NIS2-Verordnung: Neue Cybersecurity-Pflichten treffen nun auch Windparkbetreiber

Die Umsetzung der europäischen NIS2-Richtlinie in nationales Recht markiert einen Wendepunkt für die Cybersicherheit in der Energiewirtschaft – insbesondere für Unternehmen der Windbranche. Die Verordnung führt bestehende Regelungen zusammen, erweitert sie deutlich und bringt neue Verantwortlichkeiten mit sich, die weit über bisherige KRITIS-Vorgaben hinausgehen.

• Betreiber von Windparks, deren Anlagen eine bestimmte Größe oder Bedeutung für die Energieversorgung erreichen,
  
• Betriebsführer und Unternehmen, die zentrale IT-Infrastrukturen in der Energiebranche betreiben oder steuern,
  
• sowie Unternehmen, die zuvor nicht als KRITIS-Teilnehmer eingestuft waren, nun aber aufgrund ihrer Größe oder Systemrelevanz als „wichtige Einrichtungen“ gelten.
  

Windparkbetreiber und Betriebsführer sind verpflichtet, umfangreiche Maßnahmen zur Erhöhung der IT- und Informationssicherheit umzusetzen. Dazu gehören:

• Einrichtung eines Informationssicherheits-Managementsystems (ISMS),
  
• Umsetzung technischer Schutzmaßnahmen wie Patch- und Zugriffsmanagement, Backup-Strategien und Incident-Response-Prozesse,
  
• Dokumentation und regelmäßige Schulungen von Mitarbeitenden,
  
• Einführung von Notfall- und Wiederanlaufplänen,
  
• Kontrolle und Bewertung von Dienstleistern und Lieferanten auf ihre Cybersicherheitsstandards.