Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat einen Anforderungskatalog zur sicheren Lieferkette (Silke) der Smart Meter Gateways veröffentlicht.

 

Bundeswirtschaftsminister Robert Habeck (Grüne) hatte mit der Ankündigung des Neustarts der Digitalisierung der Energiewende im Oktober 2022 auch ganz praktische Erleichterungen im intelligenten Messwesen versprochen. Ein Ansatzpunkt sollte die sichere Lieferkette (Silke) sein. Diese sah besondere Transportvorrichtungen mit PIN-gesicherten Behältern, besondere Lagerbedingungen für die Geräte und eine Reihe anderer strenger Sicherheitsvorgaben vor. Für deren Einhaltung waren zwar in erster Linie die Hersteller der Smart Meter Gateways verantwortlich. Allerdings mussten sämtliche bis zum Einbau beim Messkunden beteiligten Akteure einen hohen Aufwand betreiben, um allen Anforderungen nachzukommen. Das Argument des BSI von Anfang an: Die Bedrohungslage ist hoch. Deshalb müssten Manipulationen an den Smart Meter Gateways, den Kommunikationseinheiten der intelligenten Messsysteme, entlang der gesamten Wertschöpfungskette ausgeschlossen werden.

Im Zuge seiner Ankündigungen zur Beschleunigung des Smart Meter Rollouts gab Habeck jedoch zu bedenken: „Wenn wir schon hochsichere Geräte haben, sollten wir nicht zu ängstlich sein, dass diese Geräte auch noch auf dem Weg vom Hersteller zum Einbau manipuliert werden.“ Natürlich seien Cyberangriffe in diesen Zeiten eine reale Gefahr. „Aber am Ende müssen wir uns noch bewegen können. Unberechtigte Sicherheitssorgen sollten uns nicht länger aufhalten“, so der Minister im Herbst 2022. Seine Vorstellung: Man müsse die Gateways auch bei Bedarf mit der Post verschicken und in einem „normalen“ Lager aufbewahren können, bevor sie bei den Kunden installiert werden.

Nun hat das BSI gemeinsam mit der Projektgruppe „Silke“ des Forums Netztechnik/Netzbetrieb beim VDE einen „Anforderungskatalog zur MSB-Lieferkette“ erarbeitet und veröffentlicht. Dieser wende sich an die Messstellenbetreiber (MSB). Diese Rolle hat der Gesetzgeber grundsätzlich den örtlichen Verteilnetzbetreibern zugeschrieben und damit auch die Verantwortung für die Installation und den Betrieb der intelligenten Messsysteme. 
Transport auch per Paketdienst möglich
 
„Mit der individuellen Anwendung des Anforderungskatalogs können alle MSB ein vergleichbares IT-Sicherheitsniveau bei der Auslieferung erreichen“, heißt es auf der Internetseite des BSI. Voraussetzung für die Anwendung des Katalogs sei die Zertifizierung der Smart Meter Gateways nach dem BSI-Schutzprofil in der kommenden Version 2.0. Hersteller von Geräten, die nachweislich dem derzeit aktuellen Schutzprofil der Version 1.3 entsprechen, können laut BSI die neue Zertifizierung bereits jetzt angehen.

Das 26-seitige Dokument zum Anforderungskatalog erstreckt sich von der Warenannahme durch den Messstellenbetreiber nach Auslieferung des Smart Meter Gateways vom Hersteller bis zur Montage in der Einsatzumgebung. Es werden dabei auch die Prozesse von der Montage bis zur Inbetriebnahme sowie der Weg von einer möglichen Demontage bis zur Wiederinbetriebnahme betrachtet. Ausgespart wird der Zeitraum, in dem das Gerät seinen Dienst am Bestimmungsort verrichtet. Der Weg zur Verschrottung ist genauso wenig Gegenstand der Sicherheitsvorschriften.

Die Vorschriften zur Lagerung der Smart Meter Gateways fordern beispielsweise eine Zugangsbeschränkung zu den Lagerräumen sowie eine regelmäßige Inventur durch den Messstellenbetreiber. Im Idealfall sollen ein Schließplan und die zentrale Verwaltung von Schlüsseln die verpflichtenden Maßnahmen ergänzen.

Während des Transports zum Einbau hat der Messstellenbetreiber beispielsweise für einen physischen Zugangsschutz zu sorgen. Einfach ausgedrückt: Fahrzeuge, in denen Smart Meter Gateways transportiert werden, müssen abgeschlossen sein, wenn sie unbeaufsichtigt abgestellt werden. Genauso müssen Liefertermine und außergewöhnliche Verspätungen transparent gemacht werden. Ausdrücklich ist erwähnt, dass der Transport auch per Kurier-, Express- oder Paketversand erfolgen könne. Die Verantwortung dafür liege allerdings ebenfalls beim Messstellenbetreiber.

Die Autoren des Katalogs weisen darauf hin, dass die Anforderungen nicht an den Endkunden am Installationsort gerichtet sind. Es werde angenommen, dass der Endkunde immer Empfänger der Lieferung ist, auch wenn in der Praxis eine Rücksendung vorkommen könne. Außerdem sei davon auszugehen, dass der Endkunde das Gerät am Installationsort bis zur Montage sicher verwahren könne.
Weitere Anforderungen beziehen sich auf die Montage und den Umgang mit sicherheitsrelevanten Vorfällen.

Der „Anforderungskatalog zur MSB-Lieferkette Version 1.0 “ steht auf der Internetseite des BSI zum Download zur Verfügung.