Datensicherheit im Smart Grid

Datensicherheit im Smart Grid EVU-Lunch 2013 Au Premier Zürich, 29. November 2013 Schmuel Holles, Bereichsleiter EVU www.awk.ch

Inhalt Smart Grid, ICT und Datensicherheit Überblick internationale Standards und Richtlinien Datensicherheitsbedarf im Smart Grid Fazit

Smart Grid, ICT und Datensicherheit Die ICT als Enabler im Smart Grid Systemdienstleistungen Netzbetriebsoptimierung Zentrale Produktion Produzent Übertragungsnetz ÜNB Dienstleister Applikationen Smart Meters, Datenkonzentratoren Leitzentrale EDM / MDUS Gebäudeautomation, HLKKSE Verteilnetzautomatisierung Smart Metering Verteilnetz Dezentraler Produzent Speicher Industrieverbraucher VNB Architekturen Zähler-Architektur Applikationsarchitektur Datenarchitektur Kommunikationsarchitektur Demand Side Integration Prosumer (Produktion und Verbrauch) Dezentrale Produktion Dezentrale Intelligenz Kommunikation Hausautomatisierung Elektromobilität Verbraucher Smart Meter Technologien Access (PLC, DSL, UMTS etc.) & Backbone (SDH, MPLS) Netzwerk (LAN, EEbus) Übertragung, Protokolle (TCP/IP, UDP/IP, BACNet etc.) Anwendungen Smart Grid ICT 3

Smart Grid, ICT und Datensicherheit Die Datensicherheit im Energieumfeld Datenschutz Versorgungssicherheit 4

Smart Grid, ICT und Datensicherheit Die relevanten Fragestellungen Welche Anwendungszwecke sind betroffen? Welche Daten und ICT-Komponenten sind betroffen? Welcher Datensicherheitsbedarf ist dort jeweils vorhanden? Welche Massnahmen sind zu treffen? Welche Richtlinien braucht es hierfür? 5

Überblick internationale Standards und Richtlinien Stand in verschiedenen Ländern EU Richtlinien Smart Grid Gremien BMWi (Bundesministerium für Wirtschaft & Technologie) BSI (Bundesamt für Sicherheit in der Informationstechnik) BMWFJ (Bundesministerium für Wirtschaft, Familie & Jugend) E-Control DECC (Department of Energy and Climate Change) Ofgem (Office of Gas and Electricity Markets) NEN (Netherland Standardisation Institute) Netbeheer Nederland (Fachverband) 7

Überblick internationale Standards und Richtlinien EU Mandat M/490 Auftrag zur Erstellung von Normen für Smart Grids in Europa und deren Interoperabilität Arbeitsgruppe CEN, CENELEC und ETSI zur Erstellung: SG-CG *) a) Technische Referenz-Architektur für Smart Grids b) Übersicht Standards im Smart Grid Umfeld Richtlinien Empfehlung 2012/148/EU Vorbereitungen für die Einführung intelligenter Messysteme c) Dauerhafte Normungsprozesse Smart Grids d) Empfehlungen Smart Grid Informationssicherheit SGIS Smart Grid Information Security Standardübersicht & methodische Empfehlungen Informationssicherheit Smart Grid First Set of Standards Zusammenstellung Standards für sämtliche Komponenten Smart Grid *) Smart Grid Coordination Group Empfehlungen Datenschutz Datensicherheit Datenschutzfolgeabschätzung Konzeptionsbedingter ( by design ) und standardmässiger ( by default ) Datenschutz Umsetzung berücksichtigt standardmässig die datenschutzfreundlichste Option Nutzung geeigneter Datenschutz-Zertifizierungsverfahren Berücksichtigung Stellungnahme der jeweiligen Datenschutzgruppen Datensicherheit zu einem frühen Zeitpunkt als Teil der Netzarchitektur einbeziehen Verwendung verschlüsselter Kanäle Berücksichtigung internationaler Sicherheitsnormen der Reihe ISO/IEC 27000 Ermittlung der Sicherheitsrisiken und massnahmen durch die Netzbetreiber 8

Überblick internationale Standards und Richtlinien Deutschland Standards/ Richtlinien BMWI: EnWG BSI: Schutzprofile für Smart Meter Gateways Sicherheitsmodul Technische Richtlinien (Ausgestaltung Schutzprofile) Voraussetzungen zur Einführung Smart-Meters Sicherheitstechnische Anforderungen an Smart-Meter-Gateway Sicherheitsmodul (kryptographisches Modul) (EnWG) Smart-Meters einzubauen bei Jahresverbrauch > 6 000 kwh Neue oder gross renovierte Gebäude Neue Einspeiser > 7kW soweit technisch möglich Kosten/Nutzen-Analyse BMWi (2013) *) : Empfehlung Smart-Meter Roll-Out für bestimmte Nutzerprofile Ca. 60Mio. Nutzer bis 2029, inkl. Mischform intelligente Zähler/Messysteme Stand D Anpassungen anstehend in Messsystemverordnung und Messzugangsverordnung *) Gemäss EU-Richtlinie 2009/72/EG Anforderungen Datenschutz Sicherstellung von Datenschutz und sicherheit mit Massnahmen gemäss Stand der Technik Verwendung von Verkehrsdaten bis max. 6 Monate bei Missbrauchsverdacht Anonymisierung und Pseudonomisierung personenbezogener Daten Zertifizierung zur Einhaltung des Schutzprofils nicht-konforme Messsysteme dürfen nur bis 31.12.14 eingebaut werden Datensicherheit (Schutzprofile & TR BSI) Technische und betriebliche Anforderungen Kryptographische Verfahren und Anforderungen Datenzugriff, Datenintegrität Firewall-Funktionalitäten Physikalischer Schutz der Devices Auditierung (Log-Files) Betriebliche und organisator. Sicherheitsanforderungen: Installation, Integration, Rollen etc. Testing- und Prüfanforderungen (Zertifizierung) 9

Überblick internationale Standards und Richtlinien Österreich Standards/ Richtlinien BMWFJ: ElWOG, GWG IME-VO Messgeräte-Einführungs-VO E-Control: Diverse Verordnungen IMA-VO, DAVID-VO etc. Voraussetzungen und Planung zur Einführung Smart-Meters Technische & funktionale Mindestanforderungen Smart-Meters Kosten/Nutzen-Analyse E-Control durchgeführt (2010) *) Smart-Meters Roll-Out Plan: Bis Ende 2015: 10% Bis Ende 2017: 70% Bis Ende 2019: 95% Endkunde hat Opt-Out Möglichkeit bei der Installation von Smart-Meters Stand AT *) Gemäss EU-Richtlinie 2009/72/EG Anforderungen Datenschutz Datensicherheit Betrieb Smart-Meters hat unter Wahrung des Datenschutzes zu erfolgen Smart-Meters haben den datenschutzrechtlichen Bestimmungen sowie dem anerkannten Stand der Technik zu entsprechen Die Netzbetreiber berichten jährlich der E-Control zum Roll-Out-Stand sowie zum Datenschutz Messdaten der letzten 60 Tage sind im Smart-Meter zu speichern ( lückenlose Rekonstruktion ) Smart-Meters und Kommunikation sind abzusichern, zu verschlüsseln und zu authentisieren, nach Stand der Technik Smart-Meters verfügen über Status-/ Fehler-/ Zugriffsprotokolle sowie Manipulationserkennung Diverse funktionale & technische Anforderungen: Messintervall, Ausleseintervall, Fernschaltung, Fern- SW-Updates etc. 10

Überblick internationale Standards und Richtlinien England Standards/ Richtlinien Electricity Act, Gas Act DCC License Energiegesetze, mit Vorgaben für die DCC-Aktivitäten Vorgaben zu Lizenzierung, Aufbau und Betrieb der DCC Ziel: Vollständiger Smart Meter Roll-Out 2015-2020 Etablierung der Data Communication Company (DCC): Endverbraucher Stand GB SEC Smart Energy Code Vorgaben zu Services & Schnittstellen DCC-Marktpartner DCC SMETS Smart Metering Equipment Technical Specifications Technische Spezifikationen zu den Smart Meters und Inhome- Displays Netzbetreiber Lieferant Anforderungen Schutzziele Verbrauchs- & Personendaten Physikalisches Gerät Sicherheitszertifikate und -schlüssel Zufallszahlengenerator und kryptografische Algorithmen Firmware Datensicherheit Vermeidung von Massnahmen bei unautorisiertem physischem Zugriff Sicherung der Messdaten Verwendung von Sicherheitszertifikaten und schlüsseln (Anforderungen Datenschutz werden noch formuliert) 11

Überblick internationale Standards und Richtlinien Holland Standards/ Richtlinien NTA 8130 Netherlands Technical Agreement Mindestanforderungen an Smart Meter 2006 :vollständige verpflichtende Stand NL Smart Meter Einführung geplant 15-Min-Messintervalle, Fern-Stromabschaltung 2008: Datenschutz Anpassungen 15 -Intervalle nur bei Einverständnis Konsument DSMR Dutch Smart Metering Requirements Ausgestaltung der Anforderungen NTA8130 2009: Studie Konsumentenschutz stuft geplante Einführung als Verletzung ECHR Art. 8 ein Aktuell: Smart Meter sind freiwillig, 4 Möglichkeiten: a) Kein Smart Meter b) Smart Meter mit jederzeitiger Deaktivierung c) Smart Meter mit Standardmessintervallen d) Smart Meter mit kürzeren Messintervallen Anforderungen Datensicherheit Anforderungen an die Interoperabilität Definition der Standardmessintervalle (im Einklang mit Datenschutz) Detaillierte spezifische Anforderungen an Datensicherheit im DSMR 12

Datensicherheitsbedarf im Smart Grid Die relevanten Fragestellungen Anwendungszwecke? Richtlinien? Daten und ICT- Komponenten? Massnahmen? Datensicherheitsbedarf? 14

Datensicherheitsbedarf im Smart Grid ICT-Architektur im Smart Grid Produktion Handel & Vertrieb Übertragung Verteilung «Prosumer» Übergeordnete Zielvorstellungen zu den erforderlichen Funktionalitäten Smart Grid Business Layer Funktionalitäten im Sinne von Use-Cases (Anwendungsfälle) Function Layer (Use-Cases) Informationsobjekte, welche im Smart Grid verwaltet und ausgetauscht werden Information Layer Kommunikationselemente, welche zum Austausch der Informationen im Smart Grid verwendet werden (Kommunikationstechnologien und Dienste) Communication Layer Produktion Speicherung Produktion Speicherung Übertragungsnetz Produktion Speicherung Verteilnetz Produktion Verbrauch Speicherung Physische Komponenten eines Smart Grids (ICT-Infrastruktur, Applikationen, Netzassets) Component Layer 15

WAN Access LAN Datensicherheitsbedarf im Smart Grid ICT-Architektur (Beispiel EDM) Produktion Handel & Vertrieb Übertragung Verteilung «Prosumer» Ziel 1 Ziel 2 Business Layer Function Layer (Use-Cases) Verteilnetzautomat. Netzbetriebsoptimierung DSI SDL EDM Hausautomat. Information Layer Prognosedaten Kundendaten Abrechnungsdaten Prognosedaten Kundendaten Abrechnungsdaten Konfigurationsdaten MPLS, SDH WLAN, UMTS, DSL, PLC etc. Ethernet, WLAN Communication Layer Produktion Speicherung Produktion Speicherung Übertragungsnetz Produktion Speicherung Verteilnetz Produktion Verbrauch Speicherung ICT-Applikationen EDM-Applikation Messsystem Component Layer 16

aggregiert aggregiert Datensicherheitsbedarf im Smart Grid Datensicherheitsbedarf (Beispiel EDM/SDAT) Rollen Daten Komponenten. Access WAN Datensicherheitsbedarf C Confidentiality I Integrity A Availability C I A Bewertung Übertragungsnetzbetreiber Applikation EDM Weitere Marktpartner (BG) Applikation EDM aggregiert aggregiert Prosumer (& Erzeuger) Verteilnetzbetreiber Energielieferant Messsystem Prognosedaten Netz Applikation EDM Kundendaten LF LF Prognosedaten Energie Applikation EDM Kundendaten Konfigurationsdaten Abrechnungsdaten Abrechnungsdaten

Datensicherheitsbedarf im Smart Grid Datensicherheit Smart Grid CH Aktuelle Aktivitäten Smart Grid Technologien (Studie) Identifizierung der relevanten Anwendungsfälle Entwicklung der prinzipiellen ICT-Architektur Smart Grid Studie BFE: Datensicherheit, Datenschutz sowie Richtlinien & Standards im Bereich Smart Grid Identifizierung des Datensicherheitsbedarfs und der Datenschutz-Fragestellungen Ableitung des Standardisierungsbedarfs und möglicher Lösungsansätze Smart Grid Roadmap 18

Fazit Datensicherheit und Datenschutz spielen eine zunehmend wichtige Rolle im europäischen Standardisierungskontext Smart Grid Die Entwicklung entsprechender Richtlinien erfordert ein umsichtiges Vorgehen unter Einbezug aller relevanten Aspekte und Akteure Sicherheit & Datenschutz, Effizienzziele, Versorgungsqualität, Kosten etc. Dabei lässt sich auf Erfahrungen aus anderen europäischen Ländern aufbauen (Beispiel Holland), unter Berücksichtigung schweizerischer Rahmenbedingungen, z. B. im Datenschutz Die spezifischen diesbezüglichen Anforderungen hängen in hohem Masse von den zukünftigen Vorgaben ab, v. a. von den betrieblichen und technischen Mindestanforderungen an die Smart Grid Technologien sowie den involvierten Rollen im liberalisierten Markt 20

Herzlichen Dank für Ihre Aufmerksamkeit! Fragen, Anregungen? 21