VGB POWERTECH 7 (2020) - International Journal for Generation and Storage of Electricity and Heat

Stellungnahme zum IT-Sicherheitsgesetz 2.0 VGB PowerTech 7 l 2020
Stellungnahme zum
IT-Sicherheitsgesetz 2.0
Stefan Loubichi
Abstract
Statement on the IT Security Act 2.0
The threat situation in IT/OT-security as well as
cyber-security in the energy sector remains
high. We don´t know who exactly the cyber terrorist
/ cyber criminals are, what they are planning
and that their next goals are. We only
know from the annual cyber attacks in Ukrainian
power grids or SCADA systems worldwide
that they could realize a blackout.
With the IT-security law (published in 2015)
our government took a courageous step in 2015
to protect our critical infrastructure. Unfortunately,
in Germany we have lost leadership in
this area in terms of IT-/OT-security and have
not adopted an audit program for energy producers
until now.
In this article I present the draft of the ITR-security
law 2.0, published in May 2020. It is anticipated
that the draft will enter into force with
slight changes by the end of the year. Operators
as well as manufacturer of core components
have to deal with new (legal) requirements for
their IT-/OT-systems.
What they have to do and which consequences
they have to expect if they do not implement the
requirements are presented in this article.
Of course, there is still room for improvement in
our IT-security law 2.0. But the new IT-security
law 2.0 will help us to achieve security for tomorrow.
l
Autor
Prof. h.c. PhDr. Dipl.-Kfm./Dipl.-Vw. Stefan
Loubichi,
international experienced lead auditor for
management systems (ISO 27001,
ISO 14001, ISO 9001, ISO 45001,
ISO 26000), auditor according to
§ 8 BSI-Law and IT-security catalogue,
more than ten years of international
experience in implementing IT- and cyber
security
Essen, Deutschland
Neverending Story IT-SIG
Im Juli 2015 wurde das (erste) IT-Sicherheitsgesetz
(IT-SIG) in Kraft gesetzt. Es war
ein wichtiger erster Meilenstein, mit der
die Bundesrepublik Deutschland zum Vorreiter
in Sachen IT-Schutz in der Europäischen
Union wurde. Wie gut die Bundesrepublik
Deutschland war, lässt sich auch
daran erkennen, dass das europäische Pendant,
die NIS Direktive erst im Jahr 2017 in
Kraft trat.
Wir alle wissen, dass es nach dem Juli 2015
zügig weiterging:
––
Durch die Kritis-VO wurden die entsprechenden
Sektoren festgelegt, die als Kritische
Infrastrukturen gelten und es wurden
die Schwellenwerte festgelegt.
––
Für Netzbetreiber wurde als „Prüfkatalog“
der IT-Sicherheitskatalog nach § 11
Abs. 1a EnWG fixiert, für alle klassischen
Betreiber kritischer Infrastrukturen wurde
die Orientierungshilfe für die Prüfungen
nach dem BSI-Gesetz veröffentlicht.
––
Die Prüfung der Netzbetreiber läuft seit
mehr als 3 Jahren, aber:
Dann geriet die Umsetzung der gesetzlichen
Vorgaben der IT-Sicherheit ins Stocken:
Erst im Dezember 2018 (!), d.h. mehr als 3
Jahre nach dem Inkrafttreten des IT-Sicherheitskataloges
für die Netzbetreiber
trat der IT-Sicherheitskatalog nach § 11
Abs. 1b EnWG in Kraft und bis heute, d.h.
1 ½ Jahre nach der Veröffentlichung haben
es die Deutsche Akkreditierungsstelle
GmbH, die nationale Akkreditierungsstelle
der Bundesrepublik Deutschland nicht geschafft,
zusammen mit ihren Partnern ein
Konformitätsbewertungsprogramm zu verabschieden,
mit dem die Grundlagen zur
Durchführung von Prüfungen bei Energieerzeugern
festgelegt werden. Jeder in der
Branche weiß (hoffentlich) in diesem Zusammenhang,
dass die Frist zur Umsetzung
des IT-Sicherheitskataloges nach § 11
Abs. 1b EnWG aus diesem Grund nicht
mehr zu halten ist und dass man hierzu
auch eine Friständerung zum 31. März
2021 vorgesehen hat. Transparente Kommunikation
ist hier jedoch genauso wenig
vorgesehen wie eine transparente Kommunikation
über die seit Monaten laufenden
Verhandlungen über eine drastische
Senkung der Schwellenwerte von derzeit
420 MW auf voraussichtlich bis zu 36 oder
50 MW. Neben dieser offensichtlichen
„Schelte“ an einige Bundesbehörden darf
aber nicht vergessen, dass auch Vertreter
aus der Wirtschaft nicht durch Transparenz
glänzen.
All dies schafft im Übrigen keine großartige
Planungssicherheit für die IT-/OT-Sicherheitsverantwortlichen
in der Energieerzeugung.
Zumindest hat man in dem für die IT-Sicherheit
zuständigen Bundesministerium
des Inneren erkannt, dass das IT-Sicherheitsgesetz
stark reformbedürftig ist und
hat im April 2019 einen ersten Entwurf für
das IT-Sicherheitsgesetz 2.0 vorgelegt, der
aber zu viele Verbesserungspotenziale enthielt,
so dass man alles nochmals überarbeiten
musste. Im Mai 2020 wurde dann
der zweite Entwurf des IT-Sicherheits-gesetztes
veröffentlicht.
Dieser ist unstrittig besser als der erste Entwurf
des IT-Sicherheitsgesetzes 2.0, enthält
aber immer noch viele zumindest diskussionswürdige
Aspekte. Betrachten wir
uns aber nun das IT-Sicherheitsgesetz 2.0
im Detail:
Kritische Komponenten
In § 2 Abs.3 BSI-G (alt) hieß es noch:
„KRITIS-Kernkomponenten sind:
im Sektor Energie:
IT-Produkte für die
1. Kraftwerksleittechnik,
2. für die Netzleittechnik oder für
3. die Steuerungstechnik zum Betrieb von
Anlagen oder Systemen zur
––
Stromversorgung,
––
Gasversorgung,
––
Kraftstoff- oder Heizölversorgung oder
––
Fernwärmeversorgung.“
In dem jetzigen Gesetzesentwurf heißt es:
„Kritische Komponenten im Sinne dieses
Gesetzes sind IT-Produkte, die in Kritischen
Infrastrukturen eingesetzt werden
und die von hoher Bedeutung für das Funktionieren
des Gemeinwesens sind, weil Störungen
der Verfügbarkeit, Integrität, Authentizität
und Vertraulichkeit dieser IT-
Produkte zu einem Ausfall oder zu einer
58