Kritische Infrastrukturen – Sicherheitsanforderungen an die Informations- und Kommunikationstechnik aus Sicht eines Versorgungsunternehmens

Zusammenfassung

Die zunehmende Digitalisierung führt zu hohen Anforderungen an die ICT-Sicherheit (ICT = Information and Communication Technology), vor allem im Umfeld kritischer Infrastrukturen. Energieversorger stellen mit ihrer Infrastruktur, ihren Netzen für Elektrizität, Gas, Wärme, Wasser und Kommunikation und ihren Anlagen zur Energieerzeugung, zum Datenaustausch, zur Abfallwirtschaft oder Beleuchtung das reibungslose Funktionieren des Lebens und Wirtschaftens in ihrem Versorgungsgebiet sicher. Auch sie wollen und müssen sich auf den Einzug der Digitalisierung in ihrem Metier einstellen, um den zuverlässigen Betrieb und höchste Versorgungsleistung zukünftig dauerhaft garantieren zu können. Vor allem der Wechsel von einer zentralen Erzeugung elektrischer Energie aus Großkraftwerken hin zu einer stark ansteigenden dezentralen, stark fluktuierenden Einspeisung von Strom aus erneuerbaren Energiequellen innerhalb des eigenen Territoriums treibt diesen Bedarf enorm voran. Das Erfassen von Informationen zur Erkennung von Versorgungsengpässen oder Störungen in den Anlagen ist alleine aufgrund der stark wachsenden Anzahl solcher Systeme – Solar- und Windanlagen, Mikro-BHKWs (BHKW = Blockheizkraftwerk) oder Wärmepumpen – absolut erforderlich. Im Bereich der Elektrizitätsversorgung werden insbesondere automatisierte Steuer- und Regelmechanismen zu implementieren sein, die in Sekundenschnelle regelbare Lasten – positive wie negative – zu- oder wegschalten bzw. regeln können. Die Betreiber der Übertragungsnetze, mit ihrer engen Kopplung an das Preisdiktat der Energiebörse, können die Stabilität des elektrischen Netzes physikalisch nur gemeinsam mit den Verteilnetzbetreibern gewährleisten und setzen dazu relativ träge Regelmechanismen ein (BDEW Kaskade – Kaskade des Bundesverbands der Energie- und Wasserwirtschaft (BDEW) gemäß Energiewirtschaftsgesetz (EnWG) zur Stabilisierung des Stromnetzes durch Einbeziehen der Verteilnetzbetreiber in die Verantwortung für das Lastmanagement). Erste Ansätze der Digitalisierung, die helfen können, die Regelung zu beschleunigen, sind bereits vorhanden – wie der Einsatz von Smart Metern oder die Fernabschaltung von EEG-Anlagen. Während das reine Erfassen von Informationen und Messdaten an Verbrauchsstellen oder Verteilstationen lediglich lesenden Zugriff bietet, wird der steuernde Eingriff in die Prozesse potenziellen Angreifern ein Ziel für Cyber-Attacken mit möglichen schwerwiegenden Folgen und Störungen für die Versorgung bieten.

Dieser Artikel beschreibt, welche Systeme und Komponenten im Territorium eines Energieversorgers zukünftig Angriffsziele sein könnten und welche Anforderungen sich daraus an die IT-Sicherheit ergeben. Die Autoren gehen weiterhin darauf ein, welche regulatorischen Hürden zu überwinden sind, um Systeme – wie Energiespeicher – und Verfahren – wie die Schaltung von Versorgungsabschnitten zu unabhängigen Versorgungsinseln (Inselbetriebsfähigkeit) im Ausnahmefall – wirtschaftlich vertretbar einführen zu können. Auf der Grundlage des „zellularen Ansatzes“ (Speh et al.: VDE study „The cellular approach“, VDE/ETG, Frankfurt, June 16, 2015) bereitet man sich in strategisch wichtigen Forschungsprojekten auf die Digitalisierung für eine sichere dezentrale Energieversorgung auf Basis regenerativer Energieerzeugung vor.

Abstract

Increasing digitalization requires advanced ICT security in particular in the field of critical infrastructures. Utility companies have to maintain and operate an infrastructure, which shall guarantee security of supplies to people, companies and organizations in their territory. Such infrastructure may comprise networks for electricity, gas, heat, water, fibre-optic communication and facilities for energy production, lighting, waste or waste water treatment. Like in all other sectors digitalization will penetrate every technical systems of said infrastructure driven by the demand for transparency and the need for more flexibility to grant reliable operation. The ongoing transition from a centralized production of electrical energy in large-scale power plants towards a highly increasing decentralized, strongly fluctuating feed-in of electricity from renewable energy sources requires automatic control of the various processes. Monitoring to detect and to react on events and defaults in the system will become mandatory. Measurement and automated process control mechanisms will be implemented to balance loads within seconds. Some ICT solutions have already found their way into the electrical grid such as On-Load-Tap-Changers (OLTC), smart meters or remote cut-off switching of micro power plants. In contrast to the benefits a higher number of ICT installations might provide hackers new opportunities to get unauthorized access. Monitoring or metering data (though read-only) might get misused or manipulated while active settings and switching of critical or safety relevant functions would lead to severe damage to utilities and their clients.

This paper describes the requirements to systems and components of utilities’ infrastructure which have to be upgraded in order to foster automation on the one hand and to fit the needs for security of supplies on the other. SWW is a municipal, highly innovative utility company and Distribution System Operator (DSO) that ensures supply of the metropolitan area of Wunsiedel and seven other municipalities serving also as a field test laboratory to demonstrate and qualify new technologies in said domain. For years, SWW and its subordinated service companies have been focusing on the consistent production, use and expansion of renewable energy and sustainable technologies. The main midterm energy goal of the city Wunsiedel and SWW is energy self-sufficiency by following the cellular approach according to VDE study (Speh et al.: VDE Study “The Cellular Approach”, VDE/ETG, Frankfurt, June 16, 2015). Digitalization and automation play a major role in this concept. The authors provide technical requirements to upgrade utilities infrastructure and propose changes to regulations which block the investment into relevant technologies or security measures. At the moment the basic developments described here are driven and sponsored by strategic research programs of the EU or national R&D funds.