Betreiber von Energieversorgungsnetzen und Energieanlagen: Einsatz von Systemen zur Angriffserkennung online nachweisen

Leistungsbeschreibung

Als Betreiber von Energieversorgungsnetzen und von solchen Energieanlagen, die als Kritische Infrastruktur gelten, sind Sie verpflichtet, Systeme zur Angriffserkennung (SzA) einzusetzen. Diese müssen fortwährend Bedrohungen identifizieren und vermeiden. Sie müssen auch geeignete Maßnahmen zur Behebung für eingetretene Störungen vorsehen. Den Einsatz dieser Systeme müssen Sie seit dem 01.05.2023 mindestens alle 2 Jahre gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachweisen.

Um Ihre Informationstechnik vor Angriffen von außen zu schützen, müssen Sie organisatorische und technische Maßnahmen und Vorkehrungen treffen. Diese können Sie durch Sicherheitsaudits, weitere Prüfungen oder Zertifizierungen dokumentieren lassen. Im nächsten Schritt übermitteln Sie dem BSI mithilfe eines Nachweisdokuments die Ergebnisse der durchgeführten Prüfungen, einschließlich möglicher aufgedeckter Sicherheitsmängel.

Das BSI prüft anschließend, ob Ihre Vorkehrungen und Maßnahmen die gesetzlichen Anforderungen erfüllen. Das BSI kann die Nachreichung von weiteren Prüfungsunterlagen und bei Sicherheitsmängeln die Beseitigung der Mängel verlangen.

Energieversorgungsnetze und Energieanlagen sind elementar für das staatliche Gemeinwesen. Bei ihrem Ausfall oder ihrer Beeinträchtigung drohen Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen. Daher ist der regelmäßige Nachweis über den Einsatz von Systemen zur Angriffserkennung gesetzlich vorgeschrieben.

Teaser

Als Betreiber von Energieversorgungsnetzen und Energieanlagen, die als Kritische Infrastruktur gelten, müssen Sie Systeme zur Angriffserkennung (SzA) einsetzen. Dies müssen Sie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachweisen.

Verfahrensablauf

Sie können Ihre Nachweise online, per verschlüsselter E-Mail oder per Post einreichen. Um die Nachweise einzureichen, müssen Sie beim BSI als Betreiber von Energieversorgungsnetzen und/oder Energieanlagen registriert sein und über eine Betreiber-ID/Institutions-ID verfügen, die Sie bei der Registrierung erhalten haben.

Nachweise online einreichen:

• Um den Online-Dienst nutzen zu können, benötigen Sie ein ELSTER-Organisationszertifikat und ELSTER-Unternehmenskonto. 
• Rufen Sie das Bundesportal verwaltung.bund.de auf und füllen Sie den Online-Antrag aus.
• Laden Sie die geforderten Unterlagen hoch.
• Das KRITIS-Büro (Kritische Infrastruktur) des BSI prüft Ihre Angaben. Falls das KRITIS-Büro während der Prüfung Rückfragen hat oder Unterlagen nachfordert, meldet es sich per E-Mail bei Ihnen.
• Nach der formellen Prüfung sendet Ihnen das KRITIS-Büro per E-Mail eine Bestätigung und teilt Ihnen darin die Frist für Ihren nächsten Nachweis mit.

Nachweise per E-Mail einreichen:

• Laden Sie das Nachweisdokument KI* auf der Internetseite des BSI herunter
• Füllen Sie das Formular aus.
• Sie können das Formular entweder digital ausfüllen oder es zunächst ausdrucken und dann ausfüllen.
• Unterschreiben Sie das Formular.
• Senden Sie das Formular sowie Ihre Nachweisunterlagen per verschlüsselter E-Mail an das KRITIS-Büro des BSI. Zur Verschlüsselung verwenden Sie bitte das S/MIME-Zertifikat des KRITIS-Büros auf der Internetseite des BSI.
• Das KRITIS-Büro des BSI prüft Ihre Angaben. Falls das KRITIS-Büro während der Prüfung Rückfragen hat oder Unterlagen nachfordert, meldet es sich per E-Mail bei Ihnen.
• Nach der formellen Prüfung sendet Ihnen das KRITIS-Büro per E-Mail eine Bestätigung und teilt Ihnen darin die Frist für Ihren nächsten Nachweis mit.

Nachweise per Post einreichen:

• Laden Sie das Nachweisdokument KI* auf der Internetseite des BSI herunter.
• Sie können das Formular entweder digital ausfüllen und ausdrucken oder es zunächst ausdrucken und dann ausfüllen.
• Unterschreiben Sie das Formular und ergänzen Sie die notwendigen Nachweisunterlagen.
• Senden Sie Ihren Nachweis per Post an das KRITIS-Büro des BSI.
• Das KRITIS-Büro des BSI prüft Ihre Angaben. Falls das KRITIS-Büro während der Prüfung Rückfragen hat oder Unterlagen nachfordert, meldet es sich per E-Mail bei Ihnen.
• Nach der formellen Prüfung sendet Ihnen das KRITIS-Büro per E-Mail eine Bestätigung und teilt Ihnen darin die Frist für Ihren nächsten Nachweis mit.

Voraussetzungen

Sie sind als Betreiber von Energieversorgungsnetzen und/oder solchen Energieanlagen, die als Kritische Infrastruktur gelten, beim BSI registriert.

Welche Unterlagen werden benötigt?

• Nachweisdokument Kritische Infrastruktur (für Betreiber von Energieversorgungsnetzen und Energieanlagen, die als Kritische Infrastruktur gelten) KI*: Angaben zum Betreiber, zur geprüften Energieanlage oder zum geprüften Energieversorgungsnetz und zur Ansprechperson
• Nachweisdokument (Prüfung) P*: Angaben zur Prüfung. Es muss von einer zur Unterschrift berechtigten Person der prüfenden Stelle unterzeichnet sein. Es enthält folgende Angaben:
  • Abschnitt (Prüfdurchführung) PD: Angaben zur Durchführung der Prüfung
    • Anlage PD A: Beschreibung und grafische Darstellung des Geltungsbereichs der Prüfung
  • Abschnitt (Prüfergebnis) PE: Angaben zum Prüfergebnis und zu den aufgedeckten Sicherheitsmängeln
    • Anlage PE.A: Liste der Sicherheitsmängel inklusive Umsetzungsplan zur Behebung der Mängel
• Abschnitt (Angaben zur prüfenden Stelle und des Prüfteams) PS: enthält Angaben zur prüfenden Stelle und zum Prüfteam

Welche Gebühren fallen an?

Für das Einreichen der Nachweise beim BSI fallen keine Kosten an.

Rechtsgrundlage

• § 10 Absatz 1 Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz -BSIG)
• § 11 Absatz 1f Gesetz über die Elektrizitäts- und Gasversorgung (Energiewirtschaftsgesetz – EnWG)

Rechtsbehelf

entfällt

Was sollte ich noch wissen?

Es gibt keine Hinweise und Besonderheiten. 

Weiterführende Informationen

• Dokumente und Materialien zur Nachweiserbringung auf der Internetseite des Bundesamts für Sicherheit in der Informationstechnik
• Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung
• FAQ zum Einsatz von Systemen zur Angriffserkennung
• BSI-Leitfaden zur Einführung von Intrusion-Detection-Systemen
• S/MIME-Zertifikat des KRITIS-Büros auf der Internetseite des BSI

Urheber

Bundesamt für Sicherheit in der Informationstechnik (BSI)

• Nachweis über den Einsatz von Systemen zur Angriffserkennung für Betreiber von Energieversorgungsnetzen und Energieanlagen Überprüfung

Fachlich freigegeben durch

Bundesministerium des Innern und für Heimat (BMI)

Fachlich freigegeben am