- von Rechtsanwalt Dr. Hans-Christoph Thomale, Frankfurt -*

Die IT-Sicherheitslage in Deutschland ist angespannt. Unternehmen und öffentliche Einrichtungen werden zunehmend Ziel von Cyberangriffen, die zudem technologisch immer ausgereifter und komplexer werden. Vor diesem Hintergrund besteht das Ziel des am 25. Juli 2015 in Kraft getretenen IT-Sicherheitsgesetzes darin, die Sicherheit der Telekommunikations- und IT-Systeme in Deutschland zu verbessern, um aktuellen und zukünftigen Bedrohungen begegnen zu können. Besondere Bedeutung kommt dabei sog. Kritischen Infrastrukturen aus den Bereichen Energie, IT und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen zu. Diese Sektoren gelten als besonders schutzwürdig und müssen künftig einen Mindeststandard im Hinblick auf die IT-Sicherheit einhalten.

(…)

3. Die Vorgaben des § 11 EnWG

3.1 Betreiber von Energieversorgungsnetzen

Betreiber von Energieversorgungsnetzen sind gemäß § 11 Abs. 1 EnWG für einen sicheren Netzbetrieb verantwortlich. Der Betrieb eines sicheren Energieversorgungsnetzes wird im Hinblick auf die IT-Sicherheit in § 11 Abs. 1a EnWG konkretisiert. So umfasst ein sicherer Betrieb nicht nur die ausreichende Wartung und Instandhaltung des Netzes, sondern gemäß § 11 Abs. 1a Satz 1 EnWG auch einen angemessenen Schutz der IT-Systeme, die für einen sicheren Netzbetrieb notwendig sind. Mit dieser Regelung wird der Bedeutung von IT-Systemen für die Steuerung von Energieversorgungsnetzen im Rahmen einer funktionierenden Energieversorgung Rechnung getragen. Die Anforderungen an die IT-Sicherheit gemäß § 11 Abs. 1a EnWG sind grundsätzlich von allen Netzbetreibern ungeachtet der Frage, ob diese als Betreiber Kritischer Infrastrukturen in der Rechtsverordnung gemäß § 10 Abs. 1 BSIG eingestuft werden oder nicht, zu erfüllen. Eine dem § 8a BSIG vergleichbare Ausnahme für „Kleinstnetzbetreiber“ existiert nicht. (…)

3.2 Betreiber von Energieanlagen

Nicht nur Cyberangriffe auf IT-Systeme von Energieversorgungsnetzen, sondern auch auf die von Energieanlagen können eine sichere Energieversorgung akut gefährden. Um einen umfassenden Schutz für einen sicheren Netzbetrieb sicherstellen zu können, werden gemäß § 11 Abs. 1b EnWG zudem erstmals auch Betreiber von Energieanlagen, die mit einem Energieversorgungsnetz verbunden sind, in die gesetzlichen IT-Pflichten eingebunden. Überall dort, wo eine Gefährdung für den Netzbetrieb möglich ist, müssen Energieanlagenbetreiber Sicherheitsmaßnahmen zum Schutz ihrer IT-Systeme ergreifen.

Die Anforderungen richten sich jedoch nur an Betreiber solcher Energieanlagen, die auf Grundlage der Rechtsverordnung gemäß § 10 Abs. 1 BSIG künftig als Kritische Infrastruktur bestimmt werden. Dies werden voraussichtlich u.a. Kraftwerks-, Wind- und Solarparkbetreiber sein. …