Cybervorfälle im Energiesystem systematisch bewerten
Mit der zunehmenden Digitalisierung der Energieversorgung steigen auch die die Risiken für Cybervorfälle. Eine neue Studie im Auftrag der Bundesnetzagentur zeigt nun, wie sich IT-Sicherheitsvorfälle systematisch und über einzelne Anlagen hinaus bewerten lassen. Ziel ist es, Auswirkungen auf Netzbetrieb, Marktprozesse und Versorgungssicherheit frühzeitig zu erkennen und geeignete Gegenmaßnahmen fundierter abzuleiten.
Eine übergreifende Bewertung von Sicherheitsvorfällen im Netzbetrieb soll zur fr4ühzeitigen Erkennung neuer Gefahrpotenziale führen
Foto: Institutsteil Angewandte Systemtechnik AST des Fraunhofer IOSB
Die Energieversorgung in Deutschland ist zunehmend von digitalen Infrastrukturen abhängig. Netzsteuerung, Anlagenbetrieb und Marktprozesse basieren in weiten Teilen auf Informations- und Kommunikationstechnologien. Mit dieser Entwicklung wächst jedoch auch die Gefahr von Hackerangriffen. Und damit die Herausforderung, die Auswirkungen von Cybervorfällen auf die Versorgungssicherheit realistisch einzuschätzen.
Das Fraunhofer IOSB-AST hat daher nun eine im Auftrag der Bundesnetzagentur erstellte Studie vorgelegt, die methodische Grundlagen für eine systemische Folgeabschätzung von IT-Sicherheitsvorfällen im Energiesektor entwickelt. Ziel ist es, über die bisherige Betrachtung einzelner Vorfälle hinauszugehen und deren potenzielle Auswirkungen auf das gesamte Energiesystem zu analysieren.
Ausgangspunkt ist eine regulatorische Weiterentwicklung: Mit der Umsetzung der europäischen NIS-2-Richtlinie erweitert sich der Aufgabenbereich der Bundesnetzagentur, unter anderem um die Durchführung energiesystemischer Auswirkungsanalysen. Bislang ermöglichen Meldungen über das Portal des Bundesamts für Sicherheit in der Informationstechnik vor allem eine erste, eher grobe Einschätzung von Sicherheitsvorfällen. Eine umfassende Bewertung systemischer Effekte – etwa auf Netzstabilität oder Marktprozesse – war dagegen nur eingeschränkt möglich. Die Studie adressiert genau diese Lücke. Sie entwickelt eine strukturierte Vorgehensweise, die unterschiedliche Akteure – von Netzbetreibern über Anlagenbetreiber bis hin zu Herstellern und Behörden – in eine einheitliche Daten- und Kommunikationsstruktur einbindet. Damit sollen Sicherheitsmeldungen künftig nicht nur isoliert erfasst, sondern in ihrem systemischen Kontext bewertet werden können.
Cybervorfälle: Dreistufiges Modell für Risiko- und Folgenabschätzung
Kern der Studie ist ein dreistufiges, risikobasiertes Bewertungsmodell. Es umfasst zunächst die strukturierte Erfassung eines Vorfalls, einschließlich Angriffsart, betroffener Akteure und erster Auswirkungen. In einer anschließenden Voranalyse werden diese Informationen verifiziert und unter Berücksichtigung externer Einflussfaktoren weiter präzisiert. Die finale Auswirkungsanalyse bezieht zusätzliche Kennzahlen mit ein, um systemische und wirtschaftliche Effekte abzubilden.
Die Methodik orientiert sich dabei an bestehenden europäischen Ansätzen, insbesondere an Klassifikationsmodellen der europäischen Übertragungsnetzbetreiber im Rahmen des Network Code on Cybersecurity. Gleichzeitig nutzt sie nationale Datenquellen wie das Marktstammdatenregister, um betroffene Anlagen eindeutig zu identifizieren und deren Bedeutung im Energiesystem einzuordnen. Ein zentrales Ziel besteht darin, Wechselwirkungen sichtbar zu machen. Cybervorfälle können sich entlang der energiewirtschaftlichen Wertschöpfungskette ausbreiten – von einzelnen Anlagen über Netzebenen bis hin zu Marktprozessen. Die systemische Analyse soll solche Kaskadeneffekte frühzeitig erkennen und eine fundierte Grundlage für Gegenmaßnahmen schaffen.
„Jeder Vorfall, der nicht umgehend analysiert wird, kann gravierende Konsequenzen für die Versorgung nach sich ziehen. Eine zeitnahe und systematische Analyse der Auswirkungen ermöglicht es den beteiligten Akteuren, im Ernstfall rechtzeitig zu handeln“, erklärt Dr.-Ing. Dennis Rösch vom Fraunhofer IOSB-AST.
Umgang mit Sicherheitsvorfällen in der Energiebranche
Darüber hinaus ist vorgesehen, die entwickelte Methodik nicht nur auf Ebene der Bundesnetzagentur anzuwenden. Sie lässt sich laut Studie auch von nachgelagerten Akteuren adaptieren und in operative Prozesse integrieren. Das ermögliche eine konsistente Risikobewertung entlang der gesamten Energieinfrastruktur. Die Ergebnisse sollen damit damit eine Grundlage für die Weiterentwicklung des Umgangs mit IT-Sicherheitsvorfällen im Energiesektor liefern.
