BnetzA

Anforderungen an ISO 27001 Auditoren im Bereich Energieversorgung

Veröffentlicht amAutorKarl-Josef Schiffhauer

ISO 27001 Audit’s nach dem IT-Sicherheitskatalog der Bundesnetzagentur gemäß § 11 Abs. 1a Energiewirtschaftsgesetz (EnWG) dürfen nur von Auditoren durchgeführt werden, die an einer von der Bundesnetzagentur anerkannten Schulung erfolgreich teilgenommen haben.

Anforderung an Auditoren gemäß IT-Sicherheitskatalog nach § 11 Abs. 1a EnWG

Nachweis der Teilnahme an einer ISO 27001 Auditoren Schulung im Bereich EnergieversorgungDie grundlegenden Anforderungen an ISO 27001 Auditoren von Zertifizierungsstellen sind im Abschnitt 7.1 der ISO/IEC 27006:2015 geregelt. Zusätzlich zu diesen Anforderungen müssen die Auditoren im Bereich Energieversorgung bzw. Netzbetreiber eine von der Bundesnetzagentur anerkannte Schulung zu den Grundlagen der leitungsgebundenen Energieversorgung mit Strom und Gas erfolgreich absolvieren. Die erfolgreiche Teilnahme an der Schulung ist am Schulungsende im Rahmen einer Prüfung nachzuweisen.

Die Schulung muss einschließlich der Prüfung mindestens 6 Tage umfassen und die folgenden Themengebiete abdecken:

  • Rechtliche Rahmenbedingungen und Anforderungen in der Energiewirtschaft, insbesondere Unbundling
  • Technische Grundlagen der Strom- und Gasversorgung
  • Grundlagen für den Netzbetrieb
  • Netzsteuerung, Dispatching sowie
  • IT-Kritische Infrastrukturen für den Netzbetrieb und den Scope des ISMS nach dem IT-Sicherheitkatalog

Weitere Details können dem Konformitätsbewertungsprogramm zur Akkreditierung von Zertifizierungsstellen für den IT-Sicherheitskatalog gemäß § 11 Absatz 1a Energiewirtschaftsgesetz auf der Grundlage der ISO/IEC 27006, Stand: 13. April 2016, entnommen werden.

Unterstützung bei ISO 27001 Audit’s im Bereich Energieversorgung

SITACS verfügt über anerkannte ISO 27001 Auditoren mit der von der Bundesnetzagentur geforderten Qualifikation und arbeitet mit entsprechenden Zertifizierungsstellen zusammen. Gerne unterstützen wir Energieversorger bzw. Netzbetreiber bei der Zertifizierung nach ISO 27001 gemäß IT-Sicherheitskatalog nach Energiewirtschaftsgesetz und unterbreiten Ihnen gerne ein entsprechendes Angebot. Sprechen Sie uns an.

Rechtsverordnung Kritische Infrastrukturen veröffentlicht

Veröffentlicht amAutorKarl-Josef Schiffhauer

Die Rechtsverordnung Kritische Infrastrukturen wurde kürzlich vom Bundesministerium des Innern (BMI) als Entwurf zur Stellungnahme an die Länder und Verbände übermittelt und kann unter dem nachfolgenden Link abgerufen werden:

Von der Rechtsverordnung kritische Infrastrukturen betroffene Branchen

Rechtsverordnung Kritische Infrastrukturen vom BMI veröffentlichtBetroffen von der Rechtsverordnung kritische Infrastrukturen sind die folgenden Branchen bzw. Sektoren:

  • Energie
  • Informationstechnik und Telekommunikation
  • Ernährung
  • Wasser

In dem veröffentlichten Entwurf der Rechtsverordnung Kritische Infrastrukturen des BMI wurden erstmals Schwellwerte für die relevanten Anlagenkategorien der Sektoren (Energie, Informationstechnik und Telekommunikation, Wasser und Ernährung)  definiert, nach denen die Betreiber kritischer Infrastrukturen in den genannten Sektoren bestimmt werden können.

Es wird geschätzt, dass insgesamt 2.000 Unternehmen zu den eigentlichen Unternehmen mit kritischer Infrastruktur gehören.

IT-Sicherheitskatalog der BNetzA muss von den Netzbetreibern zusätzlich beachtet werden

Für die Strom- und Gasnetzbetreiber gilt jedoch nach wie vor das Energiewirtschaftsgesetz. Hier wurde im § 11 Abs. 1a festgelegt, dass diese den von der Bundesnetzagentur veröffentlichten  IT-Sicherheitskatalog beachten und umsetzen müssen. In dem Entwurf der Rechtsverordnung Kritische Infrastrukturen wird im Wesentlichen nur bestimmt, wer die Meldepflichten gegenüber dem BSI zu beachten hat.

Daher bleibt erst einmal alles beim Alten und die Netzbetreiber müssen den IT-Sicherheitskatalog der Bundesnetzagentur umsetzen und bis zum 31. Januar 2018 in Form einer ISO/IEC 27001 Zertifizierung nachweisen.

Die Einführung eines Information Security Management Systems (ISMS) sollte nicht unterschätzt werden. Neben der Erstellung von umfangreichen Dokumentationsunterlagen ist der Aufwand für die Erstellung des geforderten  Netzstrukturplans und dessen Abgrenzung sowie die Risikobehandlung nicht zu unterschätzen und sollte frühestmöglich in Angriff genommen werden.