsnetze 5.000 km Länge. Betreiber, die diese Werte erreichen, gelten als KRITIS-Betreiber. Das KRITIS-DachG ist seit dem 17. März 2026 in Kraft und macht zusätzlich physische Resilienzmaßnahmen verbindlich; für bestimmte Pflichten gelten Übergangsfristen von 12 bis 18 Monaten.

Der Branchenspezifische Sicherheitsstandard (B3S) für den Sektor Energie wurde vom BDEW (Bundesverband der Energie- und Wasserwirtschaft) und VKU entwickelt und vom BSI anerkannt. Die aktuelle Version definiert Mindestanforderungen für die IT-Sicherheit in Stromerzeugung, Netzbetrieb und Energiehandel. Er umfasst Anforderungen zu Asset Management, Risikoanalyse, physischer Sicherheit, Netzwerksegmentierung, OT/IT-Trennung, Patch Management, Incident Response und Business Continuity. Der Nachweis läuft für Netz- und Anlagenbetreiber über die ISMS-Zertifizierung nach dem IT-Sicherheitskatalog (§11 EnWG); für sonstige kritische Anlagen gilt die BSI-Nachweispflicht nach §39 BSIG alle drei Jahre. AWARE7 unterstützt Sie bei der Gap-Analyse, Implementierung und Prüfungsvorbereitung.

IEC 62443 ist die internationale Normenreihe für die Cybersicherheit industrieller Automatisierungssysteme und Steuerungssysteme (IACS). Für Energieversorger ist sie der maßgebliche Standard für die Absicherung von SCADA-Systemen, speicherprogrammierbaren Steuerungen (SPS), Leitstellen und Feldgeräten. Die Norm definiert Sicherheitsstufen (SL 1-4), Zonenkonzepte, Kommunikationsanforderungen und Anforderungen an Systemintegratoren sowie Produkthersteller. In Verbindung mit dem B3S Energie und §11 EnWG ist IEC 62443 das technische Rückgrat der OT-Sicherheit im deutschen Energiesektor. AWARE7-Berater sind mit IEC 62443 vertraut und führen OT-Sicherheitsbewertungen nach diesem Standard durch.

Die NIS-2-Richtlinie (in Deutschland umgesetzt durch das NIS2UmsuCG) erweitert den Kreis der verpflichteten Energieunternehmen erheblich: Nicht nur KRITIS-Betreiber, sondern auch Energieversorger, Netzbetreiber, Erzeuger und Händler unterhalb der KRITIS-Schwellen fallen unter die erweiterten Pflichten - als Faustregel ab 50 Mitarbeitern oder 10 Mio. EUR Jahresumsatz, die genaue Einstufung regelt §28 BSIG. Kernpflichten sind: zehn Mindest-Sicherheitsmaßnahmen (Risikomanagement, Incident Response, Kryptographie, Lieferkettensicherheit), dreistufige Meldepflicht bei erheblichen Sicherheitsvorfällen (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats), persönliche Haftung der Geschäftsführung und Bußgelder bis 10 Mio. EUR bzw. 2% des weltweiten Jahresumsatzes. Für Betreiber besonders wichtiger Einrichtungen sind die Anforderungen nochmals verschärft.

Die Absicherung von OT/SCADA-Systemen erfordert einen anderen Ansatz als klassische IT-Sicherheit: Viele Feldgeräte laufen auf proprietären Protokollen (Modbus, DNP3, IEC 60870-5-104, IEC 61850), haben Lebenszyklen von 15-30 Jahren und können oft nicht gepatcht werden. Unser Ansatz umfasst: (1) OT-Asset-Inventarisierung und Risikoklassifizierung, (2) Netzwerksegmentierung und Zonenkonzept nach IEC 62443, (3) passives OT-Monitoring (kein aktives Scanning im laufenden Betrieb), (4) Penetration Testing der Leitstellen-IT, SCADA-Webinterfaces und Fernwartungszugänge, (5) Secure Remote Access Konzepte und (6) Incident-Response-Planung für OT-Umgebungen. Wir koordinieren Tests so, dass die Versorgungssicherheit nicht beeinträchtigt wird.

Die direkten und indirekten Kosten eines Cybervorfalls bei einem Energieversorger sind erheblich: Laut IBM Cost of a Data Breach Report 2024 liegen die durchschnittlichen Breach-Kosten in der Energiebranche bei 4,72 Mio. USD. Hinzu kommen branchenspezifische Folgekosten: Betriebsunterbrechungsschäden durch Produktionsausfall, regulatorische Bußgelder nach NIS-2 und BSIG, Wiederherstellungskosten für OT-Umgebungen (deutlich höher als bei IT), Reputationsschäden und Kundenabwanderung sowie behördliche Anordnungen und Auflagen. Der Viasat-Hack im Februar 2022 legte tausende Windturbinen in Mitteleuropa für Wochen lahm. Der Ukraine-Angriff 2015/2016 zeigte: Angreifer können Schaltanlagen physisch beschädigen und Stromausfälle über Wochen erzwingen.

AWARE7 bietet Energieversorgern ein vollständiges Leistungsportfolio aus einer Hand: OT/IT-Penetration Testing (SCADA, Leitstellen, Fernwartung, externe Perimeter), B3S-Energie-Gap-Analyse und Umsetzungsbegleitung, NIS-2-Compliance-Check und Implementierung, IEC-62443-konforme Sicherheitsbewertungen, Security-Awareness-Schulungen und Phishing-Simulationen für Leitstellenpersonal sowie ISMS-Aufbau nach ISO 27001. Alle Experten sind festangestellt und mit dem Sektor Energie vertraut; AWARE7 selbst ist nach ISO/IEC 27001 zertifiziert. Daten bleiben ausschließlich in Deutschland. Wir erstellen nach dem Kick-off-Gespräch innerhalb von 24 Stunden (werktags) ein Festpreisangebot.