26.03.2026 – Das Fraunhofer ISOB-AST hat in einer Studie eine Vorgehensweise für die Analyse von IT-Sicherheitsvorfällen entwickelt.
Die Bundesnetzagentur hat im Bereich des Energiesektors die Aufgabe, sogenannte energiesystemische Auswirkungsanalysen durchzuführen. In diesem Zusammenhang besitzt die verbindliche NIS-2-Richtlinie der EU zur Stärkung der Cybersicherheit eine wichtige Rolle. Das Fraunhofer IOSB-AST hat nun im Auftrag der BNetzA eine Studie entwickelt, wie Sicherheitsrisiken differenzierter bewertet und ihre Folgen für den Energiesektor eingeschätzt werden können. Bisher können eintreffende Meldungen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) nur grob bezüglich ihrer tatsächlichen Folgen für die IT-Sicherheit bewertet werden. Eine systemische Ableitung von Auswirkungen auf das gesamte Energiesystem sei demnach bislang kaum möglich. Damit die Sicherheitsvorgaben im Energiesektor eingehalten werden, arbeiten die BNetzA und das BSI eng zusammen.
Dreistufiges Bewertungsmodell
Das dreistufige Bewertungsmodell soll IT-Sicherheitsmeldungen kategorisieren, um Folgen für den Energiesektor gezielt einschätzen zu können. (Bild: Fraunhofer IOSB-AST)
Die Fraunhofer-Studie beinhaltet eine strukturierte Vorgehensweise für die energiesystemischen Auswirkungsanalysen. Sie beginnt bei einheitlicher Kommunikation und Datenformaten zwischen Stakeholdern wie Netz- und Anlagenbetreibern, Herstellern und Behörden. Sicherheitsmeldungen werden in der Studie klassifiziert und können auf Basis eines dreistufigen Bewertungsmodells mit ihren Folgen eingeordnet werden. Die Methodik orientiert sich am Cyber attack classification scale der ENTSO-E im Rahmen des Network Code on Cybersecurity (NCCS) der EU-Kommission und nutzt das Marktstammdatenregister als wesentliche Datengrundlage.
Im ersten Schritt werden die Angriffsart sowie betroffene Akteure umfasst. Es geht darum, erste Folgen in einer anfänglichen Bewertung (initiale Einstufung) zu identifizieren. Danach folgt die Voranalyse, bei der die Bewertung unter Berücksichtigung globaler Einflussgrößen verifiziert und verfeinert wird. Gegebenenfalls erfolgt in diesem zweiten Schritt eine neue Einordung der Meldung. Im abschließenden Teil – der Auswirkungsanalyse – kommen zusätzliche zentrale Betreiberkennzahlen hinzu, um systemische und wirtschaftliche Effekte abzubilden. Die aus der Analyse gewonnenen Ergebnisse und Begründungen werden im Anschluss an zuständige Stellen weitergegeben.
„Die Bedeutung der Energieversorgung für das tägliche Leben sowie für essenzielle Daseinsvorsorge-Aspekte, wie jüngst in Berlin deutlich wurde, erfordert eine sorgfältige Beobachtung der Auswirkungen auch von IT-Sicherheitsvorfällen auf die Versorgungssicherheit. Jeder Vorfall, der nicht umgehend analysiert wird, kann gravierende Konsequenzen für die Versorgung nach sich ziehen. Eine zeitnahe und systematische Analyse der Auswirkungen ermöglicht es den beteiligten Akteuren, im Ernstfall rechtzeitig zu handeln“, sagt Dr.-Ing. Dennis Rösch vom Fraunhofer IOSB-AST. Die von der BNetzA eingesetzte Logik zur globalen Risikobetrachtung kann nach Fraunhofer-Angaben auf nachgelagerte Ebenen von Netzbetreibern adaptiert und in lokale, operative Prozesse integriert werden. (cst)