(1)

Angesichts des Aufbaus einer CO2-emissionsarmen Wirtschaft befindet sich der europäische Energiesektor in einem entscheidenden Umbruch und muss gleichzeitig die Versorgungssicherheit und Wettbewerbsfähigkeit sicherstellen. Im Rahmen dieser Energiewende und der damit verbundenen Dezentralisierung der Stromerzeugung aus erneuerbaren Energiequellen, des technischen Fortschritts, der Sektorkopplung und der Digitalisierung wandelt sich das Stromnetz Europas zu einem „intelligenten Netz“. Dies geht jedoch auch mit neuen Risiken einher, da das Energiesystem aufgrund der Digitalisierung zunehmend der Gefahr von Cyberangriffen und anderen Vorfällen, die die Energieversorgungssicherheit beeinträchtigen können, ausgesetzt ist.

(2)

Angesichts der Verabschiedung aller acht Legislativvorschläge (1) des Pakets „Saubere Energie für alle Europäer“, bei denen auch das Governance-System für die Energieunion einen entscheidenden Bestandteil bildet, ist es nun möglich, ein günstiges Umfeld für den digitalen Wandel im Energiesektor zu schaffen. Zudem wird in dem Paket die Bedeutung der Cybersicherheit im Energiesektor hervorgehoben. So sieht insbesondere die Neufassung der Verordnung über den Elektrizitätsbinnenmarkt (2) die Verabschiedung technischer Bestimmungen für die Stromversorgung vor, darunter auch einen Netzkodex mit sektorspezifischen Regeln für Cybersicherheitsaspekte bei grenzübergreifenden Stromflüssen; dieser soll auch gemeinsame Mindestanforderungen sowie eine gemeinsame Planung, Überwachung, Berichterstattung und ein gemeinsames Krisenmanagement umfassen. In der Verordnung über die Risikovorsorge im Elektrizitätssektor (3) wird der in der Verordnung über die Sicherheit der Gasversorgung (4) gewählte Ansatz im Wesentlichen weiterverfolgt, wobei die Notwendigkeit betont wird, alle Risiken, auch im Zusammenhang mit der Cybersicherheit, angemessen zu berücksichtigen; zudem wird vorgeschlagen, Maßnahmen zur Verhütung und Minderung der ermittelten Risiken zu verabschieden.

(3)

In der 2013 angenommenen EU-Cybersicherheitsstrategie (5) der Kommission wird die Stärkung der Widerstandsfähigkeit der Union gegenüber Cyberangriffen als Priorität genannt. Einer der wichtigsten Bestandteile der Strategie ist die im Juli 2016 angenommene Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (6) (im Folgenden „NIS-Richtlinie“). Als erster sektorübergreifender EU-Rechtsakt für die Cybersicherheit erhöht die NIS-Richtlinie das Niveau der Cybersicherheit in der Union insgesamt; dazu ist vorgesehen, nationale Cybersicherheitskapazitäten aufzubauen, die EU-weite Zusammenarbeit zu stärken und bestimmte Unternehmen, die sogenannten „Betreiber wesentlicher Dienste“, zu verpflichten, für Sicherheit zu sorgen und sicherheitsrelevante Vorfälle zu melden. Die Meldung von Vorfällen ist in Schlüsselsektoren wie dem Energiesektor obligatorisch.

(4)

Bei der Umsetzung von Vorsorgemaßnahmen im Bereich der Cybersicherheit sollten die einschlägigen Akteure, darunter auch die im Rahmen der NIS-Richtlinie ermittelten Betreiber wesentlicher Dienste im Energiesektor, die sektorübergreifenden Leitlinien berücksichtigen, die von der gemäß Artikel 11 der NIS-Richtlinie eingesetzten Kooperationsgruppe für Netz- und Informationssicherheit entwickelt wurden. Die Kooperationsgruppe, der Vertreterinnen und Vertreter der Mitgliedstaaten, der Agentur der Europäischen Union für Cybersicherheit (ENISA) sowie der Kommission angehören, hat Leitlinien zu Sicherheitsmaßnahmen und zur Meldung von Vorfällen erarbeitet. Im Juni 2018 richtete die Gruppe zudem einen eigenen Arbeitsbereich für den Energiesektor ein.

(5)

In der 2017 vorgelegten gemeinsamen Mitteilung zur Cybersicherheit (7) wird die Bedeutung EU-weiter sektorspezifischer Erwägungen und Anforderungen, auch für den Energiesektor, hervorgehoben. Die Cybersicherheit und mögliche politische Maßnahmen wurden in den letzten Jahre in der Union umfassend diskutiert. Es besteht daher heute ein zunehmendes Bewusstsein dafür, dass einzelne Wirtschaftssektoren spezifischen Cybersicherheitsproblemen gegenüberstehen und daher im breiteren Kontext allgemeiner Cybersicherheitsstrategien ihre eigenen sektorspezifischen Ansätze entwickeln müssen.

(6)

Informationsaustausch und Vertrauen sind zentrale Elemente der Cybersicherheit. Die Kommission beabsichtigt daher, den Informationsaustausch zwischen den einschlägigen Akteuren zu verstärken und dazu gezielte Veranstaltungen zu organisieren, wie sie dies etwa mit dem Diskussionsforum mit hochrangigen Teilnehmern zur Cybersicherheit im Energiebereich vom März 2017 in Rom sowie mit der Konferenz mit hochrangigen Teilnehmern zur Cybersicherheit im Energiebereich vom Oktober 2018 in Brüssel bereits getan hat. Zudem möchte die Kommission die Zusammenarbeit zwischen einschlägigen Akteuren und spezialisierten Einrichtungen wie den Europäischen Zentren für den Informationsaustausch und Analysen im Energiesektor stärken.

(7)

In der Verordnung über die ENISA, die „EU-Cybersicherheitsagentur“, sowie über die Zertifizierung der Cybersicherheit von Informations- und Kommunikationstechnologien (im Folgenden „Verordnung zum Rechtsakt zur Cybersicherheit“ (8)) wird der Auftrag der EU-Cybersicherheitsagentur gestärkt, damit die Mitgliedstaaten bei der Bewältigung von Cybersicherheitsbedrohungen und -angriffen besser unterstützt werden. Gleichzeitig wird ein europäischer Cybersicherheitsrahmen für die Zertifizierung von Produkten, Verfahren und Dienstleistungen geschaffen, der in der gesamten Union gelten soll und insbesondere für den Energiesektor relevant ist.

(8)

Die Kommission hat eine Empfehlung (9) zu Cybersicherheitsrisiken im Zusammenhang mit Netztechnologien der 5. Generation (5G) vorgelegt, die Orientierungshilfen für eine angemessene Risikoanalyse und ein angemessenes Risikomanagement auf nationaler Ebene, die Einführung einer koordinierten europäischen Risikoanalyse und die Festlegung eines Verfahrens zur Entwicklung eines gemeinsamen Instrumentariums empfehlenswerter Risikomanagementmaßnahmen bietet. Nach ihrer Einführung werden 5G-Netze das Rückgrat einer Vielzahl von Diensten bilden, die für einen funktionierenden Binnenmarkt und wesentliche gesellschaftliche und wirtschaftliche Leistungen wie die Energieversorgung von entscheidender Bedeutung sind.

(9)

Die vorliegende Empfehlung wurde als nicht erschöpfende Leitlinie für die Mitgliedstaaten und einschlägigen Akteure, insbesondere die Netzbetreiber und Technologieanbieter, entwickelt, um angesichts der besonderen Echtzeit-Herausforderungen im Energiesektor, möglicher Kaskadeneffekte und der Kombination älterer und modernster Technologien die Cybersicherheit zu stärken. Diese Leitlinie soll die beteiligten Akteure dabei unterstützen, den besonderen Anforderungen im Energiesektor bei der Umsetzung international anerkannter Cybersicherheitsnormen (10) Rechnung zu tragen.

(10)

Die Kommission beabsichtigt, diese Empfehlung auf der Grundlage der in der gesamten Union erzielten Fortschritte in Konsultation mit den Mitgliedstaaten und einschlägigen Akteuren regelmäßig zu überprüfen. Die Kommission wird sich auch weiterhin dafür einsetzen, die Cybersicherheit im Energiesektor zu verbessern, insbesondere über die Kooperationsgruppe für Netz- und Informationssicherheit, die die strategische Zusammenarbeit und den Informationsaustausch zwischen den Mitgliedstaaten im Bereich der Cybersicherheit gewährleistet —

(1)

(2)

(3)

(4)

(5)

(6)

(7)

(8)

(9)

(10)

(11)

(12)

(13)

(14)

(15)