Hintergrund ist die Sondersituation in Querverbunds- bzw. Mehrspartenunternehmen, also Stadtwerke, die in den Sektoren Energie, Wasser und Telekommunikation tätig sind. Die IT-Sicherheitspflichten seien hier so komplex beschrieben, dass sie kaum noch verständlich sind, heißt es in der Stellungnahme des VKU.
Nach Lesart des Verbands unterliegen auch hier die IT-Systeme, die nicht für den sicheren Anlagenbetrieb unmittelbar notwendig sind – wie die Office-IT ohne unmittelbare Verbindung zu den Anlagen – einheitlich den Regelungen des Energiewirtschaftsgesetzes und der Aufsicht der Bundesnetzagentur. Auch diese Systeme sollen zukünftig über die IT-Sicherheitskataloge reguliert werden. Diese "massive Ausdehnung" lehnt der VKU ab.
Hintergrund
Die NIS-2-Richtlinie ist die EU-weite Gesetzgebung zur Cybersicherheit. Sie enthält rechtliche Maßnahmen zur Steigerung des Gesamtniveaus der Cybersicherheit in der EU. Sie wurde am 27.12.2022 veröffentlicht. Die Mitgliedstaaten müssen die Richtlinie bis Oktober 2024 in nationales Recht umsetzen.
Beschränkung auf kritische Energieanlagen
Die IT-Sicherheitskataloge für die Energieversorgungsnetze und Energieanlagen dürfen sich zudem nur auf die Netze und die (kritischen) Anlagen beziehen und nicht auf die Office-IT, fordert der Verband. In jedem Fall müssten im Hinblick auf die zu erfüllenden IT-Sicherheitspflichten und die Form der Nachweise eine strikte Abstufung zwischen Betreibern von kritischen Anlagen und bloßen – besonders – wichtigen Einrichtungen erfolgen, heißt es weiter.
Zudem setzt sich der VKU dafür ein, dass die spezialgesetzlichen Regelungen des EnWG verändert werden müssen. Denn nicht alle Energieanlagen, sondern nur kritische, dürfen dem Verband zufolge in den Anwendungsbereich des EnWG mit seinen IT-Sicherheitskatalogen fallen. Daher dürfe die bisherige Logik des § 11 EnWG nicht geändert werden.
Weitere Präzisierungen nötig
Eine Einzelfallprüfung der kritischen Komponenten sei außerdem nicht handhabbar, so der VKU. Das Prozedere sollte geändert und durch eine Ausschussliste generell nicht-vertrauenswürdiger Hersteller ersetzt werden.
Bemängelt wird außerdem, dass die Zuordnung der Mitarbeiter- und Umsatzzahlen innerhalb eines Konzerns unklar sei. Als Beispiel nennt der VKU ein Mutter- und Tochterunternehmen, das unterschiedliche Geschäftszwecke verfolgt. Eine Bestimmung des Betreibers sei weiterhin auslegungsbedürftig und sollte innerhalb der Gesetzesbegründung präzisiert werden, fordert der Verband. (sg)
