– aktuelle rechtliche Anforderungen und Haftungsrisiken für Verteilernetzbetreiber –

- von Dr. Christian de Wyl, Dr. Michael Weise und Alexander Bartsch, Berlin-

(…)

IT-Sicherheit

Ein weiteres, sich derzeit rasant entwickelndes und viel diskutiertes Thema aus dem Bereich Netzbetrieb ist die „IT-Sicherheit“. Hier sind aktuell zwei Entwicklungslinien zu verzeichnen:

IT-Sicherheitsgesetz

Mit Bearbeitungsstand vom 5.3.2013 ist auf der Internetseite des BMI ein Referentenentwurf für ein „Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“ („ITSG“) abrufbar,1 mit dem insbesondere Vorschriften des BSI-Gesetzes2 ergänzt werden sollen. Ziel des Gesetzes ist es, für KRITIS einen Mindeststandard an IT-Sicherheit festzulegen. Kernforderung ist gemäß der vorgesehenen Ergänzung eines § 8a Abs. 1 BSI-Gesetz, dass Betreiber von KRITIS „angemessene organisatorische und technische Vorkehrungen und sonstige Maßnahmen zum Schutz derjenigen informationstechnischen Systeme, Komponenten oder Prozesse zu treffen [haben], die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Infrastrukturen maßgeblich sind.“ Die Betreiber von KRITIS und damit die konkreten Adressaten des ITSG sind noch in einer separaten Rechtsverordnung festzulegen; der Sektor „Energie“ soll grundsätzlich dazu gehören.3

IT-Sicherheitskatalog

Bereits vor Verabschiedung des Referentenentwurfs für ein ITSG hat der Gesetzgeber mit der EnWG Novelle 20114 eine spezielle Vorgabe für den IT-Schutz bei Netzbetreibern (Strom und Gas) getroffen. Mit Wirkung zum 4.8.2011 wurde ein neuer § 11 Abs. 1a EnWG eingeführt, der in Ergänzung und Konkretisierung des bereits erwähnten § 11 Abs. 1 EnWG5 Netzbetreiber verpflichtet, auch für einen angemessenen Schutz gegen Bedrohungen für netzsteuerungsdienliche Telekommunikations- und elektronische Datenverarbeitungssysteme zu sorgen.6 Zur Konkretisierung des „angemessenen Schutzes“ enthält § 11 Abs. 1a Satz 2 EnWG zudem den Auftrag an die Bundesnetzagentur (BNetzA), im Benehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) einen Katalog von Sicherheitsanforderungen zu erstellen und zu veröffentlichen. In Umsetzung dieses Auftrages hat die BNetzA am 12.12.2013 den ersten Entwurf veröffentlicht und zur Konsultation gestellt.7