Mit NIS2 steigen die Anforderungen an die Cybersicherheit auch für Betreiber von Ladeinfrastruktur. Die 13 Energieunternehmen des BEÖ und die europäische Cybersecurity-Organisation ENCS haben in einer Erhebung untersucht, wie gut Hersteller von Ladestationen aufgestellt sind. Im Interview erklären BEÖ Vorstandsmitglieder Josef Neuhold und Lukas Wallner die wichtigsten Ergebnisse und welche gemeinsamen Standards die Branche jetzt vorantreiben will.
Cybersicherheit beim Laden
© AdobStock_557389202
Josef Neuhold © Energie Graz
Die BEÖ Mitglieder haben die Erhebung gemeinsam getragen. Warum war es wichtig, hier als Branche vorzugehen ?
Josef Neuhold: „Die Herausforderungen rund um NIS2 betreffen nahezu alle Betreiber öffentlicher Ladeinfrastruktur gleichermaßen. Anstatt dass jedes Unternehmen dieselben Fragen an dieselben Hersteller stellt, haben wir unsere Kräfte gebündelt und die Erhebung gemeinsam durchgeführt. Durch das gemeinsame Vorgehen konnten wir einen einheitlichen Fragenkatalog entwickeln, Hersteller vergleichbar bewerten und Erfahrungen bündeln. Zudem wurden Doppelaufwände vermieden, Know-how zusammenführt und erstmals gemeinsame Sicherheitsanforderungen für die Branche abgeleitet. Das hilft, die Cybersicherheit der Ladeinfrastruktur insgesamt weiterzuentwickeln.“
Lukas Wallner © privat
Wie gut sind die Hersteller von Ladeinfrastruktur auf die Anforderungen an Cybersicherheit vorbereitet?
Lukas Wallner: „Die gute Nachricht ist: Die meisten Hersteller haben die Bedeutung von Cybersicherheit erkannt und beschäftigen sich intensiv mit Themen wie NIS2, Cyber Resilience Act oder ISO 27001. Unsere Erhebung zeigt, dass der Markt grundsätzlich auf einem guten Weg ist. Gleichzeitig haben wir Unterschiede beim Reifegrad festgestellt, etwa bei Fernzugriffen, dem Umgang mit Sicherheitslücken oder der Transparenz gegenüber Betreibern. Hier sehen wir noch Potenzial für weitere Verbesserungen. Die gute Nachricht ist: Die Ladestationshersteller bewegen sich insgesamt in die richtige Richtung, aber das Niveau ist noch nicht überall gleich hoch.“
Ein wichtiger Punkt sind Fernzugriffe auf Ladestationen. Wo gibt es dabei Sicherheitsrisiken, und wie sollte ein sicherer Herstellerzugriff künftig aussehen?
Josef Neuhold: „Fernzugriffe werden von Herstellern häufig für Wartung, Fehleranalyse oder Software-Updates genutzt und sind grundsätzlich ein wichtiges Werkzeug für einen effizienten Betrieb. Kritisch wird es dann, wenn solche Zugriffe nicht ausreichend kontrolliert, dokumentiert oder eingeschränkt werden können. Unsere Erhebung hat gezeigt, dass es hier im Markt unterschiedliche Ansätze gibt. Aus Sicht der Arbeitsgruppe sollte künftig der Betreiber jederzeit die Kontrolle über Herstellerzugriffe behalten. Aus Sicht der Betreiber sollte künftig gelten: Fernzugriffe sollten transparent dokumentiert, rollenbasiert abgesichert, stark authentifiziert und nur nach klar definierten Prozessen möglich sein. Genau deshalb wollen wir die Erkenntnisse auch in die Weiterentwicklung der europäischen Sicherheitsanforderungen einbringen. Dazu gehören eine explizite Freigabe durch den Betreiber, eine zeitliche Begrenzung der Zugriffe, Mehr-Faktor-Authentifizierung sowie eine vollständige Protokollierung aller Aktivitäten. Dadurch lassen sich die Vorteile der Fernwartung mit hohen Sicherheitsstandards verbinden.“
Auch beim Umgang mit Sicherheitslücken und Software-Updates gibt es Unterschiede zwischen den Herstellern. Welchen Verbesserungsbedarf sehen Sie aufgrund der Erhebung?
Lukas Wallner: „Für Betreiber von Ladeinfrastruktur ist entscheidend, wie mit Sicherheitslücken umgegangen wird. Unsere Erhebung hat gezeigt, dass viele Hersteller bereits strukturierte Prozesse etabliert haben. Gleichzeitig gibt es Unterschiede bei Meldewegen, Patch-Zyklen und der Offenlegung von Schwachstellen. Wir möchten, dass Betreiber schnell informiert werden, Risiken nachvollziehen können und Sicherheitsupdates innerhalb klar definierter Fristen erhalten. Auffällig war auch, dass von den befragten Herstellern nur ein Hersteller Sicherheitslücken systematisch über öffentliche CVE-Datenbanken veröffentlicht. Gerade im Hinblick auf NIS2 und den Cyber Resilience Act wird dieser Bereich in den kommenden Jahren weiter an Bedeutung gewinnen.“
Die Erkenntnisse aus Österreich sollen in die Weiterentwicklung der europäischen EV-311-Sicherheitsanforderungen einfließen. Was soll konkret verbessert werden?
Lukas Wallner: „Ein wesentliches Ergebnis der Erhebung war die Erkenntnis, dass Herstellerzugriffe auf Ladestationen im Markt weit verbreitet sind, bisher aber häufig keine einheitlichen Sicherheitsanforderungen existieren. Gemeinsam mit ENCS haben wir darauf reagiert und zusätzliche Anforderungen für solche Fernzugriffe erarbeitet, welche in die EV-311-Sicherheitsanforderungen, eingebracht werden, sollen. Künftig sollen Betreiber jederzeit die Kontrolle über Herstellerzugriffe behalten, Zugriffe nachvollziehbar dokumentiert werden und moderne Sicherheitsmechanismen wie Mehr-Faktor-Authentifizierung zum Standard werden.“
© BEÖ/Halada
Welche Schritte will der BEÖ in Zukunft setzen?
Josef Neuhold: „Die Erhebung war ein wichtiger erster Schritt. Nun geht es darum, die Ergebnisse in konkrete Branchenstandards und Beschaffungsanforderungen umzusetzen. Aus den Unterlagen ergeben sich insbesondere drei nächste Schritte: Erstens: Abschluss und Aufbereitung des Endberichts, zweitens Rückmeldung der Ergebnisse an die Hersteller und weiterer Dialog über Verbesserungsmöglichkeiten und drittens: Weiterentwicklung der ENCS/ElaadNL-Sicherheitsanforderungen mit besonderem Fokus auf Hersteller-Fernzugriffe. Darüber hinaus wird der BEÖ die regulatorischen Entwicklungen rund um NIS2, Cyber Resilience Act und weitere europäische Sicherheitsanforderungen weiterhin aktiv begleiten.“
NIS2 kurz erklärt
Die EU-Richtlinie NIS2 soll das Cybersicherheitsniveau in wichtigen und kritischen Wirtschaftsbereichen, etwa im Energiesektor, erhöhen. Betroffene Einrichtungen müssen Cyberrisiken systematisch bewerten, geeignete technische und organisatorische Sicherheitsmaßnahmen umsetzen, die Sicherheit ihrer Lieferketten berücksichtigen und erhebliche Cybersicherheitsvorfälle melden. In Österreich wird NIS2 mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt. Seit 1. Oktober 2026 sind die wesentlichen Bestimmungen des NISG 2026 sind in Kraft. Bis Anfang Jänner 2027 müssen sich betroffenen Unternehmen registrieren. Innerhalb von zwölf Monaten nach Eintritt der Registrierungspflicht müssen unter anderem die umgesetzten Risikomanagementmaßnahmen, die Sicherheit der Lieferketten und die Ergebnisse der Risikoanalyse dargestellt werden. Ab Oktober 2028 kann die Cybersicherheitsbehörde erstmals einen unabhängigen Nachweis über die Umsetzung der Sicherheitsmaßnahmen verlangen. Bei erheblichen Cybersicherheitsvorfällen gilt: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und grundsätzlich ein Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung.
EV-311 beschreibt, welche technischen Sicherheitsfunktionen eine moderne Ladestation mitbringen sollte. Dieser Anforderungskatalog wurden von ENCS und ElaadNL entwickelt und basieren auf dem internationalen Standard IEC 62443. Betreiber können sie vor allem bei der Beschaffung neuer Ladehardware verwenden.
Josef Neuhold: „Eine Ladestation ist längst mehr als ein Stromanschluss. Sie ist Teil einer digitalen Infrastruktur und eines Gesamtsystems. Genau deshalb rückt Cybersicherheit stärker in den Fokus. Mit NIS2 steigen die Anforderungen an Betreiber deutlich: Risiken müssen früh erkannt, Lieferketten bewertet und Sicherheitsvorfälle strukturiert gemeldet werden. Das erhöht die Sicherheit für Betreiber und Kund:innen gleichermaßen. Mit dem weiteren Wachstum der E-Mobilität werden Cybersicherheit, Verfügbarkeit und Vertrauen in die Ladeinfrastruktur zu Schlüsselfaktoren für den Erfolg des Gesamtsystems. Ladestationsbetreiber tragen hier eine besondere Verantwortung. Daher ist es besonders wichtig dieses Thema mit derselben Ernsthaftigkeit zu behandeln wie Betriebssicherheit, Netzstabilität und Kundenzufriedenheit. Unsere Erhebung zeigt, dass sich alle befragten Hersteller intensiv mit NIS2 beschäftigen und selbst von der Richtlinie als wichtige oder wesentliche Einrichtungen betroffen sind.“