Schweizer Energiewirtschaft stellt sich Cyberrisiken

In der Schweiz sind wir uns gewohnt, eine sichere Strom- und Wasserversorgung vorzufinden. Bislang wurde dies erreicht, indem etwa die Steuer- und Leitnetze strikt getrennt wurden von den IT-Netzen generell und vom Internet im Besonderen. Diese Abschottung ist je länger wie weniger möglich, da die IT immer mehr Einzug hält. Etwa sollen sogenannte Smart Grids dafür sorgen, dass Strom aus unregelmässigen Quellen wie Sonne und Wind, intelligent verteilt werden können.

Mit dem Einzug der IT erhöht sich auch der Druck auf die Energiewirtschaft, sich vermehrt auch der IT-Sicherheit zu widmen. In Deutschland ist etwa derzeit ein Gesetz geplant, welches von den jeweiligen Industrien einen Massnahmenkatalog einfordern wird, den sie dann vom Bundesamt für Sicherheit in der Informationstechnik (BSI) absegnen lassen müssen. Diese Massnahmen gelten dann als Ausformung des Gesetzestextes.

Auch in der Schweiz gibt es Bemühungen, die IT-Sicherheit in der Energiewirtschaft zu erhöhen. So hat der Bundesrat bereits Mitte 2012 die Nationale Strategie zum Schutz der Schweiz vor Cyber-Risiken (NCS)verabschiedet und gut knapp Jahr danach die Umsetzung der insgesamt 16 Massnahmen in einem Umsetzungsplankonkretisiert. Darin sind auch gesetzliche Anpassungen vorgesehen.

Auch die Energiewirtschaft selbst ist tätig. Wie Guido Lichtensteiger, Mediensprecher des Verband Schweizerischer Elektrizitätsunternehmen (VSE) gegenüber Computerworld berichtet, sei das Bewusstsein in der Branche schon seit längerem vorhanden. «Als Dachverband engagiert sich der VSE dafür, dass die Sensibilisierung weiter steigt», sagt er. Der VSE biete deshalb zu diesem Thema zum Beispiel einen Lehrgang an, in welchem es um organisatorische und technische Massnahmen im ICT-Bereich geht, berichtet Lichtensteiger. Darüber hinaus biete der Verband in Zusammenarbeit mit einem auf Datenschutz und Datensicherheit spezialisierten Beratungsbüro ein Asessement an.

Ausserdem hat der VSE die Branchen-Empfehlung ICT-Continuity erarbeitet. Darin werden den Betreibern konkrete Vorschläge gemacht, etwa das Erarbeiten einer Business-Impact-Analyse, die Erstellung einer ICT-Continuity-Strategie sowie der Überprüfung durch Tests. Nächste Seite: Ist die ISO-27'000-Zertifizierung die Lösung

In Deutschland wird derweil auch im Rahmen des Energiewirtschaftsgesetzt diskutiert, ob die Energieproduzenten und Netzbetreiber ISO-27'000 zertifiziert werden sollen. Damit würde die Strombranche längerfristig zu den sehr regulierungsintensiven Industrien wie Chemie und Pharma aufrücken.

Auch der VSE steht solchen Zertifizierungen durchwegs positiv gegenüber. «Grundsätzlich ist es sicherlich zweckmässig, bei der Zertifizierung eine Standardisierung anzustreben und so den Schutz vor Cyber-Risikien zu optimieren. Aufgrund der globalen Vernetzung macht es auch Sinn, die Erarbeitung, Um- und Durchsetzung dieser Standards auf internationaler Ebene anzustreben», ist Lichtensteiger überzeugt. Ob es die Norm ISO 27'000 sein werde, müsse sich noch zeigen. «Dafür ist die Norm noch relativ neu, theoretisch und enthält kaum Hilfen für die praktische Umsetzung, anderseits stehen wir in der Schweiz noch Mitten in der Diskussion, wie auch die erwähnten Massnahmen des Bundes zeigen. Im Verlauf dieser Diskussion wird sich zeigen, ob und welche Norm zur Anwendung gelangt», sagt Lichtensteiger.

Es bleibt zu hoffen, dass all diese Massnahme weiterhin zu einer sicheren Versorgung beitragen. Denn, was passiert, wenn unser Land tagelang, ja vielleicht sogar wochenlang keinen Strom hat, zeigt ein Video des Bundesamts für Bevölkerungsschutz (Babs) recht eindrücklich: