Energieerzeuger, Netzbetreiber und Dienstleister unterscheiden
Für die Cyberversicherung in der Energiewirtschaft macht es einen Unterschied, ob ein Unternehmen Strom verkauft, ein Netz betreibt oder einen Solarpark technisch führt. Bei Wind- und Solarprojekten sind Eigentümergesellschaft, Betriebsführer und Fernüberwacher zudem häufig nicht identisch.
Erstellen Sie deshalb eine Übersicht der Gesellschaften und Zuständigkeiten. Wer darf Anlagen steuern? Wer betreibt das Portal? Wer trägt bei einem Ausfall den Ertragsverlust? Diese Fragen lassen sich nicht allein aus der installierten Leistung einer Anlage beantworten.
Welche Cyberfolgen können Energieunternehmen treffen?
Ein Angriff kann Abrechnung und Kundenservice stören, ohne dass die Erzeugung stoppt. Umgekehrt kann eine manipulierte Fernsteuerung technische Abläufe beeinträchtigen, während die Büro-IT erreichbar bleibt. Versicherungssumme und Bedingungen sollten beide Ebenen angemessen berücksichtigen.
| Bereich | Zu untersuchende Auswirkung |
|---|---|
| Abrechnung und Kundendaten | Datenverletzung, Bearbeitungsrückstände und Wiederherstellung |
| Leittechnik und Fernüberwachung | Kontrollverlust, Abschaltung und sicherer Wiederanlauf |
| Betriebsführungsportal | Abhängigkeit von externen Dienstleistern |
| Erzeugung und Vermarktung | Entgangener Ertrag und zusätzliche Betriebskosten |
| Anlage und Umwelt | Physische Folgeschäden getrennt von reinen IT-Kosten |
Nicht jede digitale Störung erfüllt den versicherten Auslöser. Ein Stromausfall, technischer Defekt und ein Cyberangriff können in unterschiedlichen Vertragsbausteinen geregelt sein.
Beispiel: Fernzugang eines Betriebsführers kompromittiert
Ein mögliches Szenario beginnt mit einem gestohlenen Fernwartungszugang. Mehrere Anlagen müssen vorsorglich getrennt und ihre Einstellungen überprüft werden. Neben der IT-Analyse werden technische Tests und eine koordinierte Wiederinbetriebnahme nötig.
Für die Cyberdeckung ist nun zu klären, welche Gesellschaft betroffen ist und ob der externe Betriebsführer unter die Dienstleisterklausel fällt. Ertragsausfall, physische Anlagenschäden und Ansprüche Dritter sind separate Positionen. Die Haftpflichtversicherung des Dienstleisters ersetzt nicht automatisch alle eigenen Schäden des Anlagenbetreibers.
Gesetzliche Sicherheitsanforderungen und Versicherung getrennt prüfen
Energieunternehmen können besonderen IT-Sicherheitsanforderungen unterliegen. Die Einordnung hängt von Tätigkeit, Einrichtung und den einschlägigen Vorschriften ab. Neben dem BSIG sind für bestimmte Energieanlagen, Netze und digitale Energiedienste energiewirtschaftliche Sonderregelungen zu berücksichtigen.
Eine Cyberversicherung erfüllt keine Melde-, Organisations- oder Sicherheitsanforderungen anstelle des Unternehmens. Ebenso führt nicht jeder IT-Ausfall automatisch zu einer Geldbuße. Kosten für rechtliche Begleitung und behördliche Sanktionen sind im Versicherungsvergleich auseinanderzuhalten.
Angaben für den Cybervergleich eines Energieunternehmens
Bereiten Sie die Betreiberstruktur, Standorte, wesentlichen Anlagen und den Umfang der Fernsteuerung vor. Ergänzen Sie ausgelagerte Dienste, vorhandene Notfallabläufe und Angaben zur Trennung von Büro- und Betriebstechnik. Bei Projektgesellschaften sollten Ertragsverantwortung und bestehende Sachverträge nachvollziehbar sein.
Für Stadtwerke ist zusätzlich die Seite kommunale Cyberversicherung hilfreich. Die Abgrenzung von IT und OT in der Produktion erläutert verwandte Fragen zu physischen Schäden und Wiederanlauf.
Cyberversicherung für Energieanlagen: Betreiber und Dienstleister trennen
Bei einer Energieanlage können Eigentümer, kaufmännischer Betreiber und technischer Betriebsführer verschiedene Unternehmen sein. Für die Cyberversicherung muss deshalb klar sein, wer den Ausfallschaden trägt und wer Zugriffe auf Steuerung oder Überwachung verwaltet.
Die Anfrage sollte diese Rollen sowie wesentliche Fernwartungswege und Netzverbindungen erfassen. Eine Police des Betriebsführers ersetzt nicht automatisch den eigenen Ertragsausfall des Anlagenbetreibers. Physische Schäden an Anlagen und Haftungsansprüche wegen Versorgungsstörungen benötigen zudem eine ausdrückliche Abstimmung mit den übrigen Verträgen.