Einführung
Die Cybersicherheitsrisiken rund um Ladestationen für Elektrofahrzeuge nehmen zu. Um diese Stationen zentral zu verwalten, ob im öffentlichen Raum oder an privaten Standorten, müssen Ladestationsbetreiber (CPOs) mehrere vernetzte Systeme betreiben und sind für den Schutz sensibler Daten wie Nutzeridentitäten und Zahlungsinformationen verantwortlich. Die Komplexität und Vernetzung dieser Systeme setzt sie einer Reihe von Cyberbedrohungen aus, von Datenlecks bis zu möglichen Störungen des Stromnetzes. Diese Schwachstellen zu beheben ist entscheidend und erfordert robuste Sicherheitsmaßnahmen wie starke Authentifizierungsprotokolle, Verschlüsselungsstandards und segmentierte Netzwerkarchitekturen. Regulatorische Rahmen wie die europäische NIS2-Richtlinie sollen die Cybersicherheitsstandards für die EV-Infrastruktur stärken. Für einen wirksamen Schutz vor sich wandelnden Cyberbedrohungen bleibt eine umfassende Zusammenarbeit der Branche dennoch unverzichtbar.
Die NIS2-Richtlinie, offiziell Richtlinie (EU) 2022/2555, wurde im Dezember 2022 vom Europäischen Parlament und vom Rat veröffentlicht. Ihr Hauptziel ist es, die Cybersicherheit in der Europäischen Union zu verbessern, indem sie ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme schafft. Die Richtlinie ersetzt ihre Vorgängerin, die NIS-Richtlinie (Richtlinie 2016/1148/EG), und erweitert den Anwendungsbereich auf mehr Sektoren und Einrichtungen. Wir zeigen, wie sich die NIS2-Richtlinie auf den Sektor des EV-Ladens auswirkt und wie AMPECO bei den Herausforderungen von NIS2 helfen kann.
NIS2-Richtlinie im Überblick
Die NIS2-Richtlinie führt mehrere Maßnahmen für ein besseres Cybersicherheits-Risikomanagement, Meldepflichten und Mechanismen der Zusammenarbeit ein. Sie richtet sich an wesentliche und wichtige Einrichtungen in kritischen Sektoren wie Energie, Verkehr, Gesundheit und digitale Infrastruktur.
Da Ladestationsbetreiber eine zentrale Rolle beim Übergang zu nachhaltiger Mobilität spielen, stehen sie in Anhang I der NIS2-Richtlinie auf der Liste der Einrichtungen im Energiesektor mit hoher Kritikalität. Auch Anbieter digitaler Dienste, die Cloud-Computing-Dienste wie Lademanagementsysteme (CPMS, Charge Point Management System) bereitstellen, fallen unter die Richtlinie.
Die folgende Tabelle fasst die wichtigsten Aspekte der Richtlinie zusammen.
Tabelle 1. Wichtige Aspekte der NIS2-Richtlinie
Auswirkungen auf den Sektor des EV-Ladens
Die NIS2-Richtlinie setzt auf einen gefahrenübergreifenden Ansatz für die Cybersicherheit und verpflichtet Einrichtungen, ihre Netz- und Informationssysteme umfassend zu schützen. Nach Art. 21 Abs. 2 umfassen die Maßnahmen zum Schutz von Netz- und Informationssystemen und ihrer physischen Umwelt vor Sicherheitsvorfällen mindestens Folgendes:
1. Konzepte für die Risikoanalyse und die Sicherheit von Informationssystemen
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement
4. Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern;
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
7. Grundlegende Verfahren der Cyberhygiene und Schulungen zur Cybersicherheit;
8. Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung;
9. Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen;
10. Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
Anforderungen an Ladestationsbetreiber
Die NIS2-Richtlinie verpflichtet Einrichtungen aller Sektoren zu einem gefahrenübergreifenden Ansatz für die Cybersicherheit mit umfassendem Schutz der Netz- und Informationssysteme. Für CPOs ergeben sich daraus mehrere konkrete Anforderungen, die Cybersicherheitsrisiken mindern und die Einhaltung der Vorschriften sicherstellen sollen.
- Umfassendes Risikomanagement: CPOs müssen geeignete technische, operative und organisatorische Maßnahmen ergreifen, um Cybersicherheitsrisiken wirksam zu beherrschen.
- Belastbare Richtlinien und Verfahren: Dazu gehören Richtlinien für Risikoanalyse, Sicherheit von Informationssystemen und die Bewältigung von Sicherheitsvorfällen. Zudem sollten CPOs Verfahren zur Aufrechterhaltung des Betriebs festlegen, darunter Backup-Management und Wiederherstellung nach einem Notfall, sowie ein sicheres Anlagenmanagement.
- Sicherheit der Lieferkette: CPOs müssen sicherheitsbezogene Aspekte ihrer Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern berücksichtigen.
- Kryptografie und sichere Kommunikation: Richtlinien zu Kryptografie und Verschlüsselung müssen durchgesetzt werden, damit Kommunikation und Notfallsysteme innerhalb der Einrichtung gesichert sind. Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung sind für den Schutz dieser Kommunikation unverzichtbar.
- Meldepflichten: CPOs müssen erhebliche Sicherheitsvorfälle unverzüglich ihrem zuständigen Computer-Notfallteam (CSIRT, Computer Security Incident Response Team) oder der zuständigen Behörde melden. Außerdem sollten sie potenziell betroffene Empfänger ihrer Dienste rechtzeitig über erhebliche Cyberbedrohungen informieren, einschließlich empfohlener Maßnahmen oder Abhilfen.
- Kontinuierliche Sicherheitsschulungen: Regelmäßige Cybersicherheitsschulungen für Leitungsorgane und Mitarbeiter sind unerlässlich, um Cybersicherheitsmaßnahmen wirksam aufrechtzuerhalten und umzusetzen und das Engagement auf allen Ebenen der Organisation sicherzustellen.
Anforderungen an Lademanagementsysteme
Damit CPOs NIS2 erfüllen können, sollten Anbieter von Lademanagementsystemen diese Anforderungen in ihren Produktentwicklungsprozess übertragen und so sicherstellen, dass die Sicherheitsanforderungen erfüllt werden.
- Fortschrittliche, risikoangemessene Sicherheitsprotokolle, um den Cybersicherheitszustand des gesamten Ladenetzwerks zu steuern und zu überwachen.
- Regelmäßige Compliance-Prüfungen und Audits: CPMS-Anbieter müssen sicherstellen, dass alle Zulieferer die Cybersicherheitsanforderungen erfüllen, indem sie regelmäßige Compliance-Prüfungen und Audits mit Überprüfung und laufender Überwachung von Zulieferern und Dienstleistern einführen.
- Systemsicherheit: Sie sollte in Entwicklung und Wartung des CPMS verankert sein, damit Schwachstellen umgehend behoben werden. Eine kontinuierliche Überwachung muss geplant und regelmäßig durchgeführt werden, um neue Risiken wirksam zu erkennen und zu mindern.
- Umfassende Schulungsprogramme für Mitarbeiter und Management müssen Teil der allgemeinen Personalentwicklungsstrategie sein, um das Bewusstsein für die Bedeutung von NIS2 zu schärfen und über aktuelle Cyberbedrohungen und Schutzpraktiken zu informieren.
ChargeUp Europe, der Verband der Branche für Ladeinfrastruktur in der EU, unterstützt die NIS2-Richtlinie und die aktualisierten Regeln zur Sicherheit von Netz- und Informationssystemen. Die Mitgliedsunternehmen von ChargeUp Europe betreiben über 175.000 Ladepunkte in allen EU-Mitgliedstaaten. Der Verband betont, wie wichtig eine sichere und zuverlässige Ladeinfrastruktur ist, um die emissionsfreie Mobilität voranzubringen. Er setzt sich dafür ein, die Ladeinfrastruktur für Elektrofahrzeuge im Rahmen der NIS-Richtlinie als kritische Infrastruktur einzustufen, damit entlang der gesamten Wertschöpfungskette robuste Sicherheitsmaßnahmen und Datenschutzstandards gelten. Außerdem fordert er einheitliche Definitionen, mehrere Zertifizierungsoptionen, kosteneffiziente Compliance-Maßnahmen und eine mögliche Aufsicht auf EU-Ebene, damit EV-Fahrer in ganz Europa ein nahtloses und sicheres Ladeerlebnis haben.
Wie AMPECO Sie bei der Einhaltung von NIS2 unterstützt
Als führender Anbieter von White-Label-EV-Lademanagement-Software unterstützt AMPECO Ladestationsbetreiber (CPOs) umfassend dabei, die NIS2-Richtlinie zu erfüllen und dauerhaft einzuhalten. Unsere ISO-27001-Zertifizierung stellt sicher, dass unsere Produkte hohe Standards für das Informationssicherheitsmanagement erfüllen. So passen die Funktionen der AMPECO-Software zu den Anforderungen von NIS2.
Moderne Sicherheitsprotokolle
Die Software von AMPECO integriert fortschrittliche Sicherheitsprotokolle, mit denen Sie den Cybersicherheitszustand Ihres gesamten Ladenetzwerks steuern und überwachen. Diese Protokolle helfen, Risiken zu mindern, und sorgen dafür, dass Ihre Infrastruktur gegenüber neuen Cyberbedrohungen widerstandsfähig bleibt.
Datenverschlüsselung und Kryptografie
Zum Schutz sensibler Daten wie Nutzeridentitäten und Zahlungsinformationen setzt AMPECO robuste Verschlüsselungsstandards ein. Unsere Software verschlüsselt Daten sowohl bei der Übertragung als auch im Ruhezustand. Sie folgt höchsten Sicherheitsstandards und entspricht den von NIS2 vorgeschriebenen Kryptografierichtlinien.
Sichere Entwicklungspraktiken
Der Entwicklungsprozess von AMPECO folgt strengen Sicherheitspraktiken, damit unsere Software gegen Schwachstellen gewappnet ist. Regelmäßige Updates und Wartung beheben neue Bedrohungen umgehend, sodass Ihre Systeme sicher bleiben und die Anforderungen von NIS2 erfüllen.
Compliance und Überwachung von Zulieferern
AMPECO prüft alle Zulieferer und Dienstleister, die in unser Software-Ökosystem eingebunden sind, gründlich und überwacht sie laufend. So erfüllt jede Komponente Ihres Ladenetzwerks die notwendigen Cybersicherheitsstandards, und Sie arbeiten in einer sicheren und regelkonformen Umgebung.
Vorfallmanagement
AMPECO ist verpflichtet, im Rahmen seines Prozesses für das Management von Sicherheitsvorfällen jeden Vorfall zu melden, der die Umgebung oder die Daten der CPOs betrifft. Dies ist der erste Schritt zur Erfüllung der NIS2-Anforderung, Vorfälle rechtzeitig an die lokalen CSIRTs zu melden.
Betriebskontinuität
AMPECO sichert die Aufrechterhaltung des Betriebs mit Verfahren für Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Damit kann sich Ihr CPMS-Betrieb nach einem Vorfall schnell erholen und reibungslos weiterlaufen.
Multi-Faktor-Authentifizierung
AMPECO unterstützt die Multi-Faktor-Authentifizierung (MFA) in unserem Backend-Adminportal für zusätzliche Sicherheit. Die MFA für Endnutzer verwalten die CPOs.
Wichtige Fristen
Bis zum 17. Oktober 2024 müssen die Mitgliedstaaten die Maßnahmen erlassen und veröffentlichen, die zur Umsetzung der NIS2-Richtlinie erforderlich sind. Sie wenden diese Maßnahmen ab dem 18. Oktober 2024 an. Die Richtlinie (EU) 2016/1148 (NIS-Richtlinie) wird mit Wirkung vom 18. Oktober 2024 aufgehoben.
Bis zum 17. April 2025 erstellen die Mitgliedstaaten eine Liste der wesentlichen und wichtigen Einrichtungen sowie der Einrichtungen, die Domänennamen-Registrierungsdienste erbringen. Die Mitgliedstaaten überprüfen diese Liste regelmäßig, danach mindestens alle zwei Jahre, und aktualisieren sie gegebenenfalls.
Pflichten für Nicht-EU-Einrichtungen mit Tätigkeit in der EU
Einrichtungen außerhalb der EU, die im Sinne der NIS2-Richtlinie Dienste in der Europäischen Union erbringen, müssen einen Vertreter in einem der Mitgliedstaaten benennen, in denen die Dienste angeboten werden. Dieser Vertreter begründet die Zuständigkeit des betreffenden Mitgliedstaats für die Einrichtung. Fehlt ein Vertreter, kann jeder Mitgliedstaat, in dem Dienste erbracht werden, rechtliche Schritte wegen Verstößen gegen die Richtlinie einleiten. Sektorspezifische Rechtsakte der Union müssen mindestens den Anforderungen an das Cybersicherheits-Risikomanagement nach Artikel 21 Absätze 1 und 2 der NIS2-Richtlinie entsprechen oder darüber hinausgehen. Im Sinne eines „gefahrenübergreifenden Ansatzes“ sollen diese Maßnahmen nicht nur Netz- und Informationssysteme schützen, sondern auch die physische Sicherheit und die Sicherheit der Umgebung gewährleisten, etwa gegen Sabotage, Diebstahl, Brand, Überschwemmung, Ausfälle von Telekommunikation oder Stromversorgung und unbefugten physischen Zugang, die die Datenintegrität und die Verfügbarkeit von Diensten beeinträchtigen könnten.
