Die Bundesnetzagentur hat am 12. August einen Katalog von Sicherheitsanforderungen für die zum sicheren Betrieb der Energieversorgungsnetze notwendigen Telekommunikations- und elektronischen Datenverarbeitungssysteme veröffentlicht. Wir sagen Ihnen, was Sie beachten müssen.
Ziele des IT-Sicherheitskatalogs sind die Sicherstellung der Verfügbarkeit der zu schützenden Systeme und Daten, die Integrität der verarbeiteten Informationen und Systeme und die Gewährleistung der Vertraulichkeit. Zum Nachweis darüber, dass die Anforderungen des IT-Sicherheitskataloges korrekt umgesetzt wurden, haben die Betreiber von Energieversorgungsnetzen bis zum 31. Januar 2018 Zeit, ein Informationssicherheitsmanagementsystem (ISMS) gemäß DIN/IEC 27001 einzuführen und zu zertifizieren.
Energieversorger beziehungsweise Netzbetreiber müssen ihre Informations- und Kommunikationssysteme gegen Bedrohungen schützen - so will es der neue IT-Sicherheitskatalog. Foto: Phent - shutterstock.com
Hintergrund: Das IT-Sicherheitsgesetz
Zuvor war am 25. Juli 2015 das "Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme", kurz: IT-Sicherheitsgesetz, in Kraft getreten. Um den Schutz kritischer Infrastrukturen zu verbessern, sieht das IT-Sicherheitsgesetz eine Pflicht zur Einführung von technischen und organisatorischen Mindestmaßnahmen sowie Meldepflichten im Fall von Cyberangriffen vor. Diese Pflichten richten sich an die Betreiber kritischer Infrastrukturen (KRITIS). Für Betreiber von Energieversorgungsnetzen, die ebenfalls zu den KRITIS-Betreibern zählen, wurden im Rahmen des IT-Sicherheitsgesetzes auch Sondervorschriften im Energiewirtschaftsgesetz (EnWG) geändert. Schon im Rahmen der EnWG-Novelle von 2011 war die Verpflichtung ins Gesetz aufgenommen worden, für einen angemessenen Schutz gegen Bedrohungen der IKT, welche der Netzsteuerung dient, Sorge zu tragen. Den in § 11 Abs. 1 a EnWG enthaltenen Auftrag an die BNetzA, gemeinsam mit dem BSI einen IT-Sicherheitskatalog vorzulegen, hat diese nun erfüllt. Den Entwurf hierzu hatte die BNetzA bereits im Dezember 2013 vorgestellt.
Die wichtigsten CIOs der deutschen Energiebranche
Martin Hölz Ab 1. April 2020 wird Martin Hölz CIO der Energie Baden-Württemberg AG (EnBW) mit Sitz in Karlsruhe. Er löst Frank Krickel ab, der seit Juni 2017 die Position des Leiter der Funktionaleinheit Informationstechnologie (C-TI) innehatte und das Unternehmen auf eigenen Wunsch verlässt.
Damian Bunyan Damian Bunyan ist seit Januar 2016 CIO der E.ON-Abspaltung Uniper in Düsseldorf. In dem Unternehmen werden die E.ON-Bereiche konventionelle Stromerzeugung, Energiehandel und Exploration & Produktion gebündelt. Von 2006 bis 2013 war Bunyan Mitglied der Geschäftsführung des E.on Business Services.
Philip Lübcke Philip Lübcke ist seit September 2019 Geschäftsbereichsleiter IT der TEAG Thüringer Energie. Er berichtet an den Vorstand Personal und IT Wolfgang Rampf. Zuvor war Lübcke sechseinhalb Jahre lang CIO der Frankfurter Mainova AG. Insgesamt brint er 15 Jahre Erfahrung aus der Energiebranche mit.
Sebastian Weber Seit 1. Juli verantwortet Sebastian Weber als CTO bei Eon den IT-Betrieb. Er soll auch die digitalen Plattformen des Konzerns ausbauen. Zudem hat er gemeinsam mit Christopher d'Arcy in einer Doppelspitze die Geschäftsführung der IT-Tochter Eon Digital Technology GmbH übernommen. Beide berichten direkt an Digitalvorständin Victoria Ossadnik.
Jan-Wilm Buschkamp Jan-Wilm Buschkamp ist seit August 2019 Bereichsleiter IT der Mainova AG. Seitdem hat das Team um den CIO mit „hybrIT2023“ ein IT-Transformationsprogramm erarbeitet, um den Frankfurter Energieversorger zukunftsfähig zu machen. Ziel des Programms ist es unter anderem, mehr Wert zu generieren, das Unternehmen lean und agil aufzustellen sowie Prozesse end-to-end zu gestalten.
Oliver Herzog Zum 1. September 2023 übernimmt Oliver Herzog den CIO-Posten bei der Thüga. Seine Vorgängerin Annette Suckert scheidet altersbedingt aus dem Unternehmen aus.
Thorsten Steiling Thorsten Steiling ist seit Februar 2019 CIO Oerlikon Group & Managing Director Oerlikon IT Solutions AG. Er berichtet an Boris von Bieberstein, Head of Group Business Services. Zuvor war Steiling von September 2017 bis Januar 2019 CIO/Head of Corporate IT beim Automobilzulieferer Veritas AG in Gelnhausen.
Marcus Schaper Marcus Schaper ist CIO bei der neuen RWE-Tochter Innogy. Er kommt von der Mutter RWE. Er war zuvor Head of IT bei der RWE Supply & Trading. Schaper hat an der WWU Münster Wirtschaftsinformatik studiert und war seit dem Jahr 2000 bei McKinsey. Zu RWE kam er im April 2010. Bis zum Börsengang der neuen RWE-Tochter fungierte Schaper als CIO für beide Konzernteile, seitdem ist er CIO der neuen Tochtergesellschaft. Übergreifende IT-Aufgaben in der RWE AG werden derzeit von Winfried Bröring wahrgenommen.
Jan Leitermann Seit Juni 2017 ist Jan Leitermann Group CIO beim österreichischen Öl- und Erdgaskonzern OMV in Wien. Leitermann war zuvor Managing Director und Board Member beim Beratungsunternehmen Accenture AG Schweiz.
Jürgen Skirde Jürgen Skirde ist CIO der RAG. Gleichzeitig hat er die operativ ausgerichtete Funktion des IT-Leiters inne. Im Konzern arbeitet der Diplom-Ingenieur schon seit 1985 - zunächst zehn Jahre auf Bergwerken, seither im IT-Management. Unter anderem leitete er SAP-Einführungsprojekte, von 2004 bis 2011 war er für die Infrastruktur verantwortlich.
Jan-Hendrik Semkat Seit November 2017 ist Jan-Hendrik Semkat neuer Bereichsleiter Innovations- & IT-Management bei Natgas. Der gebürtige Oldenburger war mehrere Jahre in den Bereichen Softwareentwicklung, Projektmanagement und Beratung in der Energiewirtschaft tätig. Zuletzt war er Geschäftsführer der SIV Utility Services.
Jörg Ochs Jörg Ochs (51) hat am 2. September die Leitung der Informationstechnologie der Stadtwerke München (SWM) übernommen. Er berichtet an den technischen Geschäftsführer der SWM Helge-Uve Braun. Ochs ist bereits seit 2017 Geschäftsführer der SWM Infrastruktur GmbH, der SWM Infrastruktur Region GmbH und der RegioNetzMünchen GmbH. Insgesamt ist er bei der SWM seit 2003 beschäftigt, unter anderem als Senior-Manager IT-Security, Leiter IT-Security und Datacenter/Infrastruktur und als Leiter Telekommunikation bei der SWM Services GmbH.
Michael Seiferth Im Oktober 2021 hat Michael Seiferth die Geschäftsführung der N-Ergie IT übernommen. Vorgänger Klaus Vogl hat das Unternehmen verlassen.
Die Kernforderungen des IT-Sicherheitskataloges
Netzbetreiber müssen ihre IT-Systeme und Komponenten schützen, die der Netzsteuerung direkt dienen beziehungsweise unmittelbar Einfluss auf die Netzfahrweise nehmen. Hierzu zählen unter anderem die zentralen Netzleit- und Netzführungssysteme, steuerbare Welchselrichter und Rundsteueranlagen. Ausgenommen vom Katalog sind dagegen etwa kundenseitig installierte Messsysteme (diese sind im Übrigen schon vom BSI-Schutzprofil abgedeckt). Diese schutzbedürftigen Systeme eines Energieversorgungsnetzes sind in einem Netzstrukturplan zu erfassen und sodann eine individuelle Risikoanalyse durchzuführen. Der IT-Sicherheitskatalog stellt insoweit einen Mindeststandard dar, von dem nicht abgewichen werden sollte. Zusätzlich hat der Netzbetreiber insbesondere auch den allgemein anerkannten "Stand der Technik" in Bezug auf die Absicherung der jeweils eingesetzten Systeme zu beachten sowie die allgemeine IKT-Bedrohungslage und die spezifische Bedrohungslage für die eingesetzten Systeme zu berücksichtigen.
Wesentliche Bereiche der IT-Compliance
1. Informationsschutz zur Wahrung der Vertraulichkeit (insbesondere Zugriffsschutz, siehe § 9 BDSG)
2. Gewährleistung der technischen und organisatorischen Verfügbarkeit (insbesondere Notfall-planung und Wiederanlaufmöglichkeit durch Redundanz)
3. Schutz der Datenintegrität (Programmintegrität durch Change Management und Maßnahmen zur Erhaltung der Datenin-tegrität, z.B. Virenschutz)
4. Stabilität und Sicherheit der IT-Prozesse
5. Gewährleistung der physischen Sicherheit
6. Datenaufbewahrung und –archivierung
7. Mitarbeitermanagement im Hinblick auf IT-Sicherheit (Awareness)
8. Wirksames IT-Management durch alle Phasen (Plan-Do-Check-Act)
9. Kontrolle der ausgelagerten Bereiche (Outsourcing)
10. Materieller Datenschutz
Management der Informationssicherheit
Um hierbei richtig vorzugehen und die angemessenen Schutzmaßnahmen zu treffen, ist ein Informationssicherheitsmanagementsystems (ISMS) gem. ISO/IEC 27001 einzuführen, zu betreiben sowie zu zertifizieren. Teile des internationalen ISO 27001 Standards werden dabei durch ISO 27009 (ISMS für Netzleittechnik in der Energieversorgung) präzisiert. Den Netzbetreibern wird also ein etabliertes Managementsystem zur Seite gestellt, welches bei der Ermittlung des Schutzbedarfes und der Ableitung der notwendigen Maßnahmen hilft. Die BNetzA betont in diesem Zusammenhang zu Recht, dass zur Erreichung der vorstehenden Schutzziele ein ganzheitlicher Ansatz nötig ist, der kontinuierlich auf Leistungsfähigkeit und Wirksamkeit zu überprüfen und bei Bedarf anzupassen ist. Denn Informationssicherheit geht weit über IT- und Datenschutz hinaus und umfasst auch Bereiche wie HR etc.
Security Trends 2015
1. Exploit-Bekämpfung reduziert die Einfallstore für Kriminelle. Cyberkriminelle hatten in den vergangenen Jahren mehr oder weniger leichtes Spiel mit Microsoft Windows. Glücklicherweise hat der Konzern Exploits in letzter Zeit gezielt bekämpft, so dass Attacken immer schwieriger werden. Allerdings gibt es eine Kehrseite der Medaille, da viele Malwareentwickler sich nun wieder den Social-Engineering-Techniken zuwenden oder auf Nicht-Microsoft-Plattformen abzielen.
2. Internet-of-Things-Attacken haben sich von Machbarkeitsstudien zu Mainstream-Risiken entwickelt. 2014 mussten wir immer häufiger feststellen, dass Hersteller von Internet-of-Things-Geräten es oftmals verschlafen haben, grundlegende Sicherheitsstandards zu implementieren. Entsprechend sind Attacken auf diese Geräte absehbar und werden zudem umfassende Folgen haben. Die IT-Sicherheitsindustrie muss sich weiterentwickeln, um für dieses neue Thema Antworten zu finden.
3. Verschlüsselung ist mittlerweile Standard, aber darüber sind nicht alle glücklich. Dank häufig auftauchender Schlagzeilen in Sachen Spionagesoftware und Datenbankeinbrüchen hat sich die Verschlüsselung aller Daten schon fast zum Standard entwickelt. Das geht allerdings gerade großen Organisationen wie Strafverfolgungsbehörden oder Geheimdiensten gegen den Strich, da sie befürchten, dass diese „Heimlichtuerei“ die allgemeine Sicherheit gefährdet.
4. Sicherheitsrelevante Programmierfehler in weit verbreiteter Software blieben jahrelang unter dem Radar. „Heartbleed“ und „Shellshock” machen deutlich, dass weit mehr unsichere Code-Zeilen im Umlauf sind, als gedacht und sie werden seit vielen Jahren unbemerkt von einer großen Anzahl Computersystemen genutzt,. Entsprechend hat sich auch das Augenmerk der Hacker auf diese eher unauffälligen Programme gerichtet und 2015 sind vermehrt Attacken in diesem Bereich zu erwarten.
5. Gesetzliche Neuregelungen bringen mehr Verantwortung bei der Offenlegung von Daten und Haftung mit sich – vor allem in Europa. Die Mühlen der Gesetze mahlen im Vergleich zur Technologieentwicklung sehr langsam, aber dennoch treten 2015 einige gesetzliche Neuerungen in Kraft, die lange auf sich warten ließen. Es ist wahrscheinlich, dass diese Änderungen auch in anderen Bereichen mit einer progressiveren Datenschutzregulierung einhergehen.
6. Kriminelle schießen sich auf mobile Zahlungssysteme ein, halten aber gleichzeitig noch eine Weile an traditionellen Finanzbetrügereien fest. Nach der Ankündigung von Apple Pay waren mobile Zahlungssysteme eines der Topthemen der vergangenen Monate. Wie immer, wenn neue Systeme an den Start gehen, werden die Cyberkriminellen nach Lücken Ausschau halten. Da das aber aufgrund einiger sehr positiver Absicherungen nicht ganz einfach sein wird, dürfen wir davon ausgehen, dass die klassischen Onlinegaunereien mit Kreditkarten noch eine Weile weitergehen. Sie sind das bei weitem einfacherer für Betrug zu nutzen.
7. Die Lücke zwischen Sicherheitsaufgaben und geschultem Personal klafft immer weiter auseinander. Im gleichen Rahmen, wie Technologie immer mehr in unser tägliches Leben Einzug hält und einer der Stützpfeiler für die globale Wirtschaft wird, kommt das fehlende Know-how in Sachen Cybersicherheit zum Vorschein. Diese bedenkliche Entwicklung wird sowohl von Regierungen, als auch der Industrie konstatiert. Das Besetzen der nötigen Stellen kann Jahre dauern und ist somit ein echter Sicherheitsfaktor.
8. Breite “Serviceoffensive” für Attacken und Exploit-Kits, um mobile Plattformen anzugreifen. In den letzten Jahren hat sich ein neuer Trend bei den Cyberkriminellen durchgesetzt: das zur Verfügung stellen von Malwarepaketen, die keinerlei technisches Wissen voraussetzen und per Klick aktiviert werden können. Der rasante Anstieg bei mobilen Plattformen und der damit verbundene Austausch sensitiver Daten werden dazu führen, dass wir 2015 viele dieser Kits für Smartphone-Angriffe sehen werden. Gleiches gilt für Plattformen, die sich mit dem Internet of Things beschäftigen.
9. Die Lücke zwischen ICS/SCADA und Sicherheit in der realen Welt wächst weiter. Systeme wie Industrial Control Systems (ICS) und Supervisory Control and Data Acquisition (SCADA) hinken in Sachen Sicherheit üblicherweise zehn oder mehr Jahre hinter dem Mainstream her. Wir gehen davon aus, dass innerhalb der nächsten Jahre einige besorgniserregende Lücken aufgedeckt werden, die von Hackern auf breiter Front ausgenutzt werden.
10. Flexiblere Rootkit- und Bot-Fähigkeiten eröffnen neue Angriffsvektoren. Die Technologiesparte befindet sich zurzeit in einem grundlegenden Veränderungsprozess, in dessen Rahmen nun Plattformen und Protokolle abgeändert werden, die jahrelang als Standard dienten. Allein die Menge solcher Veränderungen der althergebrachten Technologiestandards wird viele alte Wunden aufreißen und neue Sicherheitslücken schaffen.
Compliance & der IT-Sicherheitskatalog
Bei ordnungsgemäßer Umsetzung des IT-Sicherheitskataloges wird nunmehr gesetzlich vermutet, dass der Netzbetreiber für einen angemessenen Schutz seiner netzsteuerungsdienlichen IKT gesorgt hat. Die BNetzA hat dennoch das Recht, die Einhaltung des IT-Sicherheitskataloges zu prüfen und gegebenenfalls Aufsichtsmaßnahmen anzuordnen.
Alle Betreiber eines Energieversorgungsnetzes sollten frühzeitig beginnen, die eigenen Schutzmaßnahmen kritisch zu hinterfragen und ein ISMS aufzubauen. Denn der Umsetzungszeitraum von etwas über zwei Jahren ist für die Einführung und Zertifizierung eines ISMS nach ISO 27001 knapp bemessen, jedenfalls wenn noch keine hinreichenden Vorerfahrungen vorhanden sein sollten. Hier kommt es sehr auf die "ISMS Readiness" an, also den eigenen (prozessualen und organisatorischen) Reifegrad. (fm)
12 Tipps für eine schlanke ISO 27001-Einführung
Fürsprecher in der Chefetage gewinnen Ein Managementsystem für die Informationssicherheit kann nur fruchten, wenn es auf allen Ebenen des Unternehmens eine wirksame Unterstützung erfährt. Deshalb sollte frühzeitig ein Schulterschluss mit der Geschäftsleitung herbeigeführt werden, indem sie aktiv in die Planungen zu ISO/IEC 27001 einbezogen wird.
Branchenspezifische Anforderungen In zunehmendem Maß entwickeln Branchenverbände Vorschriften für die Informationssicherheit, teilweise werden sie auch – wie etwa im Fall der Energieversorger – vom Gesetzgeber vorgegeben. Sie müssen zwingend in die Ausrichtung des ISMS einbezogen werden, sofern sie nicht sowieso bereits Bestandteil der eigenen Compliance sind.
Nicht nur ein Zertifikat besitzen wollen So wichtig gegenüber Kunden und Geschäftspartnern eine Zertifizierung als Ausweis der Informationssicherheit sein kann, so wenig liegt der eigentliche Wert in einer solchen Etikettierung. Vielmehr muss das ISMS zu einem integralen Element der Unternehmensorganisation werden.
Mit einer GAP-Analyse beginnen In der Regel bestehen bereits rudimentäre IT-Sicherheitsmaßnahmen. Mit einer GAP-Analyse finden Sie heraus, auf welchen von ihnen sich aufbauen lässt. Dadurch sinkt der Aufwand der Implementierung eines ISO-konformen ISMS erheblich.
Unrealistische Projektierungszeiten vermeiden Zu anspruchsvolle Ziele können bei einer ehrgzeigen Projektplanung auch kontraproduktiv sein. Umgekehrt wiederum kann sich bei einem zu langsamen Projektablauf das Engagement verlieren. Deshalb sollten Unternehmen die Balance zwischen der ambitionierten Ausrichtung und dem Machbaren versuchen zu wahren.
Schlanke Realisierungsmethoden nutzen Die Höhe des Einführungs- und Administrationsaufwands trägt wesentlich zur Akzeptanz eines ISO/IEC 27001-basierten ISMS auf den Managementebenen bei. Allein aus diesem Grund sollten ressourcen- und kostenschonende Lean-Methoden eingesetzt werden, ohne dass sie jedoch zu Kompromissen bei den Qualitätszielen zwingen.
Augenmaß bei der Komplexität Zwar muss den von der ISO-Norm geforderten Elementen einer Sicherheitsrichtlinie für das ISMS entsprochen werden. Aber in der Praxis hat sie mitunter einen Umfang von vielen Dutzend Seiten, der nicht praktikabel ist. Denn je komplexer sie ist, desto geringer ist die Bereitschaft, sich daran zu orientieren.
Keine standardisierte Policy anderer nutzen Jedes Unternehmen hat ein spezielles organisatorisches Profil und individuelle Sicherheitsbedingungen. Dementsprechend lässt sich eine Security-Richtlinie auch nicht aus einem nach unklaren Kriterien entwickelten Standard ableiten, auch wenn dies auf den ersten Blick eine erhebliche Aufwandsersparnis verspricht.
Ausufernde Dokumentationen vermeiden Ebenso ist es bei den ISO/IEC 27001-Dokumentationen hilfreich, sich an dem Prinzip „Think big, do small“ zu orientieren. Sie sollten inhaltlich die erforderliche Aussagekraft erlangen, sich dabei aber nicht in einer unnötigen Tiefe verlaufen.
Für ein breites ISMS-Verständnis sorgen Das Informationssicherheits-Managementsystem funktioniert letztlich nur so gut, wie es von allen Prozessbeteiligten akzeptiert wird. Deshalb sind Awareness-Maßnahmen notwendig, die der aktiven Mitwirkung dienen. Wikis und andere Aktivitäten können zum internen ISMS-Marketing gehören.
Geschäftsleitung in die Schulungen einbeziehen Erst wenn sich das Top-Management auch auf einer konkreten statt nur auf der abstrakten Ebene in dem Thema einfindet, wird es ein nachhaltiges Verhältnis für die Bedeutung eines ISMS entwickeln. Aus diesem Grund sollte es motiviert werden, zumindest partiell an den betreffenden ISO-Schulungen teilzunehmen.
Frühzeitig für eine KVP-Kultur sorgen In einem Kontinuierlichen Verbesserungsprozessen (KVP) werden die Sicherheitsmaßnahmen weiterentwickelt. Das verlangt auch ein organisatorisches Selbstverständnis, das über Schulungen hinauentwickelt werden muss.