#22 - Batteriegroßspeicher als zentraler Baustein der Energiewende

00:00:00: Muss ich eine Kamera überwachen haben?

00:00:01: Muss ich einen Untergrabeschutz haben.

00:00:03: Brauche ich Kameras, die auch Drohnen abdecken.

00:00:07: Es sind Batteriespeicher, die spießen wie Pilze aus den Boden und die sind wahnsinnig wichtig für die Energiewende

00:00:13: usw.,

00:00:14: da muss doch einfach Regeln für gelten ... Nee, diese Intuition ist falsch!

00:00:19: Wenn man das mal guckt, wie viele Angriffe es auf Umspannwerke gab also... Die Umspannenwerke sind häufig mit einem Maschendrahtzaun gesichert.

00:00:27: Das ist wie vieles eigentlich gar nicht so kompliziert, wenn man sich's einmal genauer angeguckt auseinander, klamüsert und mit einem Experten besprochen hat.

00:00:35: Bester Talk überhaupt!

00:00:37: Die Angriffssage ist da gar nicht selten tatsächlich.

00:00:41: also es sind nicht nur die Drohnen.

00:00:43: Jetzt weils so schön verwirrend ist steht das dann für Kritisunternehmen?

00:00:47: nicht im BSI-Gesetz sondern eben auch in dem Kritisdachgesetz?

00:00:53: Jetzt hab ich ein Phasen verloren.

00:00:54: Tja

00:00:55: Willkommen in meiner Welt.

00:00:57: abstrakte Norm machen ist schwierig.

00:01:19: Herzlich willkommen zu einer neuen Folge unseres Podcast der Stand der Technik mit

00:01:26: Lutz Keppler und

00:01:27: Daniel Wasser, wir unterhalten uns heute über Batterie Großspeicher und deren Anforderungen an die IT.

00:01:34: Sicherheit Lutz,

00:01:36: ja und los geht's.

00:01:38: Du hast dir gewünscht dass wir nochmal einen großen Rundumschlag machen.

00:01:42: was für Anforderungen gibt es denn überhaupt?

00:01:43: Für IT-Sicherheit?

00:01:45: weil Wir beide in der Praxis immer wieder erleben das ein Betreiber Ein Investor eines Batteriegroßspeichers Das gar nicht so genau weiß faszinierenderweise richtig.

00:01:55: Ich glaube, auch die Kollegen in meiner Zunft manchmal das eine oder andere durcheinander werfen.

00:02:01: Was ist denn überhaupt Critis und für eine Anlage?

00:02:05: Oder Critis für eine Firma?

00:02:07: Also da sind wilde Annahmen und Critis V. Da ist ja auch ne ganze Menge in... Im Fluss.

00:02:15: Ich glaube, die Beförden wissen ja immer was sie machen aber sie verändern im Moment viel.

00:02:21: Dann spielt da das ENWG noch so komisch rein.

00:02:23: also ist eine ziemlich spezielle Materie.

00:02:25: in diesem neuen IT-Sicherheitsrecht.

00:02:28: werfen wir uns mal rein indem wir uns nochmal klarmachen der europäische Gesetzgeber hat ein paar Richtlinien erlassen um die IT Sicherheit von bestimmten Unternehmen zu regeln und Das ist halt in Deutschland prominent.

00:02:44: einmal mit der Umsetzung der NIST II, die ist im BSIG-Gesetz umgesetzt und da wird eben gesagt wichtige und besonders wichtige Einrichtungen müssen bestimmte IT Sicherheitsanforderung erfüllen.

00:02:59: Und man wird auf ganz unterschiedliche Weise eine wichtige oder besonders wichtige einrichtung.

00:03:05: Da gehen wir jetzt gar nicht im Detail so sehr drauf ein weil wir wollen uns ja hier auf die Batterie groß Speicher konzentrieren.

00:03:13: und da sind wir sehr schnell an einem Punkt, wo das BSI-Gesetz auch sagt.

00:03:20: Wenn du ein Kritisunternehmen bist, wenn du eine kritische Anlage betreibst dann fällst du unter das BSEG und dann bist du in einer besonders wichtige Einrichtung.

00:03:34: Wo schauen wir denn danach um zu überlegen?

00:03:36: Sind wir eine kritisch Anlage Daniel?

00:03:38: In der Kritisverordnung

00:03:40: In der Kritisverordnung ist das heutzutage noch so einfach, wie es zum Beispiel vor einem Jahr war.

00:03:45: Es gibt ja die, ich hab's mal aufgeschrieben, Kritis VE

00:03:50: und

00:03:51: die BSI-Kritisv.

00:03:53: Ja, also wir hatten natürlich ... Ist das nicht völlig neu dieses Rechtsgebiet?

00:03:57: Gibt es seit Jahrzehnten eine Verordnung, die sagt, wenn ein Krankenhaus so uns viel Betten hat.

00:04:02: Wenn eine Energieanlage so und so viel Megawatt produziert und so weiter.

00:04:07: Dann, wenn einen Tankstellenbetrieb so und zu viele Liter Kraftstoff abgibt, dann ist man Bestandteil der kritischen Infrastruktur.

00:04:15: Also im Equivalent sind es fünfhunderttausend Menschen versorgt.

00:04:17: Wenn man fünfhundertausend Menschen mit dieser Anlage versorgt, Da gibt es eine Verordnung, die diese Schwellen festlegt.

00:04:25: Die ist auf Basis des alten BSI-Gesetzes erlassen worden.

00:04:29: Das gibt's aber seit Dezember zwanzig fünfundzwanzig nicht mehr.

00:04:33: Jetzt gibts das sogenannte Kritisdachgesetz.

00:04:36: Dach klingt so ein bisschen komisch.

00:04:38: in der Übersetzung wird häufig gesagt umbrella act also sozusagen ist dass was da drüber schwebt über allen Kritisregulierungen und steht eben drin.

00:04:49: Es gibt eine Verordnungsermächtigung der Gesetzgeber, die die zuständigen Behörden können hier bitte jetzt eine neue Verordnung erlassen um diese Schwellwerte zu definieren.

00:04:58: haben sie halt noch nicht gemacht.

00:05:00: entwurf ist vorhanden.

00:05:02: deswegen bsi kritis v e. für Entwurf aber gibt es noch nicht

00:05:10: gut batteriegroßspeicher felter drunter weil sie ab hundred vier megawatt als kritische infrastruktur gelten.

00:05:20: was ich immer noch mal interessant finde ist diese unterscheidung zwischen kritis betrachtet kritis denn jetzt ein unternehmen betrachtet es dem betreiber also das betreibende Unternehmen als kritisch kritisch sozusagen oder betrichtet es singulär die anlage was ja nachher in der Umsetzung oder in der praktischen Umsetzung von IT-Sicherheit unter umständen Riesenunterschiede macht.

00:05:53: Denn ich müsste ja vielleicht muss ich ein ISMS aufbauen, nämlich eins für den Betreiber beziehungsweise für das Unternehmen oder muss sich eins für dem Betreber und eins für die Anlage weil die An Lage als Singuläre zu betrachten ist.

00:06:09: Dann ist es so dass Batteriespeicherwelt meistens das Investment Objekte sind.

00:06:16: D.h.,

00:06:16: die haben sowieso eine einzelne Firma, die keinen Angestellten hat ein Special Purpose Vehikel SPV und d.h.

00:06:27: dass es irgendeine Rechtsform GmbH meistens und die hat nur diese eine Anlage und einen Geschäftsführer.

00:06:34: Das heißt wer ist denn dann da betreibbar und tut was?

00:06:38: Also auch diese Fragen Spannend.

00:06:41: und da stellt sich die Frage, was ist gemeint mit Kritis?

00:06:47: gilt für wen oder für was?

00:06:49: Ja.

00:06:49: Völlig richtige völlig spannende Frage weil zum BSI-Gesetz merken sich jetzt alle häufig das Stichwort Das gilt es für das Unternehmen Und zwar kommt das ein bisschen daher, weil es gibt ja auch den Cyber Resilience Act der für Produkte gilt.

00:07:05: und dann merken ist so die Grundmerkposition.

00:07:08: Cyber Resilliance Act gilt für Produkten und des BSI Gesetzes gilt es für das Unternehmen.

00:07:14: Ja aber im Kritis-Dachgesetz steht nichts von Unternehmen sondern da steht Betreiber einer kritischen Anlage und die Anforderungen gelten für die kritische Anlage.

00:07:24: also insofern muss man immer genau gucken in welchem Gesetz bin ich da denn gerade?

00:07:29: Im ENWG steht es nochmal anders, wie wird das reguliert?

00:07:33: Das ist gar nicht so trivial.

00:07:36: Und zentral für die Frage wer ist denn jetzt hier Betreiber?

00:07:41: also bei diesem SPV mit Null oder einem Person die da nur drin sind muss man sich nach dem Kritis-Dachgesetz fragen Wer hat einen bestimmenden Einfluss auf den Betrieb der Anlage?

00:07:55: Das ist eine Gesamtabwägung unter Rücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände.

00:08:02: Wer kann entscheiden, dass wir das aus- oder anschalten?

00:08:05: Und zwar final, ne?

00:08:06: Final, genau!

00:08:07: Wer trifft die relevanten Entscheidungen?

00:08:09: Wer sitzt an den Hebeln?

00:08:11: Wer könnte was machen?

00:08:12: Aber auch wer betreibt die technische Infrastruktur dahinter?

00:08:15: Wer betreibt das wirtschaftlich wird?

00:08:17: Wer geht da ins Risiko?

00:08:18: Wer kriegt den Gewinn?

00:08:20: Das ist alles so eine Gesamtabwägung.

00:08:22: Da kann man sagen ... unterschiedlich strukturieren und dann kommen völlig unterschiedliche Ergebnisse raus.

00:08:28: Wer ist denn jetzt hier Betreiber?

00:08:30: Das ist also was, das muss man sich im Einzelfall sehr genau anschauen.

00:08:34: Das ist besonders interessant daher die Konstrukte meistens so sind dass man eine Investmentgesellschaft hat oder mehrere einzelne Investoren die wiederum sind dann Gesellschafter des SPV.

00:08:49: Das SPV sucht sich einen Entwickler, der schon eine fertige oder eine Anlage in Planung hat, das heißt er hat sich darum gekümmert dass irgendwo eine Freifläche ist die einen Stromanschluss hat, die hat die Voranfragen gemacht.

00:09:04: kriegen wir den Netzanschluss und das heißt ich habe also den Projekt Entwickler Ich hab das SPV Dann wird meistens vom Projektentwickler eine Firma beauftragt.

00:09:16: Ein IPC, der macht also von Engineering über Procurement quasi Schlüsselfertige Bau und Planung der Anlage.

00:09:25: Und dann das SPW hat ja keine Mitarbeitenden.

00:09:29: Das heißt die betreiben das überhaupt nicht?

00:09:31: Das macht dann vielleicht tatsächlich nochmal ein Betreiber.

00:09:34: Das kann dann wiederum der IPC in der Verlängerung seines Vertrages sein, der das übernimmt weil er kennt die Anlage ja ... oder aber es ist ein eigener Betreiber, auch das gibt es.

00:09:47: Oder aber es sind dann noch mal die... Jetzt habe ich einen Faden verloren!

00:09:55: Also wir haben eine ganze Menge Rollen in... Ich glaube

00:10:00: die siebenswanzigste Beispiels-Konstellation brauchen wir jetzt auch nicht

00:10:02: um zu verstehen?

00:10:03: Wir haben ja eine ganze menge Rollen jedenfalls unter dem Stakeholder und das wo die Anlage quasi kein Mitarbeiter hat.

00:10:09: So und jetzt müssen wir uns nochmal klarmachen.

00:10:12: Also wer hat jetzt den bestimmenden Einfluss auf diese Anlage?

00:10:18: Gesamtabwägung rechtlich, wirtschaftlich tatsächlich und nach deiner Ausführung können das jetzt völlig unterschiedliche Personen sein.

00:10:24: Der Investor ist es natürlich meistens typischerweise nicht aber irgendjemand sonst in der Kette wird sein vielleicht auch mehrere gibt die Konstruktion gemeinsamer Betrieb.

00:10:37: Sowohl in der aktuellen CritisV steht das zu was drin als auch im Entwurf der neuen Critis V. Das muss man erst mal vorher für sich definieren, wer ist denn jetzt hier Betreiber?

00:10:51: Da gibt es keine Guidance Paper von der Bundesnetzagentur oder vom BSI und es hat ja dramatische Auswirkungen weil wenn ich Betreber bin, bin ich dafür verantwortlich dass dein ordentliches ISMS umgesetzt.

00:11:07: Und jetzt müssen wir uns nochmal klarmachen, wie besonders die Regeln für so ein Energiespeicher oder die Energiewelt hier insgesamt sind.

00:11:17: Weil normalerweise würde ich jetzt ins BSI-Gesetz schauen in dem Paragraf dreizig da steht was von den Risikomanagementmaßnahmen.

00:11:26: Da stehen ein paar konkrete Risikkomanagement Maßnahmen.

00:11:29: eben dem Absatz zwei Ich soll ordentlich schulen, ich soll für Backup sorgen und so weiter.

00:11:35: Da steht aber auch in dem Absatz eins, das muss insgesamt angemessen sein.

00:11:39: Um die Angemessenheit zu beurteilen, muss ich schauen was ist denn meine eigene Risiko-Exposition?

00:11:44: Wie wichtig bin ich denn wenn ich ausfalle für die Bevölkerung und so weiter?

00:11:50: Was sind eigentlich die Implementierungskosten für die Sicherheit?

00:11:53: Und da kann ich grundsätzlich erstmal mir selber Überlegungen machen ... und selber meine validen Überlegungen umsetzen.

00:12:02: Also ein Risikomanagement nach meinem Gusto, dass ich mir da ausdenke... Das muss nicht zwingend ein ISMS nach ISO-Siebendsundstausen eins sein!

00:12:12: Oder Grundschutz?

00:12:13: Oder ISE six zwei

00:12:15: vier drei... Genau

00:12:17: weil ich eben argumentieren kann in meiner spezifischen Risiko-Exposition bin ich zum Beispiel nicht so wichtig wie ein Krankenhaus oder ein großes Kraftwerk oder was weiß ich.

00:12:30: Sondern bin dann.

00:12:31: unter das BSI-Gesetz fällt ja vieles, auch verarbeitendes Gewerbe.

00:12:35: Da bin ich so ein kleiner produzierender Betrieb der da drunter fällt und kann eben Valide sagen Ich bin sehr klein.

00:12:40: Ich brauche hier gar nicht so massive Informationssicherheit Management Systeme.

00:12:44: Ich brauch die erst recht nicht extern zertifiziert und auditiert.

00:12:49: Aber Das ist alles nur die Einleitung um zu sagen wie es normalerweise läuft.

00:12:55: Jetzt haben wir eine ganz besondere Regel, die zwischen dem BSI-Gesetz und zwischen dem ENWG hängt.

00:13:03: Die verweist eben umfassend aufs das BSI Gesetz Verweist aufs EMWG und da steht drin dass die Bundesnetzagentur das Detaillierter in einem IT Sicherheitskatalog definieren kann.

00:13:17: was ist denn das Daniel?

00:13:19: Vielleicht noch einen Schritt davor.

00:13:21: Das Interessante ist ja, wer ist für das BSI-Gesetz zuständig in Ministerium?

00:13:26: Wer ist für den NWG zuständig Wirtschaftsministerium?

00:13:33: Das heißt da sind halt auch zwei verschiedene Welten.

00:13:36: also es geht der Übergang vom Vom BSI geht rüber zur Bundesnetzagentur, die das dann auslegt.

00:13:44: Und sie sagt halt ihr macht bitte den IT-Seekat.

00:13:48: Die letzte Version ist korrigier mich von im Jahr oder die aktuell Gültige und da ist auch wiederum viel Fluss in Bewegung.

00:13:58: Es gibt einen Entwurf einer neuen Version, die ist aber mit dem Jahr sollte auch im Oktober diesen Jahres eine neue Version kommen, ist aber noch nicht weder in der Konsultation noch irgendwie rausgegeben.

00:14:17: Das heißt aktuell gilt für einen Batteriegroßspeicher, mindestens für den Batterie-Großspeichern haben wir uns gerade drüber unterhalten in der Vorbereitung.

00:14:25: Gilt auf jeden Fall der ITC Card von

00:14:30: Genau, da muss man immer so ein bisschen wissen.

00:14:32: Weil der ist nach Paragraph elf ENWG erlassen worden.

00:14:35: das war die alte Regel dafür.

00:14:37: Das steht jetzt alles in fünf C, CDEF-ENWG aber es gilt eben aktuell noch steht jedenfalls so auf der Seite der Bundesnetzagentur.

00:14:48: sehr klar gilt dieser Alte ITC-Cut, wie wir coolen Leute sagen.

00:14:53: Wir sagen nicht Sicherheitskatalog.

00:14:55: Was sagt der uns?

00:14:56: Was sollen wir machen?

00:14:57: Der sagt implementiere ein Risikomanagement.

00:15:00: Der hat ein etwas interessantes Risikominagement.

00:15:03: Die haben einen so an die IEC six zwei vier drei drei angelehntes Pure Dur model eine Zonierung das heißt sie sagen in zoner eins zum beispiel sind die Skada-Systeme, die zur Steuerung der Anlage benötigt werden.

00:15:21: Steuersysteme Überwachungssysteme Zone one two three und innerhalb von zone one zwei drei darfst du kein Risiko akzeptieren das heißt da musst du eine Maßnahme gegensetzen.

00:15:33: und dann hast noch die zonen vier fünf sechs und das unterscheidet das von dem IEC Modell.

00:15:38: das hat glaube ich fünf oder sieben also eine mehr oder weniger Zonen.

00:15:45: Im Prinzip nimmt das Ganze die Einstufung, quasi die Schutzbedarfsfeststellung vorweg.

00:15:54: eine Komponente in meiner Anlage und wenn ich die in der Zone eins zuordne, dann gibt es so ein Beispiel.

00:16:00: Dann ist das Zone Eins und da habe ich eben keinerlei Ausfalltoleranz usw.

00:16:05: Das zweite was es sagt ist im Risikomanagement.

00:16:08: Ich hab nicht die Standard Schutzziele wie Verfügbarkeit, Vertraulichkeit, Integrität von Daten sondern ich hab auch noch die Energiebereitstellung beziehungsweise Einspeicherung mit.

00:16:20: drin ist eigentlich eine Erweiterung von Verfügbarkeit, aber das noch mal explizit genannt.

00:16:27: Und ansonsten habe ich die ISO-Youtube-Siebenzwanzig Eins beziehungsweise mit der Erweitarung von der Neunzehn für Energieanlagen.

00:16:35: Das heißt, ich muss diese Kontrolls betrachten und dann stand der Technik umsetzen?

00:16:42: Ja da dürfen wir jetzt nicht so schnell drüber gehen.

00:16:46: du sagst es ganz kurz am Ende deiner interessanten Auflistung.

00:16:49: Da steht, explizit verpflichtend drin.

00:16:52: Ich brauche ein Informationssicherheitsmanagement-System nach ISO-Zertifizieren, durch einen externen Auditor

00:17:00: geprüft.".

00:17:00: Ja innerhalb von zwei Jahren!

00:17:03: So und das ist eben fundamental anders zu dem was sonst im BSI Gesetz drinsteht?

00:17:08: Im BSI-Gesetz steht nie nirgendwo ausdrücklich drinnen du musst ISO-zertifiziert werden.

00:17:15: Da steht es aber drin Da gibt es keine Diskussionsmöglichkeit, da kannst du nicht von weggehen.

00:17:22: Das muss man den Energiespeicher-Anlagen Leuten mal so klarmachen.

00:17:27: Das ist ja kein Katalog der wurde nur geschrieben für Energiespreicher.

00:17:31: In dem Jahr zwei Tausend Achtzehn war diese Batteriespeichergeschichte überhaupt kein großes Ding.

00:17:38: Als das geschrieben wurde... Ja, also das macht ja alles was vom ENWG reguliert wird und was kritis ist nimmt das in den Blick.

00:17:47: Das heißt jemand der das geschrieben hat hatte genauso dem Betrieb eines großen Kraftwerks im blick wie eines im Vergleich dazu, vielleicht relativ klein und groß.

00:17:58: Das haben sie dargelegt in den ersten Absätzen von Speicher über Erzeugungsanlagen und da ist genau definiert also geht bis Kernkraftwerk.

00:18:10: Ja aber das muss man sich klar machen.

00:18:12: ja man hat da einen Katalog.

00:18:14: der wurde jedenfalls auch für Kernkraftwerke geschrieben.

00:18:20: Interessanterweise, er ist halt dafür, dass der Umfang ja so groß ist relativ kurz.

00:18:25: Also es sind ja nur ein paar Seiten und diese Konsolidationsfassung von Mitte letzten Jahres die ist noch kürzer.

00:18:33: da ist das Zonenmodell nämlich weggefallen und sie sagen einfach mehr oder weniger nur ISO-Siebenzwanzig Eins respektive neunzehn Ist auch okay.

00:18:43: ich fand das Zonenmodell ganz cool weil das halt diese Schutzbedarfsfeststellung deutlich vereinfacht und man gar nicht so viel Aufwand machen muss.

00:18:51: Es waren halt Beispiele drin, damit weiß ich die und die Komponente muss ich zu Zoner eins packen.

00:18:56: es gibt ja Graubereiche aber das hat das relativ pragmatisch schnell und einfach gemacht.

00:19:02: bisschen irritieren für manche die dann aus der aus dieser IEC six zwei vier drei ich musste immer aufpassen verwechseln mal die Nummern kommen weil die natürlich dieses sechs zwei vier Drei-Zonen Modell kennen oder kannten und dann zum Teil auch angewendet haben.

00:19:19: Und ja, fünf Zonen sind halt nicht

00:19:24: sechs.

00:19:25: Jetzt sage ich noch was Verwirrendes aber Gott sei Dank gut geregeltes aus juristischer Perspektive dazu.

00:19:32: Das ist jetzt eine ganze Menge und das steht nicht im BSI-Gesetz.

00:19:35: Jetzt könnte man die Hände über den Kopf zusammenschlagen sagen gelten jetzt die Pflichten aus dem BSI Gesetz denn doppelt?

00:19:40: jetzt nochmal für mich extra oben drauf?

00:19:44: Und dann ist Gott sei Dank klar geregelt, nein.

00:19:47: Das steht im Achtundzwanzig Absatz Fünf BSI Gesetz klar drin.

00:19:50: Wenn ich unter diesen Regeln nach fünf C ENWG Falle habe Ich fast keine sonstigen Pflichten aus dem BSI gesetzt.

00:19:59: also die wichtigen pflichten Paragraf dreißig Risikomanagement Diepflicht dass sich nach dem BSI-Gesetz Meldungen mache bei Sicherheitsvorfällen, diese Regel die sagt, die Geschäftsführung ist besonders verantwortlich.

00:20:12: Das gilt alles nicht für mich aus den BSI Gesetz.

00:20:17: es gibt aber vollständig entsprechende Regelungen dazu im ENWG nur dass dann eben die Meldung des Sicherheitsvorfalls gegenüber der Bundesnetzagent vorgemacht wird und nicht gegenüber dem BMI Und

00:20:32: übersleichen Portal.

00:20:34: Es stimmt über das gleiche Portal beim

00:20:36: BSI.

00:20:37: Beim BSI anders, ja das hat man.

00:20:40: irgendwann wird es wahrscheinlich besser geregelt aber da sieht man wie auch auf Behördenebene das auseinander zu frickelen eben gar nicht so einfach ist.

00:20:49: Ich

00:20:49: glaube dass das gut gereglt ist denn man hat ja da gesagt früher war's ja so dass man tatsächlich bei der Bundesnetze Agentur melden musste an der E-Mail Adresse und heute hat man das dann alles in einem Portal konsolidiert.

00:21:03: Also für den Anwender ist das ein echter Fortschritt, auch die ganze Meldung, die Initialmeldungen und so was... Ja, die Registrierung!

00:21:14: Das läuft alles zentral über das BSI-Portal wieder.

00:21:18: also da schließt sich der Kreis dann wieder nach hinten rein?

00:21:22: Da muss man sagen es ist die einzige Verpflichtung die sozusagen übrig geblieben Unternehmen bestehen.

00:21:34: Dann steht dafür die Registrierung, was muss ich da genau angeben?

00:21:38: Jetzt weil es so schön verwirrend ist, steht das dann für Kritisunternehmen nicht im BSI-Gesetz sondern eben auch in dem Kritisdachgesetz.

00:21:46: und da hatten wir uns schon mal Gedanken gemacht, weil da steht Ich soll kritische Komponenten angeben Das muss man aber Gott sei Dank stand jetzt Noch nicht.

00:21:57: Der Gesetzgeber hat eine Verordnungsermächtigung erlassen und die Behörden können also irgendwann sagen, dass man bestimmte kritische Komponenten... Das kann was weiß ich was sein von der IT-Infrastruktur, eine kritische komponente Also Router oder was weiß Ich Server Und das haben sie aber noch nicht in Verordnung definiert.

00:22:19: Da gibt es auch keine Entwürfe zu.

00:22:21: Also das kann man stand jetzt noch ignorieren Kann aber jederzeit In der Zukunft Irgendwann kommen.

00:22:28: Da muss man es auch schon haben.

00:22:29: Gut, im Prinzip also die Meldung macht ja durchaus Sinn und ich weiß aktuell so über die Verbandsarbeit das da auch EU-weit Bewegungen in Gange sind überhaupt zu erfassen.

00:22:41: was ist denn innerhalb so einer Anlage eine kritische Komponente damit man letztlich im Nachgang überlegen kann was brauchen wir darauf für Schutzmaßnahmen?

00:22:51: Und wo müssen wir wirklich drauf gucken?

00:22:53: nicht dass wir auf alles gucken an so ne Anlage Diese Verpflichtung, Asset Management zu betreiben die ergibt sich ja.

00:23:00: in der ISO automatisch aus der Notwendigkeit oder als Basis für das Risikomanagement, ohne dass ich weiß welche Assets.

00:23:08: Ich kann nicht daraus schließen, welche Risiken es gibt.

00:23:12: also insofern macht das durchaus Sinn.

00:23:15: Ich wollte noch mal auf einen Punkt zurück.

00:23:17: wenn ich hatte ja vorhin diese Rollen.

00:23:19: Das heißt, ich bin also Entwickler oder auch IPC und möchte sowas bauen.

00:23:25: was halt aus meiner Sicht relativ wichtig ist auch erlebe ist, dass das nicht eingeplant wird.

00:23:32: Welche Aufwände daraus entstehen so ein ISMS aufzubauen und das zu betreiben?

00:23:38: Und unter Umständen wir hatten es ja so Eingangs muss ich zwei ISMS bauen nämlich eins für die Firma wenn ich jetzt Betreiber bin und eins sozusagen und Eins sozusagen für die Anlage.

00:23:51: Ich muss den Scope jedenfalls festlegen und beides erfassen und manchmal macht das Sinn eben zwei getrennte.

00:23:58: Das macht großen Sinn, weil beispielsweise die Assets und die Risiken sind halt in der Firma.

00:24:05: In der Firma habe ich Office IT und in so einer Anlage habe ich kaum Office IT.

00:24:09: Und das heißt dann würde mein SMS wirklich groß werden und auch sehr undefiniert.

00:24:16: Ich hab nachher Schwierigkeiten, die Maßnahmen dann richtig zuzuordnen.

00:24:21: Meistens ist es ja auch so dass eine Anlage tatsächlich an ein sp wie gebunden ist was eine eigene legal entity ist.

00:24:29: das heißt die hat dann sowieso muss ja ein eigenes haben weil ich das vom scope her könnte ich natürlich als besitzer betreiber.

00:24:38: Das dann wieder runter setzen.

00:24:39: aber wenn nicht diese anlage dann sagen wir mal vielleicht nach drei vier jahren verkaufen will dann müsste ich diese beiden isms trennen.

00:24:46: auch da macht das keinen sinn,

00:24:48: Weil es von Anfang an als ein Investitionsobjekt gesehen wird häufig.

00:24:51: Das ist wirklich sinnvoll, dass dann...

00:24:54: Und wenn ich das mache?

00:24:56: Dann kann ich natürlich viele Komponenten vorlagen oder auch Methodik und Techniken einfach übernehmen in das Firmen-ESMS oder umgedreht.

00:25:06: Also wenn ich schon einen Firmen SMS habe, kriege ich natürlich relativ einfach Copy-Paste bestimmte Teile und muss sie dann so bisschen anpassen.

00:25:14: Aber der Aufwand ist schon enorm.

00:25:16: Das muss beim Procurement mitbetrachtet werden, wird es meistens nicht so in einer ersten Phase.

00:25:21: Er wird geguckt ja die Fläche kostet tausend Quadratmeter so und so viel Geld und so.

00:25:27: aber es wird vergessen dass da irgendwas um die hundertfünfzig zweihundert Mann Tage IT Sicherheitsaufbau und das ist ja nicht nur das ISMS seiner Dokumentation sondern das sind Procedures die beschrieben werden müssen.

00:25:41: wie mache ich denn Backup?

00:25:43: Ja Und dann muss ich das den Nachweis gegenüber dem Bundesnetzagentur erbringen.

00:25:52: Die Pflicht habe ich nicht aus dem BSI gesetzt, aber es gibt diese Pflicht.

00:25:56: Ich muss den nachweis darüber erbringen, dass also ... Aus einem ENWG gibts die dann?

00:26:01: Das kann ja nicht schlappern!

00:26:02: Also das muss ich mit berechnen von Anfang an.

00:26:05: und wenn ich den Nachweiß erbringen muss, dann muss sich auch alle Kosten berücksichtigen, die damit was zu tun haben inklusive des externen Auditors.

00:26:15: Der ist noch mit das Preiswerteste da

00:26:17: dran?

00:26:17: Ja, aber du hast zurecht darauf hingewiesen der handelsübliche ISO-Auditor, der noch nicht so viel mit Energieanlagen oder insbesondere den Energiespeichern zu tun hatte.

00:26:29: Der weiß ja vielleicht all den Klumpatsch, den wir jetzt gerade hier durchgesprochen haben, noch nicht und dem muss man das dann erst mal erklären bevor er

00:26:38: Ja, weil im Zweifel kommt er und sagt ja ihr hättet aber eine IEC hier implementieren müssen.

00:26:45: Das ist das eine und das zweite.

00:26:46: man kann auch nicht einfach den ISO-Zertifizierer nehmen sondern muss ein zugelassener vom BSI wiederum sein und der kostet noch mal extra.

00:26:57: Jetzt müssen wir eine Sache noch erwähnen dann wäre ich mit meinen Themen durch.

00:27:01: Das Kritisdachgesetz gibt auf Basis dieser CER Richtlinie, ja nochmal ganz eigene IT-Sicherheitsanforderungen vor die eben so im physischen Bereich bestehen.

00:27:15: Auch das ENWG hat da einen extra Paragrafen bei den Fünfern der darauf verweist und das ist ja heutzutage insbesondere spannend weil sozusagen Teile der kritischen Infrastruktur immer häufiger durch Drohnen in Bedrängnis geraten.

00:27:37: Das sind dann so Themen, die muss man da genauso berücksichtigen wie einen Virus oder ein Hacking-Angriff.

00:27:43: Tatsächlich ja nicht nur Drohnen, da kann man jetzt über feindlich gesinnte staatliche Akteure reden... Wenn man das mal guckt, wie viele Angriffe es auf Umspannenwerke gab.

00:27:55: Also die Umspannwerke sind häufig mit einem Maschendrahtzaun gesichert weil man ja vielleicht auch gesagt hat naja gut wer läuft in den Umspannewerk rein?

00:28:04: und er hat zwei Meter Fünfzig über sich.

00:28:06: ne ne zwanzig KV Mittelspannung oder eine Hoch- oder Höchstspannungsleitung und es gibt einen Überschlag und man ist gegrillt.

00:28:14: Gleichwohl laufen halt Leute rein und schmeißen Molotov-Cocktails oder schießen irgendwelche Drähte drüber, damit es ein bisschen funkt.

00:28:23: Die Angriffslage ist da gar nicht so selten.

00:28:26: tatsächlich.

00:28:26: also die... Es sind nicht nur die Drohnen lange Redeplätze sehen und es sind natürlich verschiedene Akteure, die da offensichtlich das Stromnet stören wollen.

00:28:38: Und das ist eine interessante Frage was muss ich denn da machen?

00:28:41: Ich habe vorhin gesagt Stammt der Technik?

00:28:44: Ja, was heißt denn Stammtertechnik?

00:28:46: ist das dann die VDS-Norm.

00:28:47: Also von dem Versicherern muss ich einen Zaun nach Sicherheitsstufe vier fünf machen.

00:28:53: Muss sich eine Kameraüberwachung haben, muss ich ein Untergrabeschutz haben Brauche ich Kameras, die auch Drohnen abdecken.

00:29:01: Jetzt

00:29:01: sind wir wieder bei den ganzen Kostenfragen, die man sich von Anfang an besser stellen sollte?

00:29:05: Das muss mit beim IPC sozusagen im Einkauf oder im Prokumentprozess berücksichtigt werden, dass das auch unter Umständen deutliche Kosten sind weil eben nicht eine Kamera sondern jeder Gang braucht eine Kamera vielleicht jede wesentliche Container.

00:29:23: Ich brauche eine sieben, vierundzwanzig Stunden Sicherheitsfirma die dann innerhalb von wenigen Minuten da ist.

00:29:30: Also da muss schon einiges auch physisch gemacht werden wobei viel ja auch wiederum ne Abwägungssache gemäß Risiko ist.

00:29:38: Ja klar!

00:29:39: Wir haben eine ISO-Siebenzwanzicht dahinter und die sagt mach Risikomanagement Da kann man jetzt mit dem Prüfer sich dann darüber schlagen, hätte da jetzt ein Untergrabeschutz reingemusst in den Zaun oder nicht.

00:29:55: Das ist schwierig in der praktischen Umsetzung wenn das nicht genau festgelegt ist was ich machen muss.

00:30:02: Die Risikoorientierung gibt mir Freiheiten.

00:30:04: auf der anderen Seite macht es mir schwierig dass ich dann irgendwas nachträglich im Zweifel einbauen muss Weil halt ein Prüfer das so sieht, dass das da hätte reingesollt.

00:30:16: Tja willkommen in meiner Welt!

00:30:18: Abstrakte Norm machen ist schwierig.

00:30:21: Willkommen mit meiner Welt

00:30:22: Aber darüber schneiden sich eben unsere Welten.

00:30:24: deswegen stand der Technik.

00:30:26: mein Fazit wäre Das ist wie viel es eigentlich gar nicht so kompliziert wenn man sich einmal genauer angeguckt auseinander klamüsert und mit einem Experten besprochen hat.

00:30:37: aber wenn man Da völlig neu reingeht in diese Materie und eigentlich denkt, es sind Batteriespeicher.

00:30:43: Die kommen die spießen wie Pilze aus den Boden und die sind wahnsinnig wichtig für die Energiewende usw.

00:30:49: Und da muss doch einfach Regeln für gelten ... Nee!

00:30:52: Diese Intuition ist falsch.

00:30:54: Man muss in verschiedene Gesetze gucken, man muss in diesen Sicherheitskatalog gucken.

00:30:57: Man muß komplexe Dinge auf dem Schirm haben und das am besten von Anfang an.

00:31:01: Teile davon gelten ja auch für die Kleinen also?

00:31:04: Ja.

00:31:07: Da ist dann nicht deswegen nur, weil man unterhundert vier Megawatt oder thirty-six megawatt präqualifizierte oder Schwadschaftfähigkeit ist.

00:31:16: Muss ich trotzdem Sachen erfüllen?

00:31:18: Ich muss vielleicht nicht die Zertifizierung nachweisen.

00:31:20: Wenn was passiert bin ich trotzdem haftbar!

00:31:23: Ja, völlig richtig.

00:31:25: Man kann um das auch einmal gesagt zu haben eine wichtige Einrichtung sein wenn man einen sehr kleinen Batteriespeicher betreibt.

00:31:33: Das steht so hinten in der Anlage zum BSI-Gesetz und da gibt es keine Schwellen die irgendwas in Megawatt ausdrücken.

00:31:40: Da gibt's die BSI Gesetzschwellen.

00:31:42: also fünfzig Mitarbeiter oder zehn Millionen Euro Jahresumsatz und zehn Millionen euro Jahresbilanzsumme.

00:31:48: Naja, Fünfzig Mitarbeiter hat das nie.

00:31:50: Also

00:31:51: ich hoffe wir haben ein bisschen Licht ins Dunkel gebracht wenn Fragen sind.

00:31:56: der Lutz freut sich über einen Anruf oder eine E-Mail ich mich auch und in dem Sinne sehen wir uns beim nächsten Stand der Technik.

00:32:04: vielen Dank fürs zuhören liken weiter empfehlen.

00:32:08: allen Kollegen sagen was für ein grandioser Talk Wir hier haben.

00:32:13: ein bester

00:32:14: Talk überhaupt.

00:32:15: Bester Talk!

00:32:16: Mit dem Karl-Laure, danke!

00:32:19: Danke, tschüss zusammen!

00:32:27: Tschü!