BDEW und VKU fordern „Cybersicherheit mit Augenmaß“

In einem Positionspapier legen die Verbände dar, warum sie den aktuellen Entwurf zum Cybersicherheitsgesetz ablehnen. Sie fürchten massive Bürokratie und Verzögerungen beim Netzausbau.

Das Thema Cybersicherheit bewegt die Energiewirtschaft und hier ganz besonders auch die Photovoltaik-Branche. Das Ziel, Sicherheit im Bereich kritischer Infrastruktur (KRITIS) zu gewährleisten, unterstützen ausdrücklich auch der Bundesverband der Energie- und Wasserwirtschaft (BDEW) und der Verband kommunaler Unternehmen (VKU). Trotzdem wenden sie sich mit einem Positionspapier gegen den Regierungsentwurf zum sogenannten NIS2-Umsetzungs- und Cybersicherheitsgesetz. Die Bundesregierung hat den Kabinettsentwurf am 30. Juli beschlossen, das Gesetz soll die NIS2-Richtlinie der EU umsetzen und die „Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“ gewährleisten.

Die beiden Verbände kritisieren, mit dem geplanten Gesetz würde das Prüfverfahren aus dem Telekommunikationssektor (im 5G-Netz) auf die Energieversorgung übertragen. Dieses Vorgehen sei ungeeignet: Während in der Telekommunikation „nur wenige Betreiber und Technologien betroffen sind, stehen in der Energieversorgung hunderte Unternehmen und tausende Komponenten im Fokus.“

Besonders bedenklich sei hierbei das mögliche rückwirkende Verbot bereits eingesetzter Komponenten. Das Prozedere für Anzeigepflicht und Prüfverfahren aus Paragraf 9b und Paragraf 41 des BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) soll auch im Energiesektor Anwendung finden. Hierbei müssen KRITIS-Betreiber dem Bundesinnenministerium Listen kritischer Komponenten übermitteln, die dann innerhalb von zwei Monaten geprüft werden. Gibt es Beanstandungen, aber noch keinen abschließenden Bescheid, verlängert sich das Verfahren jeweils um zwei Monate. Vor allem aber entfalten die Paragrafen dem Positionspapier von BDEW und VKU zufolge lediglich Duldungswirkung: Sobald dem Innenministerium neue Erkenntnisse über einen Hersteller von Komponenten vorliegen, kann demnach auch nachträglich der Weiterbetrieb jederzeit untersagt werden. Dies würde „tief in bestehende Systeme eingreifen, Investitionen entwerten und Projektverzögerungen nach sich ziehen. Zudem drohen durch das vorgesehene Anzeigeverfahren jährlich hunderttausende Verwaltungsakte ohne erkennbaren Sicherheitsgewinn“, erklären die beiden Verbände in einer Mitteilung.

Für besonders kritikwürdig halten BDEW und VKU auch den „nationalen Alleingang ohne gemeinsame Abstimmung auf europäischer Ebene sowie die drohende Marktverengung auf wenige Hersteller. Dies könnte Oligopole schaffen, die selbst ein Risiko für Versorgungssicherheit darstellen und zugleich steigende Preise sowie weniger Innovation bedeuten.“

Die Verbände fordern, Anzeigepflicht und Prüfverfahren aus den Paragrafen 9b und 41 BSIG zu streichen, mindestens aber an die Voraussetzungen der Energiewirtschaft anzupassen und gemeinsam mit der Branche klare Prüfverfahren zu entwickeln. Sie regen „Blacklists nicht vertrauenswürdiger oder Whitelists vertrauenswürdiger Hersteller“ an. Ferner solle es Bestandsschutz geben, also keine rückwirkenden Verbote ohne zwingende Sicherheitsbegründung; Maßnahmen zur Risikominderung sollen Vorrang haben.

Übergangs- und Klarstellungsregelungen sollen darüber hinaus eine klare Definition kritischer Komponenten, praktikable Fristen und Harmonisierung mit europäischen Standards gewährleisten. Nur eine einheitliche Regelung auf EU-Ebene könne „Wettbewerbsverzerrungen und steigende Energiepreise vermeiden. Nationale Alleingänge würden die internationale Wettbewerbsfähigkeit der deutschen Energiewirtschaft schwächen“.

Quelle