Solarbranche schlägt Lösungen zur Minderung kritischer Cybersicherheitsrisiken vor
BRÜSSEL, Belgien (April 2025): Angesichts zunehmender Angriffe auf die Energieinfrastruktur in Europa werden Energiesicherheitsmaßnahmen zu einem zentralen Element eines modernen EU-Energiesystems. Die aktuellen Bemühungen konzentrieren sich jedoch auf traditionelle Energieinfrastrukturen wie große, zentralisierte Kraftwerke.
Um den Übergang zu einem intelligenten, digitalisierten, auf erneuerbaren Energien basierenden Energiesystem zu beschleunigen, hat die europäische Solarbranche den politischen Entscheidungsträgern und Regulierungsbehörden der EU dringende Empfehlungen zur Bewältigung der mit ihrer Technologie verbundenen Cybersicherheitsrisiken in einem zunehmend digitalen Energiesystem gegeben. Solar-PV-Anlagen werden digitalisiert und zunehmend über Wechselrichter mit dem Internet verbunden. Ein neuer Bericht, erstellt von DNV und in Auftrag gegeben von SolarPower Europe, führt eine umfassende Risikobewertung für die Branche durch und schlägt klare Lösungsansätze vor:
- Entwickeln und verpflichten Sie branchenspezifische Cybersicherheitskontrollen, beispielsweise über einen Standard, zur Sicherung ferngesteuerter Solar-PV-Infrastruktur.
- Beschränken Sie den Fernzugriff und die Fernsteuerung von EU-Solar-PV-Systemen von außerhalb der EU über den Wechselrichter
Walburga Hemetsberger, CEO von SolarPower Europe (sie/ihr), sagte: „Wie jede technologische Revolution bietet die Digitalisierung enorme Chancen, beispielsweise Einsparungen bei den Energiesystemkosten von 160 Milliarden Euro pro Jahr. Sie bringt aber auch neue Herausforderungen mit sich, wie zum Beispiel die Cybersicherheit. Wir brauchten keinen Virenschutz für eine Schreibmaschine – für unsere Laptops schon. Als verantwortungsbewusste, zukunftsorientierte Branche haben wir die Herausforderungen der Cybersicherheit erkannt und begegnen ihnen mit klaren, umfassenden Lösungen.“
Der Bericht stellt fest, dass Europas Abkehr von einem Energiesystem, das von wenigen, wirkungsvollen Zielen abhängig ist, hin zu einem stärker dezentralen System klare Vorteile für die Energiesicherheit bietet. Um diesen Vorteil zu maximieren, muss die Gesetzgebung zur Cybersicherheit – die sich auf die bestehende, zentralisierte Energieinfrastruktur konzentriert – aktualisiert werden. Sie muss den spezifischen Sicherheitsanforderungen dezentraler Energiequellen, wie beispielsweise kleinerer Solaranlagen auf Hausdächern, gerecht werden. Der Bericht stellt außerdem fest, dass die Solarbranche zwar Ziel von Cyberangriffen ist, diese jedoch nicht mit denen in anderen Bereichen des Energiesektors vergleichbar sind. Dort sind Industriespionage, Ransomware und Angriffe, die zu Stromausfällen im öffentlichen Stromnetz führen, in den letzten zehn Jahren immer häufiger aufgetreten.
Bei der Risikoanalyse hebt der Bericht Risiken hervor, die durch direkte Kontrollen von Wechselrichtern, z. B. zur Bereitstellung von Netzdienstleistungen, und Updates, z. B. für Sicherheitsupdates, entstehen. Einerseits stellt er fest, dass Großanlagen sicherer sind. Sie werden oft von erfahrenen Energieversorgern verwaltet und fallen unter die NIS2-Richtlinie der EU. Andererseits fehlen für kleine Solaranlagen, die oft auf Dächern installiert werden, strenge Cyber-Regeln. Sie sind mit den Clouds von Herstellern, Installateuren oder Dienstleistern verbunden. Während die Auswirkungen einer Kompromittierung einer einzelnen Anlage gering sind, werden sie, wenn sie zur Steigerung der Stromsystemeffizienz aggregiert werden, zu virtuellen Kraftwerken von erheblichem Ausmaß.
Der Bericht stellt fest, dass eine gezielte Beeinträchtigung von 3 GW Erzeugungskapazität erhebliche Auswirkungen auf das europäische Stromnetz haben kann. Die Analyse zeigt, dass über ein Dutzend westlicher und nicht-westlicher Hersteller heute deutlich mehr als 3 GW installierte Leistung kontrollieren. Infolgedessen werden von den 14 im Bericht bewerteten Risikobereichen fünf als mittleres Risiko, sechs als hohes Risiko und drei als kritisches Risiko eingestuft. Die Risikomessung berücksichtigt die Schwere der Auswirkungen und deren Eintrittswahrscheinlichkeit. Während verabschiedete EU-Gesetze wie der Cyber Resilience Act, die NIS2-Richtlinie und der Network Code for Cybersecurity (NCCS) einen Teil der Risiken mindern, skizziert SolarPower Europe einen klaren Weg, um in allen 14 Risikobereichen den Status „niedriges Risiko“ zu erreichen.
Um die Cybersicherheit wieder in die Kategorie „niedriges“ Risiko einzustufen, empfiehlt der Bericht zwei übergreifende Lösungsansätze. Der erste würde sicherstellen, dass bestehende Gesetze zur Cybersicherheit ausreichend auf die Bedürfnisse der Solarbranche zugeschnitten sind. Der zweite würde neue Regeln einführen, die die Kontrolle relevanter Solaranlagen über Wechselrichter innerhalb der EU oder in Ländern mit einem gleichwertigen Sicherheitsniveau gewährleisten.
Für die zweite Lösung empfiehlt der Bericht einen Ansatz ähnlich den DSGVO-Regeln. Demnach sollte die Kontrolle aggregierter, verteilter Geräte, wie beispielsweise kleiner Solaranlagen auf Hausdächern, nur in Regionen erfolgen, deren Sicherheit der EU gleichwertig ist. Dies sollte über das EU-NCCS oder ein neues Schnellverfahren umgesetzt werden. Unternehmen mit hohem Risiko müssten dann Cyber-Lösungen entwickeln, die von den zuständigen Behörden überwacht und genehmigt würden.
Notiz
- Dieser Bericht wurde von DNV im Auftrag von SolarPower Europe erstellt. Die Veröffentlichung wurde mit dem technischen Input des European Inverter Forums erstellt und vom SolarPower Europe Board verabschiedet.
- Den Modellrechnungen der Mission Solar 2040 zufolge könnten durch ein digitales, flexibles und elektrifiziertes Energiesystem die Energiesystemkosten der EU bis 2040 jährlich um rund 160 Milliarden Euro gesenkt werden.
- Dieser Bericht folgt dem Positionspapier von SolarPower Europe zur Cybersicherheit vom Juli 2024.
Lösungen für PV-Cyberrisiken für die Netzstabilität
Die Vorteile digitalisierter Energie nutzen. Solarspezifische Cyber-Standards. Fernzugriff auf Solaranlagen einschränken.
