Die niederländische Digitalinfrastruktur-Inspektion, Rijksinspectie Digitale Infrastructuur, erörterte in ihrer kürzlich veröffentlichten Stellungnahme die Cybersicherheitsrisiken im Zusammenhang mit Plattformen, die Hausbatterien, Wechselrichter und Ladegeräte für Elektrofahrzeuge verwalten. Das Dokument betont, dass ein Versäumnis bei der Aktualisierung oder ein Cyberangriff auf Produktions- und Aggregatorplattformen gleichzeitig genügend Wechselrichter und andere Geräte deaktivieren könnte, um das Stromnetz zu destabilisieren. Die Inspektion weist darauf hin, dass das größte Risiko nicht von einzelnen Geräten ausgeht, sondern von den Backend-Systemen der Hersteller und Anbieter von Energiemanagementsystemen, die gemeinsame Cloud-Plattformen nutzen. Wenn eine große Gruppe von Geräten an ein Backend-System angeschlossen ist, kann ein einziger Zugangspunkt viele Geräte gleichzeitig steuern. Um das Gleichgewicht wiederherzustellen, könnte es notwendig sein, ein plötzliches Ungleichgewicht von 3 Gigawatt oder mehr zu adressieren, wie die Inspektion unter Berufung auf eine Studie von SolarPower Europe feststellt. Von 2019 bis 2024 hat sich die Anzahl der Wärmepumpen und Ladegeräte für Elektrofahrzeuge in den Niederlanden verfünffacht.
Zu den Möglichkeiten, wie eine große Anzahl von Geräten gleichzeitig betroffen sein kann, gehören: Fernaktualisierung oder Änderung von Einstellungen durch den Hersteller, Ausnutzung von Schwachstellen in Geräten oder deren Steuerplattformen oder staatliche Eingriffe in die Operationen von Herstellern und Dienstleistern unter ihrer Gerichtsbarkeit. Laut dem europäischen Cyber Resilience Act unterliegen solche Geräte nur allgemeinen Cybersicherheitsanforderungen, und die Einhaltung wird von den Herstellern selbst durchgesetzt. Die Anforderungen gelten nur für Produkte, die ab dem 11. Dezember 2027 auf den EU-Markt kommen. Die NIS2-Bestimmungen gelten hauptsächlich basierend auf der Unternehmensgröße, sodass kleinere Unternehmen nicht erfasst werden, es sei denn, sie werden von nationalen Behörden benannt. Dies gilt auch für Energieunternehmen und Hersteller ohne Gerichtsbarkeit in der EU. Die vorläufige Liste der Einrichtungen, deren Verpflichtungen Mitte 2028 in Kraft treten, umfasst keine Hersteller oder Lieferanten von Energiemanagementsystemen. Die Inspektion schlug drei Lösungen vor, darunter die Entwicklung harmonisierter EU-Standards für spezifische Geräte und die Hinzufügung von Kategorien dieser Geräte zur Liste der kritischen Produkte der Klasse II des Cyber Resilience Act. Dies würde eine unabhängige Bewertung vor dem Verkauf in der Europäischen Union erfordern. Es wird auch vorgeschlagen, Unternehmen, die genügend Leistung aus der Ferne steuern können, um die Netzstabilität zu gefährden, unter die NIS2 zu bringen, unabhängig von ihrer Größe oder ihrem Standort, und die digitale Autonomie des Netzes zu stärken, indem die Abhängigkeit von Unternehmen außerhalb der EU, die Geräte in großem Umfang beeinflussen können, begrenzt wird.
Isabelle van der Ley, die Managerin der Inspektion für digitale Resilienz im Energiesektor, bemerkte, dass Geräte das elektrische System intelligenter und widerstandsfähiger machen, aber gleichzeitig neue Risiken schaffen, die sowohl sichere Geräte als auch die Resilienz des gesamten Energiesystems erfordern. Darüber hinaus empfahl die Expertengruppe der Europäischen Kommission in diesem Monat, Solarwechselrichter als kritische Produkte der Klasse II unter dem Cyber Resilience Act zu klassifizieren, wobei darauf hingewiesen wurde, dass die Analyse keine Ladegeräte für Elektrofahrzeuge, Wärmepumpen oder Batteriespeichersysteme umfasst, die möglicherweise später bewertet werden. Auf dem Cybersicherheitsforum in Brüssel am 8. Oktober demonstrierten Forscher des European Network for Cyber Security, wie ein kompromittiertes Smart-Home-Gerät verwendet werden könnte, um Befehle an einen Heimwechselrichter oder eine Batterie im selben Netzwerk zu senden. "Jeden Tag werden leistungsfähigere IoT-Geräte eingesetzt, und Schwachstellen in einigen dieser Geräte wurden bereits ausgenutzt und können erneut ausgenutzt werden, um das Stromnetz zu stören", sagte Harm van den Brink, ein Cybersicherheitsforscher bei ENCS. Er fügte hinzu: "Kurzfristig benötigen wir unabhängige Sicherheitstests, die nach der potenziell betroffenen Leistung priorisiert werden, mit Schwachstellenmanagement durch die Hersteller." Die Inspektion präsentierte ihr Dokument auf der ONE-Konferenz in Den Haag, wo Forscher von Modat und dem niederländischen Nationalen Cybersicherheitszentrum auch über 8.547 Systeme berichteten, die über das Internet in europäischen Solar- und Windkraftanlagen zugänglich sind und nicht online sein sollten.
Das Material dient ausschließlich zu Informationszwecken und stellt keinen finanziellen Rat oder Empfehlung dar.