Teil 1- BDEW Sicherheitsanforderungen 2018: Was ist neu?

Bereits Anfang Mai veröffentlichte der BDEW (Bundesverband der Energie- und Wasserwirtschaft) zusammen mit OE (Oesterreichs Energie) eine von Grund auf überarbeitete Version des Whitepapers zum Thema „Anforderungen an sichere Steuerungs- und Telekommunikationssysteme“ und die zugehörigen Ausführungshinweisen.

Das neue Dokument ist ein Zusammenschluss der Sicherheitsanforderungen und ihren Ausführungshinweisen, die erstmalig in getrennten Dokumenten in 2007  und 2011 definiert wurden.

Welche Inhalte des neuen Whitepapers nun wirklich neu sind und welche lediglich umstrukturiert wurden, erfahren Sie als Energieversorger detailiert im Rahmen unserer mehrteiligen Beitragsserie.

In „Teil 1 – BDEW Sicherheitsanforderungen 2018: Was ist neu?“ erhalten Sie einen ersten groben Überblick über strukturelle Veränderungen des BDEW/OE Whitepapers.

Worum geht es in dem BDEW/OE Whitepaper?

Das BDEW/OE Whitepaper definiert Sicherheitsanforderungen für Systeme der Prozesssteuerung aus der Energieversorgung mit dem Ziel die vom Gesetzgeber geforderte Informationssicherheit gewährleisten zu können. Im Mittelpunkt stehen dabei die für die Prozesssteuerung notwendigen Einzelkomponenten und die daraus zusammengesetzten Systeme und Anwendungen.

Darüberhinaus werden Wartungsprozesse, die Projektorganisation und Entwicklungsprozesse informationssicherheitstechnisch behandelt.

Organisatorische Sicherheitsmaßnahmen wie sie für ein Informationssischerheitssystem (ISMS) gemäß ISO/IEC 27001 und ISO/IEC 27019 notwendig sind werden im BDEW/OE Whitepaper nicht behandelt. Dazu gehören beispielsweise die Einführung eines Risikomanagement oder die Sensibilisierung von Mitarbeitern.

An wen richten sich die BDEW/OE Sicherheitsanforderungen?

Die BDEW/OE Sicherheitsanforderungen sind Teil des neuen BDEW/OE Whitepapers. Die Sicherheitsanforderungen richten sich ausschließlich an Energieversorger.

Dabei werden insbesondere Energieversorgungsnetzbetreiber angesprochen, die Systeme zur Steuerung und Kommunikation im Kontext der Prozesssteuerung einsetzen.

Welchen Stellenwert haben die BDEW/OE Sicherheitsanforderungen?

Insbesondere Energieversorgungsnetzbetreiber sind seit Einführung des IT-Sicherheitsgesetzes dazu verpflichtet ein ISMS bis Januar 2018 einzuführen. Maßgeblich für die Umsetzung eines ISMS ist dabei der IT-Sicherheitskatalog sowie die Normen ISO/IEC 27000, 27001, 27002 und 27019.

Der IT-Sicherheitskatalog macht die Anwendung der genannten Normen verbindlich. Da die ISO/IEC 27019 die Sicherheitsmaßnahmen des BDEW/OE als zusätzliche Umsetzungsempfehlungen referenziert, sind sie für die Branche ebenso verbindlich.

Welche strukturellen Änderungen bringt die neue BDEW/OE Whitepaper Version?

In Teil 1 der neuen Beitragsserie „BDEW Sicherheitsanforderungen 2018: Was ist neu?“ werden zunächst die strukturellen Veränderungen des alten und neuen BDEW/OE Whitepapers betrachtet. Die inhaltliche Analyse beginnt ab Teil 2 unserer Beitragsserie.

Dokumente und Sprachen

Die Vorgängerversion des neuen BDEW/OE Whitpapers besteht aus zwei Dokumenten. Sicherheitsanforderungen sind getrennt von den Ausführungshinweisen veröffentlicht und aktualisiert worden. Das Dokument zu den Sicherheitsanforderungen ist zweisprachig, in Deutsch und Englisch, aufgebaut.

Die größte strukturelle Neuerung besteht darin, dass es fortan nur noch ein Dokument je Sprache gibt. Grundlage des neuen BDEW/OE Whitepapers sind die alten Ausführungshinweise (Version 1.1 11-2014).

Der Umfang des neuen Whitepapers ist gegnüber den alten Ausführungshinweisen um 16% geschrumpft. Ein Blick auf die Inhaltsstruktur soll Aufschluss geben welche Bereiche weggefallen oder gekürzt wurden.

Inhaltsstruktur

Grundsätzlicher Aufbau

Beide Versionen setzen den Sicherheitsanforderungen den Abschnitt „Anwendungshinweise“ voraus. In den zugehörigen Unterkapiteln unterscheiden sie sich ebenfalls nicht.

Die Sicherheitsanforderungen sind in Themenbereiche mit Unterkapiteln unterteilt. Jedes Unterkapitel ist tabellarisch in sich stets wiederholdende Sektionen unterteilt. Beiden Versionen gemeinsam sind die Sektionen „Sicherheitsanforderungen“, „Ergänzungen und Anmerkungen“ sowie Anmerkungen zu den drei Haupttechnologien „Betriebsführungs-/Leitsysteme und Systembetrieb“, „Übertragungstechnik/Sprachkommunikation“ und „Sekundär-, Automatisierungs- und Fernwirktechnik“.

Die alten Ausführungshinweise gaben zusätzliche Informationen dazu welche Betriebsbereiche (Produkt-/Systementwicklung, Systembetrieb, etc.) betroffen waren und machten zudem „Organisatorische Anmerkungen“. Beides entfällt im neuen BDEW/OE Whitepaper.

Der Anhang ist thematisch in beiden Dokumenten identisch.

Strukturelle Veränderungen

Die Inhaltsstruktur des neuen Whitepapers ist etwas grober als die alten Ausführungshinweise, da es mit einer Strukturhierarchie weniger auskommt.

In der neuen Version gibt es acht Themenbereiche. Die Bereiche „Projektorganisation“ und „Wartung“ gab es zwar zuvor namentlich nicht. Doch ihre Unterkapitel sind wohlbekannt.

Das Thema Dokumentation entfällt als eigener Bereich. Es findet sich dafür im Themenbereich „Allgemeine Anforderungen“ wieder. Die meisten der zuvor definierten Sicherheitsanforderungen sind in den Teil „Ergänzungen und Anmerkungen“ verlegt worden.

In den Unterkapiteln hat sich, wenn überhaupt, meistenteils die Bezeichnung etwas verändert.  Neue Unterkapitel dagegen sind „Nutzung von Cloud-Diensten“ und „Virtualisierungstechnologien“.

Wenn Sie sich selbst einen ersten Eindruck von den Unterschieden der Dokumentenstruktur machen möchten, dann lesen Sie den nächsten Abschnitt sorgfältig. Alle anderen Leser können gerne von hier aus direkt zum Abschnitt Zusammenfassung und Ausblick“ springen.

Textvergleich: Inhaltsverzeichnis

Bevor Sie sich den Vergleich des alten und neuen Inhaltsverzeichnis anschauen, empfehle ich zunächst die Funktionsweise des Textvergleiches nachzuvollziehen. Das nachfolgende Beispiel erklärt Ihnen Stärken und Schwächen des Textvergleichs.

Es folgt die Gegenüberstellung der Inhaltsverzeichnisse der alten und neuen Version der Sicherheitsanforderungen. Die den Sicherheitsanforderungen voran- und nachgestellten Kapitel wurden vom Vergleich ausgeschlossen, da sie thematisch identisch sind.

Zusammenfassung und Ausblick

Das neue BDEW/OE Whitepaper zum Thema „Anforderungen an sichere Steuerungs- und Telekommunikationssysteme“ ist deutlich übersichtlicher geworden.

Aus zwei Dokumenten wurde eines gemacht. Der Inhalt ist etwas grober strukturiert und damit vor allem im Inhaltsverzeichnis lesbarer geworden. Die Ausführungshinweise fallen im Allgemeinen schlanker aus, weil die „Organisatorischen Anmerkungen“ entfallen sind.

Wichtige Themen unserer Zeit wie die „Nutzung von Cloud-Diensten“ und „Virtualisierungstechnologien“ sind neu aufgenommen worden.

Anpassungen an gesetzliche Anforderungen wie die EU-Datenschutzgrundverordnung, das IT-Sicherheitsgesetz oder die EU-Cybersicherheitsrichtlinie (NIS-Richtlinie) werden ab Teil 2 unserer Beitragsserie „BDEW Sicherheitsanforderungen 2018: Was ist neu?“ deutlich werden.

xmera nimmt dann für Sie die Sicherheitsanforderungen im Einzelnen unter die Lupe und zeigt Ihnen dabei auf, was sich für Ihr ISMS ändert.