Source: https://xmera.de/isms-lawbook/
Timestamp: 2018-12-16 11:42:13
Document Index: 357753859

Matched Legal Cases: ['§ 11', '§ 7', '§ 14', '§ 8', '§ 11', '§ 8', '§ 14', 'Art. 1', '§ 8', '§ 8', 'Art. 1', '§ 8', '§ 8', '§ 8', '§ 10', '§ 3', '§ 10', '§ 8', '§ 8', '§ 8', '§ 11', '§ 8', '§ 11', '§ 8', '§ 8', '§ 11', '§ 8', '§ 8', '§ 8', '§ 8', '§ 8', '§ 8', '§ 11', '§ 291', '§ 291', '§ 291', '§ 291', '§ 291', '§ 291', '§ 291', '§ 291', '§ 7', '§ 7', '§ 8', '§ 8', '§ 8', '§ 8', '§ 11', '§ 7', '§ 7', '§ 8', '§ 8', '§ 8', '§ 8', '§ 8', '§ 36', '§ 14', '§ 14', '§ 8', '§ 10', '§ 8', '§ 10', '§ 8', '§ 8', '§ 36', '§ 36', '§ 14', '§ 11', '§ 11', '§ 11', '§ 11', '§ 11', '§ 11', '§ 11', '§ 11', '§ 7', '§ 7', '§ 11', '§ 3', '§ 2', '§ 3', '§ 2']

xmera : lawbook - gesetzliche Bestimmungen zur IT-Sicherheit | xmera
Home / Xmera Lawbook
Eine Zusammenstellung gesetzlicher Bestimmungen zur Informationssicherheit für Energieversorger.
Das Energiewirtschaftsgesetz regelt die Versorgung der Allgemeinheit mit Strom und Gas.
Es trat erstmals am 13. Dezember 1935 in Kraft und wurde seitdem mehrfach novelliert.
Im Kontext der Informationssicherheit ist Teil 3 Regulierung des Netzbetriebes, Abschnitt 1 Aufgaben der Netzbetreiber, § 11 Betrieb von Energieversorgungsnetzen besonders relevant.
Diskriminierungsfeier Betrieb eines sicheren, zuverlässigen und leistungsfähigen Energieversorgungsnetzes
Betreiber von Energieversorgungsnetzen und Energieanlagen
Absatz (1a) – Betreiber von Energieversorgungsnetzen:
Pflicht zur Umsetzung und Dokumentation von Sicherheitsanforderungen zum Schutz von Systemen der Informations- und Kommunikationstechnik (IKT) mit dem Ziel ein sicheres Energieversorgungsnetz gewährleisten zu können. Die Einhaltung kann von der Bundesnetzagentur regelmäßig überprüft werden.
Absatz (1b) – Betreiber von Energieanlagen:
KRITIS Unternehmen (gem. BSI-KritisV), die an ein Energieversorgungsnetz angeschlossene Energieanlagen betreiben, müssen ebenfalls entsprechende Sicherheitsanforderungen umsetzen und dokumentieren. Die Einhaltung kann von der regelmäßig Bundesnetzagentur überprüft werden. Fallen die Anlagen unter § 7 Absatz 1 des Atomgesetzes, so haben die darin enthaltenen Vorgaben Vorrang.
Absatz (1c) – Betreiber von Energieversorgungsnetzen und von Energieanlagen (wie in 1b):
Pflicht zur Meldung von Störungen über eine Kontaktstelle an das Bundesamt für Sicherheit in der Informationstechnik. Es müssen solche Störungen gemeldet werden, die die
der IKT verletzt haben, so dass es zu einem Ausfall oder einer (erheblichen) Beeinträchtigung der Energieversorgung gekommen ist oder noch kommen könnte.
Absatz (2) – Betreiber von Energieversorgungsnetzen:
Veröffentlichungs-, Mitteilungs- und Dokumentationspflicht von Spitzenkappungen in der Netzplanung.
Absatz (3) – Betreiber von Übertragungsnetzen:
Regelung zur Anschaffung besonderer netztechnischer Betriebsmittel.
Absatz (4) – Betreiber von Energieversorgungsnetzen:
Regelung zur Haftung für Sach- und Vermögensschäden, die ein Kunde durch Beeinträchtigungen der Energieversorgung erleidet.
30. November 2015: Bennenung eines Ansprechpartners IT-Sicherheit,
31. Januar 2018: Nachweis über die Umsetzung der Sicherheitsanforderungen nach IT-Sicherheitskatalog (Vgl. IT-Sicherheitskatalog , S. 16).
keine, da § 14 BSIG wegen § 8d BSIG nicht anwendbar.
IT-Sicherheitskatalog gemäß § 11 Absatz 1a EnWG der Bundesnetzagentur, Stand: August 2015
Ansicht der vollständigen Historie
Das BSIG ist am 20. August 2009 in Kraft getreten.
Es regelt die Aufgaben und Befugnisse des Bundesamt für Sicherheit und Informationstechnik (BSI).
Aufgabe des BSI ist, die Sicherheit der Informationstechnik zu fördern.
Im Rahmen der Informationssicherheit für Strom- und Gasnetzbetreiber sind die §§ 8a, 8b, 8d und 14 besonders interessant.
Regelung der Nachweispflicht für KRITIS über die Einhaltung von IT-Sicherheit nach dem Stand der Technik.
Betreiber Kritischer Infrastrukturen (KRITIS) nach BSI-KritisV
Absatz (1) – Betreiber Kritischer Infrastrukturen:
Pflicht zur Umsetzung technischer Vorkehrungen, um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der IKT der Kritischen Infrastrukturen zu vermeiden.
Absatz (2) – Betreiber Kritischer Infrastrukturen und ihre Branchenverbände:
Vorschlagsrecht für branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1.
Absatz (3) – Betreiber Kritischer Infrastrukturen:
Nachweispflicht zur Erfülllung der Sicherheitsanforderungen.
Absatz (4) – Bundesamt:
Recht zur Überprüfung der Sicherheitsanforderungen bei Betreibern Kritischer Infrastrukturen.
Absatz (5) – Bundesamt:
Recht zur Festlegung von Anforderungen an die Verfahrensweise von Sicherheitsaudits, Prüfungen und Zertifizierungen.
2. Mai 2018: Umsetzung und Nachweis von Sicherheitsmaßnahmen zur Einhaltung von IT-Sicherheit nach dem Stand der Technik,
ab 2. Mai 2020: alle zwei Jahre Nachweis von Sicherheitsmaßnahmen zur Einhaltung von IT-Sicherheit nach dem Stand der Technik.
Geldbußen bis zu 100.000,- € bei ordnungswidrigem Handeln (Vgl. § 14 BSIG).
Art. 1 Gesetz zur Umsetzung der NIS-Richtlinie
§ 8a BSIG
Umbenennung von Absatz (4) in Absatz (5), Neueinführung von Absatz (4) - Recht für das Bundesamt zur Überprüfung der Sicherheitsanforderungen bei KRITIS.
§ 8a BSIG vom 30. Juni 2017
(3) Die Betreiber Kritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen nach Absatz 1 auf geeignete Weise nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt eine Aufstellung der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann bei Sicherheitsmängeln verlangen: 1. die Übermittlung der gesamten Audit-, Prüfungs- oder Zertifizierungsergebnisse und 2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel. (3) Die Betreiber Kritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen nach Absatz 1 auf geeignete Weise nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen.
(4) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Sicherheitsaudits, Prüfungen und Zertifizierungen nach Absatz 3 Anforderungen an die Art und Weise der Durchführung, an die hierüber auszustellenden Nachweise sowie fachliche und organisatorische Anforderungen an die prüfende Stelle nach Anhörung von Vertretern der betroffenen Betreiber und der betroffenen Wirtschaftsverbände festlegen. (5) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Sicherheitsaudits, Prüfungen und Zertifizierungen nach Absatz 3 Anforderungen an die Art und Weise der Durchführung, an die hierüber auszustellenden Nachweise sowie fachliche und organisatorische Anforderungen an die prüfende Stelle nach Anhörung von Vertretern der betroffenen Betreiber und der betroffenen Wirtschaftsverbände festlegen.
Art. 1 IT-Sicherheitsgesetz
Ersteinführung des Paragraphen mit den Absätzen (1) - (4).
§ 8a BSIG vom
(2) Betreiber Kritischer Infrastrukturen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Das Bundesamt stellt auf Antrag fest, ob diese geeignet sind, die Anforderungen nach Absatz 1 zu gewährleisten. Die Feststellung erfolgt 1. im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, 2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde.
(3) Die Betreiber Kritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen nach Absatz 1 auf geeignete Weise nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt eine Aufstellung der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann bei Sicherheitsmängeln verlangen: 1. die Übermittlung der gesamten Audit-, Prüfungs- oder Zertifizierungsergebnisse und 2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel.
(1) - (4) waren vor der Gesetzesänderung nicht vorhanden. (4) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Sicherheitsaudits, Prüfungen und Zertifizierungen nach Absatz 3 Anforderungen an die Art und Weise der Durchführung, an die hierüber auszustellenden Nachweise sowie fachliche und organisatorische Anforderungen an die prüfende Stelle nach Anhörung von Vertretern der betroffenen Betreiber und der betroffenen Wirtschaftsverbände festlegen.
Regelung der Meldepflicht für KRITIS bei Störungen der IT-Sicherheit von IKT Systemen, Komponenten oder Prozessen
Absatz (1) – Bundesamt:
Bundesamt ist zentrale Meldestelle für KRITIS.
Absatz (2) – Bundesamt:
Befugnisse des Bundesamates als Meldestelle.
Benennung einer Kontaktstelle für das Bundesamt.
Absatz (4) – Betreiber kritischer Infrastrukturen:
Differenzierung der meldepflichtigen Störungen und Inhalte der Störungsmeldung.
Absatz (5) – Betreiber kritischer Infrastrukturen:
Möglichkeit zur Benennung von gemeinsamen übergeordneten Ansprechstellen für Sektoren.
Absatz (6) – Hersteller von IT-Produkten:
Mitwirkungspflicht bei der Beseitigung oder Vermeidung von Störungen.
Absatz (7) – Bundesamt und Betreiber Kritischer Infrastrukturen:
Einhaltung des Bundesdatenschutzgesetzes bei Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten.
2. November 2016: KRITIS müssen dem BSI eine jederzeit erreichbare Kontaktstelle benennen
§ 8b BSIG
Absätze (2) bis (4): Anpassungen in der Definition von Störung und den Angaben in einer Störmeldung.
§ 8b BSIG vom 30. Juni 2017
(2) Das Bundesamt hat zur Wahrnehmung dieser Aufgabe (2) Das Bundesamt hat zur Wahrnehmung dieser Aufgabe
b) die zuständigen Aufsichtsbehörden und die sonst zuständigen Behörden des Bundes über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen nach den Nummern 1 bis 3 sowie b) die zuständigen Aufsichtsbehörden und die sonst zuständigen Behörden des Bundes über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen nach den Nummern 1 bis 3,
c) die zuständigen Aufsichtsbehörden der Länder oder die zu diesem Zweck dem Bundesamt von den Ländern als zentrale Kontaktstellen benannten Behörden über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen nach den Nummern 1 bis 3 c) die zuständigen Aufsichtsbehörden der Länder oder die zu diesem Zweck dem Bundesamt von den Ländern als zentrale Kontaktstellen benannten Behörden über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen nach den Nummern 1 bis 3 sowie
zu unterrichten. zu unterrichten.
(3) Die Betreiber Kritischer Infrastrukturen haben dem Bundesamt binnen sechs Monaten nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1 eine Kontaktstelle für die Kommunikationsstrukturen nach § 3 Absatz 1 Satz 2 Nummer 15 zu benennen. Die Betreiber haben sicherzustellen, dass sie hierüber jederzeit erreichbar sind. Die Übermittlung von Informationen durch das Bundesamt nach Absatz 2 Nummer 4 erfolgt an diese Kontaktstelle. (3) Die Betreiber Kritischer Infrastrukturen haben dem Bundesamt binnen sechs Monaten nach Inkrafttreten der Rechtsverordnung nach § 10 Absatz 1 eine Kontaktstelle für die von ihnen betriebenen Kritischen Infrastrukturen zu benennen. Die Betreiber haben sicherzustellen, dass sie hierüber jederzeit erreichbar sind. Die Übermittlung von Informationen durch das Bundesamt nach Absatz 2 Nummer 4 erfolgt an diese Kontaktstelle.
(4) Betreiber Kritischer Infrastrukturen haben erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen 2. erhebliche Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse, die zu einem Ausfall oder zu einer erheblichen Beeinträchtigung der Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen führen können.
über die Kontaktstelle unverzüglich an das Bundesamt zu melden. Die Meldung muss Angaben zu der Störung sowie zu den technischen Rahmenbedingungen, insbesondere der vermuteten oder tatsächlichen Ursache, der betroffenen Informationstechnik, der Art der betroffenen Einrichtung oder Anlage sowie zur Branche des Betreibers enthalten. Die Nennung des Betreibers ist nur dann erforderlich, wenn die Störung tatsächlich zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der Kritischen Infrastruktur geführt hat. Die Meldung muss Angaben zu der Störung, zu möglichen grenzübergreifenden Auswirkungen sowie zu den technischen Rahmenbedingungen, insbesondere der vermuteten oder tatsächlichen Ursache, der betroffenen Informationstechnik, der Art der betroffenen Einrichtung oder Anlage sowie zur erbrachten kritischen Dienstleistung und zu den Auswirkungen der Störung auf diese Dienstleistung enthalten. Die Nennung des Betreibers ist nur dann erforderlich, wenn die Störung tatsächlich zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der Kritischen Infrastruktur geführt hat.
Ersteinführung des Paragraphen mit den Absätzen (1) - (7).
§ 8b BSIG vom
(1) - (7) waren vor der Gesetzesänderung nicht vorhanden. (2) Das Bundesamt hat zur Wahrnehmung dieser Aufgabe
c) die zuständigen Aufsichtsbehörden der Länder oder die zu diesem Zweck dem Bundesamt von den Ländern als zentrale Kontaktstellen benannten Behörden über die zur Erfüllung ihrer Aufgaben erforderlichen Informationen nach den Nummern 1 bis 3 zu unterrichten.
2. geführt haben, über die Kontaktstelle unverzüglich an das Bundesamt zu melden.
Die Meldung muss Angaben zu der Störung sowie zu den technischen Rahmenbedingungen, insbesondere der vermuteten oder tatsächlichen Ursache, der betroffenen Informationstechnik, der Art der betroffenen Einrichtung oder Anlage sowie zur Branche des Betreibers enthalten. Die Nennung des Betreibers ist nur dann erforderlich, wenn die Störung tatsächlich zu einem Ausfall oder einer Beeinträchtigung der Funktionsfähigkeit der Kritischen Infrastruktur geführt hat.
Definition für den Anwendungsbereich des BSIG
Unternehmen aus KRITIS-Sektoren und Anbieter digitaler Dienste
Absatz (1) – Kleinstunternehmen:
§§ 8a und 8b nicht anwendbar auf Kleinstunternehmen.
Absatz (2) – KRITIS und Andere:
Ausgeschlossen von § 8a sind unter anderem Betreiber von Energieversorgungsnetzen oder Energieanlagen im Sinne des Energiewirtschaftsgesetzes (EnWG) soweit sie den Regelungen des § 11 des EnWG unterliegen.
Absatz (3) – KRITIS und Andere:
Ausgeschlossen von § 8b Abs. 4 sind unter anderem Betreiber von Energieversorgungsnetzen oder Energieanlagen soweit sie den Regelungen des § 11 des EnWG unterliegen.
Absatz (4) – Kleinstunternehmen und kleine Unternehmen:
Kriterien für Kleinstunternehmen und kleine Unternehmer zum Ausschluss von § 8c Abs. 1 bis 3.
Empfehlung 2003/361/EC der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen
§ 8d BSIG
Ausnahmen für Betreiber von Energieversorgungsnetzen oder Energieanlagen soweit sie den Regelungen des § 11 EnWG unterliegen, Ausnahmen von § 8b Abs. 3 bis 5 auf Abs. 4 beschränkt, Ausnahmen für Kleinstunternehmen und kleine Unternehmen.
§ 8d BSIG vom 30. Juni 2017
(1) Die §§ 8a und 8b sind nicht anzuwenden auf Kleinstunternehmen im Sinne der Empfehlung 2003/361/EC der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (ABl. L 124 vom 20.5.2003, S. 36). Artikel 3 Absatz 4 der Empfehlung ist nicht anzuwenden. (1) Die §§ 8a und 8b sind nicht anzuwenden auf Kleinstunternehmen im Sinne der Empfehlung 2003/361/EC der Kommission vom 6. Mai 2003 betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen (ABl. L 124 vom 20.5.2003, S. 36). Artikel 3 Absatz 4 des Anhangs der Empfehlung ist nicht anzuwenden.
(2) § 8a ist nicht anzuwenden auf (2) § 8a ist nicht anzuwenden auf
1. Betreiber Kritischer Infrastrukturen, soweit sie ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen, 1. Betreiber Kritischer Infrastrukturen, soweit sie ein öffentliches Telekommunikationsnetz betreiben oder öffentlich zugängliche Telekommunikationsdienste erbringen,
2. Betreiber von Energieversorgungsnetzen oder Energieanlagen im Sinne des Energiewirtschaftsgesetzes vom 7. Juli 2005 (BGBl. I S. 1970, 3621), das zuletzt durch Artikel 3 des Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324) geändert worden ist, in der jeweils geltenden Fassung, 2. Betreiber von Energieversorgungsnetzen oder Energieanlagen im Sinne des Energiewirtschaftsgesetzes vom 7. Juli 2005 (BGBl. I S. 1970, 3621), das zuletzt durch Artikel 3 des Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324) geändert worden ist, in der jeweils geltenden Fassung, soweit sie den Regelungen des § 11 des Energiewirtschaftsgesetzes unterliegen,
3. die Gesellschaft für Telematik nach § 291a Absatz 7 Satz 2 des Fünften Buches Sozialgesetzbuch und § 291b des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 291b Absatz 1a und 1e des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 291b Absatz 1b des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen, 3. die Gesellschaft für Telematik nach § 291a Absatz 7 Satz 2 des Fünften Buches Sozialgesetzbuch und § 291b des Fünften Buches Sozialgesetzbuch, Betreiber von Diensten der Telematikinfrastruktur im Hinblick auf die nach § 291b Absatz 1a und 1e des Fünften Buches Sozialgesetzbuch zugelassenen Dienste und Betreiber von Diensten, soweit sie die Telematikinfrastruktur für nach § 291b Absatz 1b des Fünften Buches Sozialgesetzbuch bestätigte Anwendungen nutzen,
4. Genehmigungsinhaber nach § 7 Absatz 1 des Atomgesetzes in der Fassung der Bekanntmachung vom 15. Juli 1985 (BGBl. I S. 1565), das zuletzt durch Artikel 2 des Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324) geändert worden ist, in der jeweils geltenden Fassung für den Geltungsbereich der Genehmigung sowie 4. Genehmigungsinhaber nach § 7 Absatz 1 des Atomgesetzes in der Fassung der Bekanntmachung vom 15. Juli 1985 (BGBl. I S. 1565), das zuletzt durch Artikel 2 des Gesetzes vom 17. Juli 2015 (BGBl. I S. 1324) geändert worden ist, in der jeweils geltenden Fassung für den Geltungsbereich der Genehmigung sowie
5. sonstige Betreiber Kritischer Infrastrukturen, soweit sie auf Grund von Rechtsvorschriften Anforderungen erfüllen müssen, die mit den Anforderungen nach § 8a vergleichbar oder weitergehend sind. 5. sonstige Betreiber Kritischer Infrastrukturen, soweit sie auf Grund von Rechtsvorschriften Anforderungen erfüllen müssen, die mit den Anforderungen nach § 8a vergleichbar oder weitergehend sind.
(3) § 8b Absatz 3 bis 5 ist nicht anzuwenden auf (3) § 8b Absatz 4 ist nicht anzuwenden auf
2. Betreiber von Energieversorgungsnetzen oder Energieanlagen im Sinne des Energiewirtschaftsgesetzes, 2. Betreiber von Energieversorgungsnetzen oder Energieanlagen, soweit sie den Regelungen des § 11 des Energiewirtschaftsgesetzes unterliegen,
4. Genehmigungsinhaber nach § 7 Absatz 1 des Atomgesetzes für den Geltungsbereich der Genehmigung sowie 4. Genehmigungsinhaber nach § 7 Absatz 1 des Atomgesetzes für den Geltungsbereich der Genehmigung sowie
5. sonstige Betreiber Kritischer Infrastrukturen, die auf Grund von Rechtsvorschriften Anforderungen erfüllen müssen, die mit den Anforderungen nach § 8b Absatz 3 bis 5 vergleichbar oder weitergehend sind. 5. sonstige Betreiber Kritischer Infrastrukturen, die auf Grund von Rechtsvorschriften Anforderungen erfüllen müssen, die mit den Anforderungen nach § 8b Absatz 4 vergleichbar oder weitergehend sind.
Ersteinführung des Paragraphen mit den Absätzen (1) - (3).
§ 8d BSIG vom
(1) - (3) waren vor der Gesetzesänderung nicht vorhanden. (2) § 8a ist nicht anzuwenden auf
Durchsetzung der Aufgaben und Pflichten aus den §§ 8a, 8b, 8c.
KRITIS und Anbieter Digitaler Dienste
Absatz (1) – KRITIS und Anbieter Digitaler Dienste:
Definitionen ordnungswidriger Handlungen.
Absatz (2) – KRITIS und Anbieter Digitaler Dienste:
Regelung für die Ahndung von Geldbußen und deren Höhe.
Absatz (3) – Bundesamt:
Bennung zur Verwaltungsbehörde.
§ 36 Abs. 1 Nr. 1 des Gesetzes über Ordnungswidrigkeiten
§ 14 BSIG
Erweiterung der Definitionen von ordnungswidrigem Handeln und der Ahndung von Ordnungswidrigkeiten.
§ 14 BSIG vom 30. Juni 2017
1. entgegen § 8a Absatz 1 Satz 1 in Verbindung mit einer Rechtsverordnung nach § 10 Absatz 1 Satz 1 eine dort genannte Vorkehrung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig trifft, 1. entgegen § 8a Absatz 1 Satz 1 in Verbindung mit einer Rechtsverordnung nach § 10 Absatz 1 Satz 1 eine dort genannte Vorkehrung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig trifft,
2. einer vollziehbaren Anordnung nach § 8a Absatz 3 Satz 4 7. einer vollziehbaren Anordnung nach § 8c Absatz 4
a) Nummer 1 oder a) Nummer 1 oder
b) Nummer 2 b) Nummer 2
zuwiderhandelt, zuwiderhandelt.
(2) Die Ordnungswidrigkeit kann in den Fällen des Absatzes 1 Nummer 2 Buchstabe b mit einer Geldbuße bis zu hunderttausend Euro, in den übrigen Fällen des Absatzes 1 mit einer Geldbuße bis zu fünfzigtausend Euro geahndet werden. In den Fällen des Absatzes 1 Nummer 5 bis 7 wird die Ordnungswidrigkeit nur geahndet, wenn der Anbieter digitaler Dienste seine Hauptniederlassung nicht in einem anderen Mitgliedstaat der Europäischen Union hat oder, soweit er nicht in einem anderen Mitgliedstaat der Europäischen Union niedergelassen ist, dort einen Vertreter benannt hat und in diesem Mitgliedstaat dieselben digitalen Dienste anbietet.
(3) Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist das Bundesamt. (3) Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist das Bundesamt.
§ 14 BSIG vom
(1) - (3) waren vor der Gesetzesänderung nicht vorhanden. (1) Ordnungswidrig handelt, wer vorsätzlich oder fahrlässig
Gesetz zur Umsetzung der NIS-Richtlinie (NIS-Richtlinien-Umsetzungsgesetz)
Das Gesetz zur Umsetzung der NIS-Richtlinie beschreibt die nationale Umsetzung von Maßnahmen für ein gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der Europäischen Union.
Insbesondere werden die Aufsichts- und Durchsetzungsbefugnisse des BSI gegenüber KRITIS-Betreibern erweitert.
Das NIS-Richtlinien-Umsetzungsgesetz ist am 30. Juni 2017 in Kraft getreten. Artikel 1 ändert das BSIG und Artikel 3 das EnWG.
Energieversorgungsnetzbetreiber und KRITIS-Betreiber von Energieanlagen
siehe § 11 Abs. 1c EnWG
Gesetze zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-SiG)
Als erstes konkretes Ergebnis der Digitalen Agenda aus 2014 hat das IT-Sicherheitsgesetz zum Ziel, die Sicherheit der IT-Systeme und digitalen Infrastrukturen Deutschlands zu verbessern.
Neben der Erhöhung der Sicherheit von IT-Systemen im Bereich der Kritischen Infrastrukturen, Unternehmen und der Bundesverwaltung wird auch ein besserer Schutz der Bürgerinnen und Bürger im Internet angestrebt.
Das IT-Sicherheitsgesetz ist am 25. Juli 2015 in Kraft getreten. Es ist ein Artikelgesetz, das das BSIG, EnWG und weitere Gesetze ändert und ergänzt.
Anpassung des Energiewirtschaftsgesetzes an die Anforderungen der IT-Sicherheit
siehe § 11 Absätze 1a, 1b und 1c EnWG
IT-Sicherheits­katalog gemäß § 11 EnWG (IT-Sicherheitskatalog)
Der IT-Sicherheitskatalog wird 2011 erstmals mit Einführung des § 11 Absatz 1a EnWG erwähnt. Mit der Änderung des § 11 EnWG vom 25. Juli 2015 wird Absatz 1b eingeführt. Auch dort findet der IT-Sicherheitskatalog Erwähnung.
Der IT-Sicherheitskatalog verpflichtet Energienetzbetreiber zur Umsetzung von Mindeststandards der IT-Sicherheit.
Ziel ist, Telekommunikations- und elektronische Datenverarbeitungssysteme vor Bedrohungen zu schützen, um einen sicheren Netzbetrieb gewährleisten zu können.
Der IT-Sicherheitskatalog gemäß § 11 Absatz 1a EnWG wurde schließlich im August 2015 veröffentlicht. Für Absatz 1b wurde ein erster Entwurf des Kataloges am 11. Januar 2018 vorgelegt.
§ 11 Absatz 1a EnWG
Ziel ist die Sicherstellung der Verfügbarkeit zu schützender Systeme und Daten und die Integrität der verarbeiteten Informationen sowie die Gewährleistung ihrer Vertraulichkeit.
Alle Netzbetreiber, die über Systeme verfügen, die in den Anwendungsbereich des Sicherheitskataloges fallen.
Nutzung von IKT-Systemen und Implementierung eines angemessenen Schutzes gegen Bedrohungen für IKT-Systeme sind eng verbunden.
C. Schutzziele
Verfügbarkeit der zu schützenden Systeme und Daten
Integrität der verarbeiteten Informationen und Systeme
Vertraulichkeit der mit den betrachteten Systemen verarbeiteten Informationen
Netzbetreiber mit eignen oder durch einen externen Dienstleister betriebenen
TK- und EDV-Systemen, die unmittelbar Einfluss auf die Netzfahrweise nehmen
oder deren Ausfall die Sicherheit des Netzbetriebes gefährden könnte (z.B. Messeinrichtungen an Trafo- oder Netzkoppelstationen).
E. Sicherheitsanforderungen
Umsetzung eines ganzheitlichen Ansatzes zur Erreichung der Schutzziele in Form eines Informationsmanagementsystems (ISMS) nach DIN ISO/IEC 27001
Berücksichtigung der Normen DIN ISO/IEC 27002 und DIN ISO/IEC TR 27019
Aufstellung eines Netzstrukturplanes
Definition und Implementierung eines Prozesses zur Risikoeinschätzung
Auswahl geeigneter und angemessener Sicherheitsmaßnahmen
F. Umsetzungsvorgaben
Zertifizierung des ISMS bis zum 31. Januar 2018
Benennung eines Ansprechpartner bis zum 30. November 2015
31. Januar 2018: Nachweis über die Umsetzung der Sicherheitsanforderungen nach IT-Sicherheitskatalog.
ENTWURF: IT-Sicherheitskatalog
§ 11 Absatz 1b EnWG
Alle Energieanlagenbeteiber, die als Betreiber kritischer Infrastrukturen einzuordnen sind und an ein Energieversorgungsnetz angeschlossen sind.
Der IT-Sicherheitskatalog für KRITIS-Betreiber von Energieanlagen ist notwendig, um einen umfassenden Schutz für den Anlagenbetrieb sicherzustellen.
B. Schutzziele
I. Allgemeine Schutzziele
II. Besondere Schutzziele nach Anlagentyp
1. Erzeugungsanlagen
Bereitstellung von elektrischer Leistung entsprechend den
kommunizierten Fahrplänen
Anforderungen des Übertragungsnetzbetreibers
Verfügungen des Lastverteilers
Gewährleistung der Schwarzstartfähigkeit
Bereitstellung von Speicherkapazität entsprechend den kommunizierten Anweisungen des Dispatchings
Ein- und Ausspeisung von Gasmengen entsprechend den
Anforderungen des Fernleitungsnetzbetreibers
Verfügungendes Lastverteilers
Alle zentralen und dezentralen Anwendungen, Systeme und Komponenten, die für einen sicheren Anlagenbetrieb notwendig sind.
Einteilung der eingesetzten TK- und EDV-Systeme einschließlich der Leitsysteme und Prozessführungssysteme sowie Büro- und Verwaltungsinformationssysteme in sechs Zonen. Die Zonen klassifizieren die Anwendungen, Systeme und Komponenten einer Energieanlage nach ihrer Bedeutung für einen sicheren Anlagenbetrieb.
D. Sicherheitsanforderungen
I. Informationssicherheitsmanagementsystem
Der ganzheitliche Ansatz zur Gewährleistung eines angemessenen Sicherheitsniveaus für TK- und EDV-Systeme soll durch ein Informationssicherheitsmanagementsystem (ISMS) gewährleistet werden.
Implementierung eines ISMS gemäß DIN ISO/IEC 27001, dass mindestens die Zonen 1 bis 3 umfasst.
Berücksichtigung von Handlungsempfehlungen aus Leitlinien und Normen bei der Umsetzung des ISMS.
1. Erzeugungsanlagen:
VGB-Standard „IT-Sicherheit für Erzeugungsanlagen“ (VGB-S-175)
2. Gasspeicher:
III. Ordnungsgemäßer Betrieb der betroffenen IKT-Systeme
IKT-Systeme und darauf basierende Verfahren müssen funktionieren, Störungen müssen erkannt und behoben werden.
IV. Risikoeinschätzung
Einführung eines Prozesses zur Einschätzung des Risikos in Hinblick auf die Schutzziele. Jede Anlage muss dabei im Gesamtkontext der Energieversorgung betrachtet werden, um zu vermeiden, dass eine Anlage als Teilziel einers Angriffes auf die Strom- oder Gasversorgung mißbraucht wird.
Schadenskategorien:
Standardwert für eine Einstufung ist die Kategorie „hoch“. Eine Einstufung als „kritisch“ muss geprüft werden. Abweichende Einstufungen sind ausführlich zu begründen.
V. Risikobehandlung
Risiken von Anwendungen, Systemen und Komponenten aus den Zonen 1 bis 3 dürfen nicht akzeptiert werden.
Kommunizieren Anwendungen, Systeme und Komponenten aus den Zonen 4 bis 6 mit welchen aus den Zonen 1 bis 3, sind auch diese einem höheren Schutzbedarf unterstellt.
VI. Ansprechpartner IT-Sicherheit
Meldung eines Ansprechpartners an die Bundesnetzagentur.
E. Umsetzungsvorgaben
Belegung der Umsetzung der Anforderungen des IT-Sicherheitskataloges durch ein Zertifikat.
II. Umsetzungsfristen
Vorlage des ISMS-Zertifikates innerhalb von 1,5 Jahren nach Veröffentlichung des IT-Sicherheitskataloges.
Bennenung eines Ansprechpartners innerhalb von 2 Monaten nach Veröffentlichung des IT-Sicherheitskataloges.
F. Abweichende Regelungen für Anlagen nach § 7 Absatz 1 des Atomgesetzes
Anwendung der „Richtlinie für den Schutz von IT-Systemen in kerntechnischen Anlagen und Einrichtungen der Sicherungskategorien I und II gegen Störmaßnahmen oder sonstige Einwirkungen Dritter (SEWD-Richtlinie IT)“.
Beachtung der Schutzziele unter B./II./1.
Vorlage einer Bestätigung zur Erfüllung der Anforderungen durch die zuständigen Genehmigungs- und Aufsichtsbehörden der Länder bis zum 30. Juni 2019.
Wiederholte Vorlage des Nachweises an jedem 30. Juni eines Jahres.
2 Monate nach Veröffentlichung des Kataloges: Bennenung eines Ansprechpartners IT-Sicherheit,
1,5 Jahre nach Veröffentlichung des Kataloges: Nachweis über die Umsetzung der Sicherheitsanforderungen nach IT-Sicherheitskatalog,
Zum 30. Juni 2019: Nachweis der Anforderungen durch Anlagenbetreiber nach § 7 Absatz 1 AtG.
Entwurf des IT-Sicherheitskataloges gemäß § 11 Absatz 1b EnWG
VBG-S-175
NIS-Richtline
Die NIS-Richtlinie definiert Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der europäischen Union.
Mit der Richtlinie wird ein einheitlicher Rechtsrahmen für den Eu-weiten Aufbau nationaler Kapazitäten für die Cyber-Sicherheit, eine stärkere Zusammenarbeit der Mitgliedsstaaten, Mindestsicherheitsanforderungen an Kritische Infrastrukturen und eine Meldepflicht für Kritische Infrastrukturen und bestimmte Anbieter digitaler Dienste geschaffen.
Die Abkürzung NIS steht für Netz- und Informationssicherheit. Die NIS-Richtlinie ist am 8. August 2016 in Kraft getreten. Bis zum 10. Mai 2018 musste sie umgesetzt werden. Am 30 Juni 2017 wurde die Richtlinie in Deutschland umgesetzt.
Verbesserung der Netzwerk- und Informationssytemsicherheit in der EU
Begründung zum Erlass der Richtlinie
Artikel 2 Verarbeitung personenbeszogener Daten
Artikel 3 Mindestharmonisierung
Artikel 5 Ermittlung der Bereiber wesentlicher Dienste
Artikel 6 Erhebliche Störung
Artikel 7 Nationale Strategie für die Sicherheit von Netz- und Informationssystemen
Artikel 8 Nationale zuständige Behörden und zentrale Anlaufstelle
Artikel 9 Computer-Notfallteams (CSIRTs)
Artikel 10 Zusammenarbeit auf nationaler Ebene
Artikel 11 Kooperationsgruppe
Artikel 12 CSIRTs-Netzwerk
Artikel 13 Internationale Zusammenarbeit
Artikel 14 Sicherheitsanforderungen und Meldung von Sicherheitsvorfällen
Artikel 15 Umsetzung und Durchsetzung
Artikel 16 Sicherheitsanforderungen und Meldung von Sicherheitsvorfällen
Artikel 17 Umsetzung und Durchsetzung
Artikel 18 Gerichtliche Zuständigkeit und Territorialität
Artikel 19 Normung
Artikel 20 Freiwillige Meldung
Artikel 24 Übergangsmaßnahmen
9. Mai 2018: Umsetzungsfrist
Von den Mitgliedsstaaten bis zum 9. Mai 2018 zu erarbeiten.
Die BSI-KritisV ist eine Rechtsverordnung, die klärt welche Unternehmen zu den Betreibern einer Kritischen Infrastruktur, den sog. KRITIS, gehören.
Die Verordnung definiert damit Kritische Infrastrukturen im Sinne des BSIG in den Sektoren Energie, Informationstechnik und Telekommunikation, Wasser und Ernährung im ersten von zwei Teilen. Der erste Teil ist am 3. Mai 2016 in Kraft getreten.
Im zweiten Teil der BSI-KritisV werden Kriterien für die Sektoren Transport und Verkehr, Gesundheit und Finanz- und Versicherungswesen aufgestellt. Er trat am 30. Juni 2017 in Kraft.
Definition von Kriterien zur Bestimmung von KRITIS im Sektor Energie
Unternehmen im Sektor Energie
Absatz (1) – Unternehmen im Sektor Energie:
Definition kritischer Dientstleistungen:
Absatz (2) – Strom- und Gasversorger:
Unterteilung in die Bereiche :
für Strom und die Bereiche:
Absatz (3) – Kraftstoff- und Heizölversorger:
Unterteilung in die Bereiche:
Kraftstoff- und Heizölverteilung
Absatz (4) – Fernwärmeversorgung:
Absatz (5) – Unternehmen im Sektor Energie:
Bestimmung Kritischer Infrastrukturen nach Kategorien mit Verweis auf Anhang 1
2. Mai 2018: Alle zwei Jahre überprüft das Bundesministerium für Wirtschaft und Energie zusammen mit Vertretern der Wissenschaft und Betreibern den Kriterienkatalog.
im Sektor Energie
Teil 1 Grundsätze und Fristen:
Begriffsbestimmungen von verschiedenen Anlagen und Systemen
Geltungszeitpunkt einer Kritischen Infrastruktur
Fristen für die Ermittlung des Versorgungsgrades einer Anlage
Stichtage für die Gültigkeit von Versorgungsgraden
Teil 2 Berechnungsformeln zur Ermittlung der Schwellenwerte:
Erläuterung der Annahmen, die der Berechnung der Schwellenwerte zugrunde liegen.
Teil 3 Anlagenkategorien und Schwellenwerte:
Tabellarische Darstellung der Anlagenkategorie, des Bemessungskriteriums und des Schwellenwertes unterteilt nach kritischen Dienstleistungen.
Anhang 1 BSI-KritisV
Einfügung der Definitionen verschiedener Anlagen und Systeme
Anhang 1 BSI-KritisV vom 30. Juni 2017
Teil 1 Grundsätze und Fristen Teil 1 Grundsätze und Fristen
1. Für die in Teil 3 Spalte B genannten Anlagenkategorien gelten vorrangig die Begriffsbestimmungen nach § 3 des Energiewirtschaftsgesetzes und nach § 2 des Kraft-Wärme-Kopplungsgesetzes in der jeweils geltenden Fassung. 1. Für die in Teil 3 Spalte B genannten Anlagenkategorien gelten vorrangig die Begriffsbestimmungen nach § 3 des Energiewirtschaftsgesetzes und nach § 2 des Kraft-Wärme-Kopplungsgesetzes in der jeweils geltenden Fassung.
2. Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt zum 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als Kritische Infrastruktur. Hat der Versorgungsgrad einer Anlage den in Teil 3 Spalte D genannten Schwellenwert im Kalenderjahr 2015 erstmals erreicht oder überschritten, gilt die Anlage mit Inkrafttreten dieser Verordnung als Kritische Infrastruktur.
2. Im Sinne von Anhang 1 ist oder sind
a) Erzeugungsanlage
b) Erzeugungsanlage mit Wärmeauskopplung (KWK-Anlage)
c) Dezentrale Energieerzeugungsanlage
d) Speicheranlage
e) Anlage oder System zur Steuerung/Bündelung elektrischer Leistung
f) Übertragungsnetz
g) Zentrale Anlage oder System für den Stromhandel
h) Verteilernetz
i) Messstelle
j) Gasförderanlage
k) Gasspeicher
l) Fernleitungsnetz
m) Gasverteilernetz
n) Ölförderanlage
o) Raffinerie
p) Mineralölfernleitung
q) Öl- und Produktenlager
r) Anlage zur zentralen standortübergreifenden Steuerung
s) Anlage oder System von Aggregatoren zum Vertrieb von Kraftstoff und Heizöl
t) Tankstellennetz
u) Heizwerk
v) Heizkraftwerk
w) Fernwärmenetz
3. Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als Kritische Infrastruktur.
3. Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr bis zum 31. März des Folgejahres zu ermitteln. 4. Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4. Ist der Versorgungsgrad für die Anlagenkategorie des Teils 3 Nummer 4.2.1 unmittelbar anhand der Anzahl angeschlossener Haushalte zu ermitteln, ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres maßgeblich. 5. Ist der Versorgungsgrad anhand der Anzahl angeschlossener Haushalte zu ermitteln, ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres maßgeblich.
5. Ist der Versorgungsgrad für die Anlagenkategorien des Teils 3 Nummer 1.1 anhand der Kapazität (installierte Netto-Nennleistung) einer Anlage zu ermitteln, ist auf den rechtlich und tatsächlich möglichen Betriebsumfang der durch denselben Betreiber betriebenen Anlage abzustellen. 6. Ist der Versorgungsgrad anhand der Kapazität (installierte Netto-Nennleistung) einer Anlage zu ermitteln, ist auf den rechtlich und tatsächlich möglichen Betriebsumfang der durch denselben Betreiber betriebenen Anlage abzustellen.
6. Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als Kritische Infrastruktur. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen 7. Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als Kritische Infrastruktur. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a) auf demselben Betriebsgelände liegen, a) auf demselben Betriebsgelände liegen,
b) mit gemeinsamen Betriebseinrichtungen verbunden sind, b) mit gemeinsamen Betriebseinrichtungen verbunden sind,
c) einem vergleichbaren technischen Zweck dienen und c) einem vergleichbaren technischen Zweck dienen und
d) unter gemeinsamer Leitung stehen. d) unter gemeinsamer Leitung stehen.
Teil 2 Berechnungsformeln zur Ermittlung der Schwellenwerte Teil 2 Berechnungsformeln zur Ermittlung der Schwellenwerte
7. Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.1.5, 1.2.1 sowie 1.3.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 7.375 kWh pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet: 8. Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.1.5, 1.2.1 sowie 1.3.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 7.375 kWh pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:
3.700 GWh/Jahr ≈ 7.375 kWh/Jahr x 500.000 3.700 GWh/Jahr ≈ 7.375 kWh/Jahr x 500.000
Die durchschnittliche elektrische Arbeit zur Versorgung von 500.000 Personen im Jahr entspricht im Falle der Nummern 1.1.1 bis 1.1.5 sowie 1.3.2 einer installierten Netto-Nennleistung von: Die durchschnittliche elektrische Arbeit zur Versorgung von 500.000 Personen im Jahr entspricht im Falle der Nummern 1.1.1 bis 1.1.5 sowie 1.3.2 einer installierten Netto-Nennleistung von:
420 MW ≈ (3.700 GWh/Jahr) / (8.760 h/Jahr) 420 MW ≈ (3.700 GWh/Jahr) / (8.760 h/Jahr)
8. Der für die Anlagenkategorien des Teils 3 Nummer 2 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 10.380 kWh pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet: 10. Der für die Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.2.2, 3.2.3, 3.3.1 und 3.3.3 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 0,84 Tonnen Kraftstoff zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:
420.000 t/Jahr = 0,84 t/Jahr x 500.000 420.000 t/Jahr = 0,84 t/Jahr x 500.000
10. Der für die Anlagenkategorien des Teils 3 Nummer 3.1.2 und 3.2.2 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet: 11. Der für die Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.2.2, 3.2.3, 3.3.1 und 3.3.2 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:
620.000 t/Jahr = 1,24 t/Jahr x 500.000 620.000 t/Jahr = 1,24 t/Jahr x 500.000
11. Der für die Anlagenkategorien des Teils 3 Nummer 3.1.1, 3.2.1 und 3.2.2 benannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und damit einer durchschnittlichen Gesamtproduktionsmenge von 620.000 Tonnen leichtem Heizöl für 500.000 versorgte Personen sowie unter der Annahme, dass aus einer Tonne Rohöl etwa 0,14 Tonnen leichtes Heizöl hergestellt werden, wie folgt berechnet: 12. Der für die Anlagenkategorien des Teils 3 Nummer 3.1.1, 3.2.1, 3.2.2 und 3.2.3 benannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und damit einer durchschnittlichen Gesamtproduktionsmenge von 620.000 Tonnen leichtem Heizöl für 500.000 versorgte Personen sowie unter der Annahme, dass aus einer Tonne Rohöl etwa 0,14 Tonnen leichtes Heizöl hergestellt werden, wie folgt berechnet:
4.400.000 t/Jahr ≈ (620.000 t/Jahr) / 0,14 4.400.000 t/Jahr ≈ (620.000 t/Jahr) / 0,14
12. Der für die Anlagenkategorien des Teils 3 Nummer 4.1.1 und 4.1.2 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs einer Person pro Jahr von 4,528 MWh und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet: 13. Der für die Anlagenkategorien des Teils 3 Nummer 4.1.1 und 4.1.2 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs einer Person pro Jahr von 4,528 MWh und eines Regelschwellenwertes von 500.000 versorgten Personen wie folgt berechnet:
2.300 GWh/Jahr ≈ 4,528 MWh/Jahr x 500.000 2.300 GWh/Jahr ≈ 4,528 MWh/Jahr x 500.000
Teil 3 Anlagenkategorien und Schwellenwerte Teil 3 Anlagenkategorien und Schwellenwerte
Spalte A | Spalte B | Spalte C | Spalte D Spalte A | Spalte B | Spalte C | Spalte D
Nr. | Anlagenkategorie | Bemessungskriterium | Schwellenwert Nr. | Anlagenkategorie | Bemessungskriterium | Schwellenwert
1. | Stromversorgung | | 1. | Stromversorgung | |
1.1 | Stromerzeugung | | 1.1 | Stromerzeugung | |
1.1.1 | Erzeugungsanlage | installierte Netto-Nennleistung (elektrisch) 1.1.1 | Erzeugungsanlage | installierte Netto-Nennleistung (elektrisch)
in MW | 420 in MW | 420
1.1.2. | Erzeugungsanlage mit Wärme- 1.1.2. | Erzeugungsanlage mit Wärme-
auskopplung (KWK-Anlage) | installierte Netto-Nennleistung (direkt mit auskopplung (KWK-Anlage) | installierte Netto-Nennleistung (direkt mit
Wärmeauskopplung verbundene elektrische Wärmeauskopplung verbundene elektrische
Wirkleistung bei Wärmenennleistung ohne Wirkleistung bei Wärmenennleistung ohne
Kondensationsanteil) in MW | 420 Kondensationsanteil) in MW | 420
1.1.3 | Dezentrale Energieerzeugungsanlage | installierte Netto-Nennleistung (elektrisch) 1.1.3 | Dezentrale Energieerzeugungsanlage | installierte Netto-Nennleistung (elektrisch)
1.1.4 | Speicheranlage | installierte Netto-Nennleistung (elektrisch) 1.1.4 | Speicheranlage | installierte Netto-Nennleistung (elektrisch)
3.2.3 | Anlage zur zentralen standort-
übergreifenden Steuerung | Gesamtmenge der transportierten
in Tonnen/Jahr oder | 4,4 Millionen
Rohölmenge in Tonnen/Jahr oder | 4,4 Millionen
Menge Kraftstoff in Tonnen/Jahr oder | 420.000
Menge Heizöl in Tonnen/Jahr | 620.000
3.3 | Kraftstoff- und Heizölverteilung | | 3.3 | Kraftstoff- und Heizölverteilung | |
3.3.1 | Anlage und System von Aggregatoren
zum Vertrieb von Kraftstoff | Verteilte Menge Kraftstoff in Tonnen/Jahr | 420.000
3.3.1 | Anlage oder System von 3.3.1 | Anlage oder System von
Aggregatoren zum Vertrieb Aggregatoren zum Vertrieb
von Kraftstoff und Heizöl | Gesamtmenge der verteilten Menge von Kraftstoff und Heizöl | Gesamtmenge der verteilten Menge
Kraftstoff in Tonnen/Jahr | 420.000 Kraftstoff in Tonnen/Jahr | 420.000
Heizöl in Tonnen/Jahr | 620.000
3.3.1 | Anlage oder System von
von Kraftstoff und Heizöl | Gesamtmenge der verteilten Menge
Kraftstoff in Tonnen/Jahr | 420.0001
Gesamtmenge der verteilten Menge Gesamtmenge der verteilten Menge
Heizöl in Tonnen/Jahr | 620.000 Heizöl in Tonnen/Jahr | 620.000
3.3.2 | Tankstellennetz | Verteilte Menge Kraftstoff in Tonnen/Jahr | 420.000 3.3.2 | Tankstellennetz | Verteilte Menge Kraftstoff in Tonnen/Jahr | 420.000
3.3.3 | Anlage zur zentralen standort-
übergreifenden Steuerung | Gesamtmenge der verteilten Menge