BSI (Bundesamt für Sicherheit in der Informationstechnik)

Welche Aufgaben hat das BSI im Energiesektor konkret?

Im Energiesektor erarbeitet das BSI vor allem technische Vorgaben für die sichere Digitalisierung der Energiewende und wirkt an der Absicherung kritischer Infrastrukturen mit. Der sichtbarste Teil dieser Arbeit ist die technische Richtlinie TR-03109, die Sicherheits-, Funktions- und Interoperabilitätsanforderungen für intelligente Messsysteme, also Smart-Meter-Gateways und ihre Umgebung, festlegt.

Daneben ist das BSI eine der zentralen Stellen für die Umsetzung der KRITIS-Regulierung: Betreiber kritischer Energieinfrastrukturen unterliegen besonderen Melde- und Nachweispflichten gegenüber dem BSI, etwa zur Registrierung als Betreiber kritischer Infrastruktur und zur Meldung erheblicher IT-Sicherheitsvorfälle. Auch beim IT-Sicherheitskatalog für Netzbetreiber, den die Bundesnetzagentur auf Basis des § 11 EnWG erstellt, ist das BSI als fachliche Instanz für Informationssicherheit eingebunden, während die Bundesnetzagentur den regulatorischen Rahmen und die Umsetzungsfristen vorgibt.

Welche Rolle spielt das BSI beim Smart-Meter-Rollout?

Beim Smart-Meter-Rollout legt das BSI mit der TR-03109-Reihe fest, welche Sicherheitseigenschaften ein Smart-Meter-Gateway, das zugehörige Sicherheitsmodul, die Public-Key-Infrastruktur und die Gateway-Administration erfüllen müssen. Damit ein Gerät im Feld als „intelligentes Messsystem“ eingesetzt werden darf, muss es diese Vorgaben nachweislich erfüllen – der Nachweis erfolgt über die BSI-Zertifizierung.

Das BSI selbst prüft dabei nicht jedes einzelne Gerät im Markt, sondern erkennt spezialisierte Prüfstellen an, die die Konformitätsbewertung im Detail durchführen. Das BSI definiert die Anforderungen, überwacht das Verfahren und ist verantwortlich für die Zertifikate. Diese Aufgabenteilung soll sicherstellen, dass die eingesetzte Technik über die gesamte Betriebsdauer hinweg einem einheitlichen, hohen Sicherheitsniveau entspricht.

Was bedeutet die BSI-Zuständigkeit für Messstellennutzer in der Praxis?

Für alle Endnutzer von Messstellen bedeutet die Zuständigkeit des BSI vor allem eines: Beim Einbau eines intelligenten Messsystems durch den Messstellenbetreiber ist die BSI-Konformität der eingesetzten Komponenten bereits sichergestellt, ohne dass die Gebäudeeigentümerin oder der Betrieb selbst prüfen muss, ob das verbaute Gerät sicher ist. Diese Prüfung ist im Zertifizierungsverfahren bereits erfolgt.

Relevanter wird das BSI für größere gewerbliche Kunden und Betreiber eigener Anlagen dann, wenn eigene IT-Sicherheitspflichten ins Spiel kommen, etwa als Betreiber kritischer Infrastruktur oder im Rahmen vertraglicher Anforderungen von Energieversorgern und Messstellenbetreibern an die eigene Netzwerksicherheit. Wer im eigenen Gebäude zusätzliche Steuerungs- oder Energiemanagementtechnik mit dem Smart-Meter-Gateway koppelt, etwa zur Steuerung von Wärmepumpen oder Ladeinfrastruktur, sollte darauf achten, dass diese Schnittstellen ebenfalls den einschlägigen Sicherheitsvorgaben entsprechen.

Wie unterscheidet sich das BSI von der Bundesnetzagentur?

Das BSI und die Bundesnetzagentur haben unterschiedliche, sich ergänzende Zuständigkeiten: Die Bundesnetzagentur reguliert den Energiemarkt, legt unter anderem die Rollout-Vorgaben für intelligente Messsysteme fest und überwacht Netzbetreiber und Messstellenbetreiber wirtschaftlich und regulatorisch. Das BSI hingegen ist die technische Fachbehörde für IT-Sicherheit und definiert, welche Sicherheitseigenschaften die eingesetzte Technik erfüllen muss.

Beide Behörden arbeiten bei Themen wie dem Smart-Meter-Rollout und dem IT-Sicherheitskatalog eng zusammen: Die Bundesnetzagentur setzt den regulatorischen Rahmen, das BSI liefert die technischen und sicherheitsbezogenen Vorgaben dazu.