Kapitel 3 - Messstellenbetriebsgesetz (MsbG)

Artikel 1 G. v. 29.08.2016 BGBl. I S. 2034 (Nr. 43); zuletzt geändert durch Artikel 12 G. v. 22.12.2023 BGBl. 2023 I Nr. 405
Geltung ab 02.09.2016; FNA: 752-10 Elektrizität und Gas

Teil 2 Messstellenbetrieb

Kapitel 3 Technische Vorgaben zur Gewährleistung von Datenschutz und Datensicherheit beim Einsatz von Smart-Meter-Gateways

§ 19 Allgemeine Anforderungen an Messsysteme; Verordnungsermächtigung

(1) Zur Gewährleistung von Datenschutz, Datensicherheit und Interoperabilität haben Messsysteme den Anforderungen der Absätze 2 und 3 zu genügen.

(2) ¹Zur Datenverarbeitung energiewirtschaftlich relevanter Mess- und Steuerungsvorgänge dürfen ausschließlich solche technischen Systeme und Bestandteile eingesetzt werden, die den Anforderungen aus den §§ 21 und 22 genügen. ²Energiewirtschaftlich relevante Mess- und Steuerungsvorgänge sind abrechnungs-, bilanzierungs- oder netzrelevante Standardleistungen nach § 34 Absatz 1 Nummer 1, 2, 4 und 5 sowie Zusatzleistungen nach § 34 Absatz 2 Satz 2 Nummer 2, 3, 4 Buchstabe a und b und Nummer 5, 8, 9 und 11. ³Die Bundesregierung wird ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates

1. über Satz 2 hinaus weitere abrechnungs-, bilanzierungs- oder netzrelevante Mess- und Steuerungsvorgänge des § 34 als energiewirtschaftlich relevante Mess- und Steuerungsvorgänge zu definieren oder

2. Regelungen für Weitverkehrsnetzanbindungen von steuerbaren Verbrauchseinrichtungen und steuerbaren Netzanschlüssen nach § 14a des Energiewirtschaftsgesetzes zu treffen, und zwar

a) die erfassten steuerbaren Verbrauchseinrichtungen und steuerbaren Netzanschlüsse nach technischer Beschaffenheit und Anschlussleistung näher zu bestimmen sowie bereits in Betrieb genommene steuerbare Verbrauchseinrichtungen und steuerbare Netzanschlüsse bei sonst drohenden unverhältnismäßigen Gefahren einzubeziehen,

b) in bestimmten Fällen von Smart-Meter-Gateways unabhängige Weitverkehrsnetzanbindungen vollständig zu untersagen oder die Anbindung nur über ein Smart-Meter-Gateway zu erlauben,

c) zu qualifizierten Anforderungen an von Smart-Meter-Gateways unabhängige Weitverkehrsnetzanbindungen.

(3) ¹Messstellen dürfen nur mit solchen Messsystemen ausgestattet werden, bei denen zuvor die Einhaltung der Anforderungen nach den §§ 21 und 22 in einem Zertifizierungsverfahren nach den Vorgaben dieses Gesetzes festgestellt wurde. ²Das Zertifizierungsverfahren umfasst auch die Verlässlichkeit von außerhalb der Messeinrichtung aufbereiteten Daten, die Sicherheits- und die Interoperabilitätsanforderungen. ³Zertifikate können befristet, beschränkt oder mit Auflagen versehen werden.

(4) ¹Die nach § 49 berechtigten Stellen haben dem jeweiligen Stand der Technik entsprechende Maßnahmen zur Sicherstellung von Datenschutz und Datensicherheit zu treffen, die insbesondere die Vertraulichkeit und Integrität der Daten sowie die Feststellbarkeit der Identität der übermittelnden und verarbeitenden Stelle gewährleisten. ²Im Falle der Nutzung allgemein zugänglicher Kommunikationsnetze sind Verschlüsselungsverfahren anzuwenden, die dem jeweiligen Stand der Technik entsprechen.

(5) ¹Messsysteme, die den besonderen Anforderungen aus den Absätzen 2 und 3 nicht entsprechen, dürfen über den 31. Dezember 2025 hinaus, in den Fällen des § 30 Absatz 1 Nummer 1 und Absatz 2 Nummer 4 über den 31. Dezember 2028 hinaus, nur noch eingebaut und genutzt werden, wenn bereits der Einbau eines intelligenten Messsystems nach § 37 Absatz 2 durch den grundzuständigen Messstellenbetreiber angekündigt ist oder nach § 34 Absatz 2 Satz 2 Nummer 1 beim Messstellenbetreiber beauftragt wurde, die Nutzung dieser Messsysteme nicht mit unverhältnismäßigen Gefahren verbunden ist und

1. solange eine Einwilligung des Anschlussnutzers zum Einbau und zur Nutzung eines Messsystems besteht, die der Anschlussnutzer in der Kenntnis erteilt hat, dass das Messsystem nicht den Anforderungen nach den Absätzen 2 und 3 entspricht oder

2. wenn der Einbau auf der Grundlage einer Feststellung des Bundesamtes für Sicherheit in der Informationstechnik nach § 30 oder nach Absatz 6 in der am 26. Mai 2023 geltenden Fassung erfolgt ist.

²Haushaltskunden im Sinne des Energiewirtschaftsgesetzes können die Einwilligung nach Satz 1 Nummer 1 jederzeit widerrufen.

(6) ¹Intelligente Messsysteme, die aufgrund einer Feststellung des Bundesamtes für Sicherheit in der Informationstechnik nach diesem Absatz oder nach § 30 in der am 26. Mai 2023 geltenden Fassung eingebaut worden sind, stehen den nach den §§ 29 bis 31 eingebauten intelligenten Messsystemen gleich, sofern sie den besonderen Anforderungen aus den Absätzen 2 und 3 entsprechen. ²Die Feststellungen nach Satz 1 hat das Bundesamt für Sicherheit in der Informationstechnik auf seinen Internetseiten bereitzustellen. ³Liegen die Voraussetzungen nach Satz 1 nicht vor, ist Absatz 5 entsprechend anzuwenden.

Text in der Fassung des Artikels 12 Gesetz zur Anpassung des Energiewirtschaftsrechts an unionsrechtliche Vorgaben und zur Änderung weiterer energierechtlicher Vorschriften G. v. 22. Dezember 2023 BGBl. 2023 I Nr. 405 m.W.v. 29. Dezember 2023

§ 20 Anbindbarkeit von Messeinrichtungen für Gas an das Smart-Meter-Gateway

(1) ¹Neue Messeinrichtungen für Gas dürfen nur verbaut werden, wenn sie sicher mit einem Smart-Meter-Gateway verbunden werden können. ²Die Anbindung an das Smart-Meter-Gateway hat zur Gewährleistung von Datenschutz, Datensicherheit und Interoperabilität dem in Schutzprofilen und Technischen Richtlinien in der Anlage zu § 22 niedergelegten Stand der Technik zu entsprechen.

(2) Neue Messeinrichtungen für Gas, die den besonderen Anforderungen aus Absatz 1 nicht genügen, dürfen noch bis zum 31. Dezember 2016, solche mit registrierender Leistungsmessung noch bis zum 31. Dezember 2024 eingebaut und jeweils bis zu acht Jahre ab Einbau genutzt werden, wenn ihre Nutzung nicht mit unverhältnismäßigen Gefahren verbunden ist.

§ 21 Mindestanforderungen an intelligente Messsysteme

(1) Ein intelligentes Messsystem muss nach dem Stand der Technik nach Maßgabe des § 22

1. die zuverlässige Verarbeitung, insbesondere Erhebung, Übermittlung, Protokollierung, Speicherung und Löschung, von aus Messeinrichtungen stammenden Messwerten gewährleisten, um

a) eine Messwertverarbeitung zu Abrechnungszwecken durchführen zu können,

b) eine Zählerstandsgangmessung bei Letztverbrauchern, von Anlagen im Sinne von § 14a des Energiewirtschaftsgesetzes und von Erzeugungsanlagen nach dem Erneuerbare-Energien-Gesetz und dem Kraft-Wärme-Kopplungsgesetz durchführen zu können,

c) die zuverlässige Administration und Fernsteuerbarkeit dieser Anlagen zu gewährleisten,

d) die jeweilige Ist-Einspeisung von Erzeugungsanlagen nach dem Erneuerbare-Energien-Gesetz und dem Kraft-Wärme-Kopplungsgesetz abrufen zu können und

e) Netzzustandsdaten messen, zeitnah übertragen und Protokolle über Spannungsausfälle mit Datum und Zeit erstellen zu können,

2. eine Visualisierung des Verbrauchsverhaltens des Letztverbrauchers ermöglichen, um diesem

a) den tatsächlichen Energieverbrauch sowie Informationen über die tatsächliche Nutzungszeit bereitzustellen,

b) abrechnungsrelevante Tarifinformationen und zugehörige abrechnungsrelevante Messwerte zur Überprüfung der Abrechnung bereitzustellen,

c) historische Energieverbrauchswerte entsprechend den Zeiträumen der Abrechnung und Verbrauchsinformationen nach § 40b des Energiewirtschaftsgesetzes für die drei vorangegangenen Jahre zur Verfügung stellen zu können,

d) historische tages-, wochen-, monats- und jahresbezogene Energieverbrauchswerte sowie die Zählerstandsgänge für die letzten 24 Monate zur Verfügung stellen zu können und

e) die Informationen aus § 53 *) zur Verfügung zu stellen,

3. sichere Verbindungen in Kommunikationsnetzen durchsetzen, um

a) über eine sichere und leistungsfähige Fernkommunikationstechnik die sichere Administration und Übermittlung von Daten unter Beachtung der mess- und eichrechtlichen und der datenschutzrechtlichen Vorgaben zu ermöglichen, wobei das Smart-Meter-Gateway neben der verwendeten für eine weitere vom Smart-Meter-Gateway-Administrator vermittelte und überwachte zusätzliche, zuverlässige und leistungsfähige Art der Fernkommunikation offen sein muss,

b) eine interne und externe Tarifierung sowie eine Parametrierung der Tarifierung im Smart-Meter-Gateway durch dessen Administrator unter Beachtung der eich- und datenschutzrechtlichen Vorgaben zu ermöglichen,

c) einen gesicherten Empfang von Messwerten von Strom-, Gas-, Wasser- und Wärmezählern sowie von Heizwärmemessgeräten zu ermöglichen und

d) eine gesicherte Anbindung von Erzeugungsanlagen, Anzeigeeinheiten und weiteren lokalen Systemen zu ermöglichen,

4. ein Smart-Meter-Gateway beinhalten, das

a) offen für weitere Anwendungen und Dienste ist und dabei über die Möglichkeit zur Priorisierung von bestimmten Anwendungen verfügt, wobei nach Anforderung der Netzbetreiber ausgewählte energiewirtschaftliche und in der Zuständigkeit der Netzbetreiber liegende Messungen und Schaltungen stets, vorrangig und ausschließlich durch den Smart-Meter-Gateway-Administrator über das Smart-Meter-Gateway ermöglicht werden müssen,

b) ausschließlich durch den Smart-Meter-Gateway-Administrator konfigurierbar ist und

c) Software-Aktualisierungen empfangen und verarbeiten kann,

5. die Grenzen für den maximalen Eigenstromverbrauch für das Smart-Meter-Gateway und andere typischerweise an das intelligente Messsystem angebundene Komponenten einhalten, die von der Bundesnetzagentur nach § 47 Absatz 1 Nummer 4 festgelegt werden und

6. die Stammdaten angeschlossener Anlagen nach § 14a des Energiewirtschaftsgesetzes sowie nach dem Erneuerbare-Energien-Gesetz und dem Kraft-Wärme-Kopplungsgesetz übermitteln können.

(2) Die in Absatz 1 genannten Mindestanforderungen müssen mit Ausnahme von Nummer 5 nicht von Messsystemen erfüllt werden, die nach Maßgabe von § 19 Absatz 5 Satz 1 eingebaut werden können, dabei ist § 19 Absatz 6 zu beachten.

(3) ¹Für mehrere Zählpunkte können die Anforderungen nach Absatz 1 auch mit nur einem Smart-Meter-Gateway leitungsgebunden oder drahtlos in räumlicher Nähe einer Liegenschaft realisiert werden, soweit die Einsichts- und Informationsrechte nach den §§ 53 und 61 sowie die gleichen Funktions- und Sicherheitsanforderungen wie bei der Bündelung der Zählpunkte an einem Netzanschluss gewährleistet sind. ²Als räumlicher Nahbereich einer Liegenschaft gelten auch Zählpunkte an mehreren Netzanschlüssen im Bereich desselben Netzknotens gleicher Spannungsebene. ³Erfordert die Umsetzung von Satz 1 wesentliche Änderungen und Ergänzungen im Sinne von § 27 Absatz 1 Satz 1 zweiter Halbsatz, so haben diese bis zum Ablauf des 31. Dezember 2024 zu erfolgen.

---

*) Anm. d. Red.: Die nicht durchführbare Änderung durch Artikel 10 Nr. 2 a) bb) G. v. 16. Juli 2021 (BGBl. I S. 3026) wurde sinngemäß konsolidiert.

Text in der Fassung des Artikels 2 Gesetz zum Neustart der Digitalisierung der Energiewende G. v. 22. Mai 2023 BGBl. 2023 I Nr. 133 m.W.v. 27. Mai 2023

§ 22 Mindestanforderungen an das Smart-Meter-Gateway durch Schutzprofile und Technische Richtlinien

(1) Das Smart-Meter-Gateway eines intelligenten Messsystems hat zur Gewährleistung von Datenschutz, Datensicherheit und Interoperabilität nach dem Stand der Technik folgende Anforderungen zu erfüllen an

1. die Verarbeitung, insbesondere Erhebung, Zeitstempelung, Übermittlung, Speicherung und Löschung, von Messwerten, damit zusammenhängenden Daten und weiteren über ein intelligentes Messsystem oder Teile davon geleiteten Daten,

2. den Zugriffsschutz auf die im elektronischen Speicher- und Verarbeitungsmedium abgelegten Messdaten,

3. die sichere Zeitsynchronisation des Smart-Meter-Gateways mit einer vertrauenswürdigen Zeitquelle im Weitverkehrsnetz und

4. die Interoperabilität der intelligenten Messsysteme und Teile davon.

(2) ¹Die Einhaltung des Standes der Technik im Sinne von Absatz 1 wird vermutet, wenn die in der Anlage aufgeführten Schutzprofile und Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik oder deren Weiterentwicklungen *) jeweils in der geltenden Fassung eingehalten werden. ²Die jeweils geltende Fassung wird im Bundesanzeiger durch Verweis auf die Internetseite des Bundesamtes für Sicherheit in der Informationstechnik² bekannt gemacht.

(3) ¹Schutzprofile haben eine gültige Beschreibung von Bedrohungsmodellen und technische Vorgaben zur Gewährleistung von Datenschutz, Datensicherheit und Manipulationsresistenz zu enthalten und dazu Anforderungen an die Funktionalitäten eines Smart-Meter-Gateway zu beschreiben, die insbesondere folgende Mindestanforderungen enthalten

1. an die Einsatzumgebung, die für die korrekte Funktionsweise der Sicherheitsfunktionen notwendig ist,

2. an die organisatorischen Sicherheitspolitiken,

3. zur Gewährleistung der Sicherheitsziele für das Smart-Meter-Gateway und seine Umgebung,

4. an die Kommunikationsverbindungen und Protokolle des Smart-Meter-Gateway.

²Soweit sich hieraus Anforderungen an den Transport und an die Lagerung von Smart-Meter-Gateways ergeben, haben diese Anforderungen spätestens zum 31. Dezember 2023 massengeschäftstaugliche und für Messstellenbetreiber praktisch umsetzbare Prozesse für Hersteller, Messstellenbetreiber insbesondere auch den Transport zum Installationsort per Kurier-, Express- oder Paketversand, zu ermöglichen. ³Erfordert die Umsetzung von Satz 1 wesentliche Änderungen und Ergänzungen im Sinne von § 27 Absatz 1 Satz 1 zweiter Halbsatz, so sind diese mit der nächsten Version der Schutzprofile oder der Technischen Richtlinien umzusetzen.

(4) ¹Technische Richtlinien haben technische Anforderungen an die Interoperabilität von intelligenten Messsystemen und einzelnen Teilen oder Komponenten zu beschreiben. ²Sie müssen für jedermann zugänglich sein und insbesondere folgende Mindestanforderungen enthalten an

1. die Funktionalitäten des Smart-Meter-Gateway,

2. die Kommunikationsverbindungen, Datenstrukturen, Prozesse und Protokolle an den Schnittstellen des Smart-Meter-Gateway, einschließlich bis spätestens 31. Dezember 2024 einheitlicher und ausreichend beschriebener Spezifikationen für Anwendungsprogrammierschnittstellen,

3. die Messwertverarbeitung für die Tarifierung und die Netzzustandsdatenerhebung durch das Smart-Meter-Gateway,

4. die Inhaltsdatenverschlüsselung, Signierung, Absicherung der Kommunikation und Authentifizierung der Datennutzer,

5. die einzusetzenden kryptographischen Verfahren und

6. die Architektur der Smart-Metering-Public-Key-Infrastruktur.

³Die Technischen Richtlinien haben darüber hinaus die Betriebsprozesse vorzugeben, deren zuverlässige Durchführung vom Smart-Meter-Gateway-Administrator gewährleistet werden muss. ⁴Auch haben sie organisatorische Mindestanforderungen an den Smart-Meter-Gateway-Administrator sowie ein entsprechendes Zertifizierungsverfahren zu bestimmen.

(5) Absatz 1 ist nicht für Messsysteme anzuwenden, die nach Maßgabe von § 19 Absatz 5 Satz 1 eingebaut werden können, dabei ist § 19 Absatz 6 zu beachten.

---

2 Auf den Internetseiten des Bundesamtes für Sicherheit in der Informationstechnik www.bsi.bund.de wurden unter dem Oberbegriff „Smart Metering Systems" folgende Unterordner eingerichtet: „Schutzprofil Gateway", „Schutzprofil Security Module", „Smart Metering PKI" und „Technische Richtlinie"; eine Übersicht über die Schutzprofile und Technischen Richtlinien nach § 22 Absatz 2 Satz 1 findet sich unter www.bsi.bund.de/DE/Themen/DigitaleGesellschaft/SmartMeter/UebersichtSP-TR/uebersicht_node.html.

*) Anm. d. Red.: Die nicht durchführbare Änderung in Artikel 10 Nummer 2a Buchstabe a G. v. 16. Juli 2021 (BGBl. I S. 3026) wurde sinngemäß konsolidiert.

Text in der Fassung des Artikels 2 Gesetz zum Neustart der Digitalisierung der Energiewende G. v. 22. Mai 2023 BGBl. 2023 I Nr. 133 m.W.v. 27. Mai 2023

§ 23 Sichere Anbindung an das Smart-Meter-Gateway

(1) Das Smart-Meter-Gateway eines intelligenten Messsystems muss zur Gewährleistung von Datenschutz, Datensicherheit und Interoperabilität nach dem Stand der Technik folgende Komponenten und Anlagen sicher in ein Kommunikationsnetz einbinden können:

1. moderne Messeinrichtungen,

2. Erzeugungsanlagen nach dem Erneuerbare-Energien-Gesetz und dem Kraft-Wärme-Kopplungsgesetz,

3. Anlagen im Sinne von § 14a des Energiewirtschaftsgesetzes und sonstige technische Einrichtungen und

4. Messeinrichtungen für Gas im Sinne von § 20 Absatz 1.

(2) Die Einhaltung des Standes der Technik im Sinne von Absatz 1 wird vermutet, wenn die Schutzprofile und Technischen Richtlinien nach § 22 Absatz 2 in der jeweils geltenden Fassung eingehalten werden.

(3) Absatz 1 ist nicht für Messsysteme anzuwenden, die nach Maßgabe von § 19 Absatz 5 Satz 1 eingebaut werden können, dabei ist § 19 Absatz 6 zu beachten.

Text in der Fassung des Artikels 10 Gesetz zur Umsetzung unionsrechtlicher Vorgaben und zur Regelung reiner Wasserstoffnetze im Energiewirtschaftsrecht G. v. 16. Juli 2021 BGBl. I S. 3026 m.W.v. 27. Juli 2021

§ 24 Zertifizierung des Smart-Meter-Gateway

(1) ¹Zum Nachweis der Erfüllung der sicherheitstechnischen Anforderungen nach § 22 Absatz 1 und 2 müssen Smart-Meter-Gateways im Rahmen des Zertifizierungsverfahrens nach den Common Criteria durch das Bundesamt für Sicherheit in der Informationstechnik zertifiziert werden. ²Hersteller von Smart-Meter-Gateways haben die Zertifikate dem Smart-Meter-Gateway-Administrator vorzulegen. ³Der Zeitpunkt der Nachweispflicht zur Interoperabilität wird durch das Bundesamt für Sicherheit in der Informationstechnik festgelegt und nach § 27 im Ausschuss Gateway-Standardisierung bekannt gemacht. ⁴Hersteller von Smart-Meter-Gateways haben zu diesem Zeitpunkt die Zertifikate zur Konformität nach den Technischen Richtlinien dem Smart-Meter-Gateway-Administrator vorzulegen.

(2) Für die Zertifizierung sind § 9 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821) sowie die BSI-Zertifizierungs- und Anerkennungsverordnung vom 17. Dezember 2014 (BGBl. I S. 2231) in der jeweils geltenden Fassung anzuwenden.

(3) ¹Das Bundesamt für Sicherheit in der Informationstechnik hat die Möglichkeit, Zertifikate nach Absatz 1 zeitlich zu befristen, zu beschränken und mit Auflagen zu versehen. ²Zertifikate ohne technologisch begründete zeitliche Befristung unterliegen einer kontinuierlichen Überwachung der Gültigkeit durch die ausstellende Stelle. ³Weitergehende Befugnisse nach Absatz 2 bleiben unberührt.

(4) ¹Ohne ein oder mehrere gültige und gegenüber dem Smart-Meter-Gateway-Administrator nachgewiesene Zertifikate nach Absatz 1 darf ein Smart-Meter-Gateway nicht als Bestandteil eines intelligenten Messsystems verwendet werden. ²Dies ist nicht anzuwenden für Messsysteme, die nach Maßgabe von § 19 Absatz 5 Satz 1 eingebaut werden können, dabei ist § 19 Absatz 6 zu beachten.

Text in der Fassung des Artikels 2 Gesetz zum Neustart der Digitalisierung der Energiewende G. v. 22. Mai 2023 BGBl. 2023 I Nr. 133 m.W.v. 27. Mai 2023

§ 25 Smart-Meter-Gateway-Administrator; Zertifizierung

(1) ¹Der Smart-Meter-Gateway-Administrator muss einen zuverlässigen technischen Betrieb des intelligenten Messsystems und die Konfiguration der an das Smart-Meter-Gateway angeschlossenen technischen Einrichtungen einschließlich Steuerungseinrichtungen sowie diesbezügliche Zusatzleistungen nach § 34 Absatz 2 und 3 gewährleisten und organisatorisch sicherstellen und ist zu diesem Zweck für die Installation, Inbetriebnahme, Konfiguration, Administration, Überwachung und Wartung des Smart-Meter-Gateways und der informationstechnischen Anbindung von Messgeräten und von anderen an das Smart-Meter-Gateway angebundenen technischen Einrichtungen verantwortlich. ²Soweit es technisch möglich und wirtschaftlich zumutbar ist, ermöglicht der Smart-Meter-Gateway-Administrator auch die Durchführung von weiteren Anwendungen und Diensten im Sinne von § 21 Absatz 1 Nummer 4 Buchstabe a. ³Der Smart-Meter-Gateway-Administrator darf ausschließlich Smart-Meter-Gateways mit gültigen Zertifikaten nach § 24 Absatz 1 verwenden. ⁴Er hat Sicherheitsmängel und Änderungen von Tatsachen, die für die Erteilung des Zertifikats nach § 24 Absatz 1 wesentlich sind, dem Bundesamt für Sicherheit in der Informationstechnik unverzüglich mitzuteilen.

(2) ¹Für den Betrieb eines intelligenten Messsystems muss vorbehaltlich einer anderweitigen Vereinbarung mit einem entscheidungsbefugten Anschlussnutzer die Stromentnahme im ungemessenen Bereich erfolgen und es muss eine zuverlässige und leistungsfähige Fernkommunikationstechnik verwendet werden, die Folgendes gewährleistet:

1. die sichere Administration und Übermittlung von Daten unter Beachtung mess-, eich- und datenschutzrechtlicher Vorgaben und,

2. soweit erforderlich, die sichere Administration von Erzeugungsanlagen nach dem Erneuerbare-Energien-Gesetz und dem Kraft-Wärme-Kopplungsgesetz, von Anlagen im Sinne des § 14a des Energiewirtschaftsgesetzes und von lokalen Systemen.

²Erfordert die Umsetzung von Satz 1 wesentliche Änderungen und Ergänzungen im Sinne von § 27 Absatz 1 zweiter Halbsatz, so haben diese bis zum Ablauf des 31. Dezember 2024 zu erfolgen.

(3) ¹Zur Gewährleistung des technischen Betriebs haben Netzbetreiber, Energielieferanten und Dritte, deren Verträge mit dem Letztverbraucher oder Anlagenbetreiber nach dem Erneuerbare-Energien-Gesetz und dem Kraft-Wärme-Kopplungsgesetz über das oder mit Hilfe des Smart-Meter-Gateways abgewickelt werden sollen, dem Smart-Meter-Gateway-Administrator alle für den Betrieb des Smart-Meter-Gateways notwendigen Informationen bereitzustellen; dies umfasst insbesondere

1. alle Berechtigungsinformationen aus Rahmenverträgen, die im intelligenten Messsystem niederzulegen sind,

2. alle Berechtigungsinformationen zur Anbindung, Administration und Steuerung von Anlagen nach Absatz 2 Nummer 2.

²Netzbetreiber, Energielieferanten und Dritte nach Satz 1 haben ebenfalls die Administration der Messwertverarbeitung gemäß den Anforderungen der in § 22 Absatz 2 benannten Technischen Richtlinien des Bundesamtes für Sicherheit in der Informationstechnik zu ermöglichen. ³Zur Absicherung der Bereitstellung von Informationen kann der Smart-Meter-Gateway-Administrator Rahmenverträge mit Netzbetreibern, Messstellenbetreibern, Energielieferanten und berechtigten Dritten schließen.

(4) Der Smart-Meter-Gateway-Administrator ist verpflichtet,

1. ein Informationssicherheitsmanagementsystem einzurichten, zu betreiben und zu dokumentieren,

2. für seinen Aufgabenbereich, der sich aus den Technischen Richtlinien nach § 22 Absatz 2 ergibt, im Rahmen einer durchgängigen IT-Sicherheitskonzeption die notwendigen und angemessenen Maßnahmen zur Informationssicherheit zu erarbeiten und umzusetzen,

3. die weiteren organisatorischen und technischen Anforderungen zu erfüllen, die sich aus den Technischen Richtlinien nach § 22 Absatz 2 ergeben,

4. die nach den Nummern 1 bis 3 in seinem Bereich etablierten Maßnahmen und die IT-Sicherheitskonzeption durch vom Bundesamt für Sicherheit in der Informationstechnik hierfür zertifizierte Auditoren regelmäßig auditieren zu lassen und

5. den im Rahmen des Mess- und Eichrechts zuständigen Behörden die Ausübung ihrer Markt- und Verwendungsüberwachungsverpflichtungen kostenfrei zu ermöglichen und zur Sicherstellung einer ordnungsgemäßen Zeitführung und Messung das Logbuch des Smart-Meter-Gateways in angemessenen Abständen auf Einhaltung mess- und eichrechtlicher Vorgaben zu überprüfen.

(5) ¹Die Erfüllung der in Absatz 4 Nummer 1 bis 3 genannten Anforderungen ist nachzuweisen durch ein Zertifikat des Bundesamtes für Sicherheit in der Informationstechnik oder durch die erfolgreiche Zertifizierung durch eine Zertifizierungsstelle, die gemäß ISO/IEC 27006³ bei einer nach dem Akkreditierungsstellengesetz zuständigen Stelle akkreditiert ist. ²Der Auditbericht mit dem Nachweis, dass die in Absatz 4 Nummer 1 bis 3 genannten Anforderungen auditiert wurden, ist dem Bundesamt für Sicherheit in der Informationstechnik zur Kenntnis vorzulegen. ³§ 24 Absatz 2 und 3 ist für die Zertifizierung des Smart-Meter-Gateway-Administrators entsprechend anzuwenden.

---

3 www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=59144.

Text in der Fassung des Artikels 2 Gesetz zum Neustart der Digitalisierung der Energiewende G. v. 22. Mai 2023 BGBl. 2023 I Nr. 133 m.W.v. 27. Mai 2023

§ 26 Aufrechterhaltung eines einheitlichen Sicherheitsniveaus

(1) ¹Zur Sicherstellung und Aufrechterhaltung eines bundesweit einheitlichen Sicherheitsniveaus für den Betrieb von zertifizierten Smart-Meter-Gateways führt das Bundesamt für Sicherheit in der Informationstechnik im Einvernehmen mit der Physikalisch-Technischen Bundesanstalt und der Bundesnetzagentur soweit erforderlich folgende Maßnahmen durch:

1. die Analyse, Priorisierung und eine in Abhängigkeit von Lebenszyklus und Bedrohungslage differenzierte Bewertung von Schwachstellen von Smart-Meter-Gateways sowie die Entscheidung über Software-Updates zu deren Behebung und über sonstige Maßnahmen des Smart-Meter-Gateway-Administrators,

2. die Planung und Erarbeitung von neuen Versionen der Schutzprofile und Technischen Richtlinien nach § 22 Absatz 2,

3. die Einbringung von neuen Versionen der Schutzprofile und Technischen Richtlinien nach § 22 Absatz 2 in das Verfahren nach § 27 und deren anschließende Freigabe.

²Bei Gefahr im Verzug tritt an die Stelle des Einvernehmens nach Satz 1 eine nachträgliche Informationspflicht des Bundesamtes für Sicherheit in der Informationstechnik gegenüber den in Satz 1 genannten Behörden.

(2) ¹Geeignete Informationen stellt das Bundesamt für Sicherheit in der Informationstechnik auf seinen Internetseiten⁴ bereit. ²Das Bundesministerium für Wirtschaft und Klimaschutz ist von sämtlichen ergriffenen Maßnahmen vorab oder bei Gefahr im Verzug nachträglich zu informieren.

---

4 www.bsi.bund.de

Text in der Fassung des Artikels 2 Gesetz zum Neustart der Digitalisierung der Energiewende G. v. 22. Mai 2023 BGBl. 2023 I Nr. 133 m.W.v. 27. Mai 2023

§ 27 Weiterentwicklung von Schutzprofilen und Technischen Richtlinien; Ausschuss Gateway-Standardisierung

(1) ¹Weitere Schutzprofile und Technische Richtlinien sowie neuere Versionen Technischer Richtlinien und von Schutzprofilen nach § 22 Absatz 2 werden im Auftrag des Bundesministeriums für Wirtschaft und Klimaschutz erarbeitet unter Beachtung der Festlegungskompetenz der Bundesnetzagentur nach § 47 und von Nachhaltigkeitsaspekten für Hardwarekomponenten durch das Bundesamt für Sicherheit in der Informationstechnik im Einvernehmen mit der Physikalisch-Technischen Bundesanstalt und der Bundesnetzagentur unter Anhörung der oder des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit; der Ausschuss Gateway-Standardisierung ist bei wesentlichen Änderungen unter Vorsitz des Bundesministeriums für Wirtschaft und Klimaschutz im Anschluss anzuhören. ²Das Bundesministerium für Wirtschaft und Klimaschutz gibt im Rahmen seiner Beauftragung nach Satz 1 dem Bundesamt für Sicherheit in der Informationstechnik die inhaltliche, zeitliche und prozessuale Umsetzung seiner Aufgaben nach diesem Gesetz vor. ³Die Zuständigkeit und Verantwortlichkeit des Bundesamtes für Sicherheit in der Informationstechnik zur Einschätzung des aktuellen Stands der Technik der Cybersicherheit in Abhängigkeit der aktuellen Bedrohungslage ist davon unbenommen. ⁴Im Interesse einer beschleunigten marktlichen Umsetzung beteiligt dazu das Bundesamt für Sicherheit in der Informationstechnik frühzeitig Verbände, vom Bundesministerium für Wirtschaft und Klimaschutz geförderte Forschungs-, Entwicklungs- und Innovationsprojekte sowie Stellen, welche die allgemein anerkannten Regeln der Technik in den Bereichen Elektrizität, Wasserstoff und Gas im Sinne des § 49 des Energiewirtschaftsgesetzes erarbeiten. ⁵Das Bundesamt für Sicherheit in der Informationstechnik unterstützt nach Möglichkeit Standardisierungsvorhaben von Stellen, welche die allgemein anerkannten Regeln der Technik in den Bereichen Elektrizität, Wasserstoff und Gas im Sinne von § 49 des Energiewirtschaftsgesetzes erarbeiten, zur Sicherstellung der Interoperabilität mit dem Smart-Meter-Gateway (Standardisierungspartnerschaften).

(2) ¹Dem Ausschuss Gateway-Standardisierung gehören an:

1. das Bundesministerium für Wirtschaft und Klimaschutz,

2. das Bundesamt für Sicherheit in der Informationstechnik,

3. die Physikalisch-Technische Bundesanstalt,

4. die Bundesnetzagentur sowie

5. je ein Vertreter von mindestens drei auf Bundesebene bestehenden Gesamtverbänden, die jeweils die Interessen von Letztverbrauchern, Herstellern und Anwendern vertreten; die Bestimmung der Verbände liegt im Ermessen des Bundesministeriums für Wirtschaft und Klimaschutz.

²Der Ausschuss wird von der oder dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit beraten.

(3) ¹Das Bundesministerium für Wirtschaft und Klimaschutz beruft die Mitglieder des Ausschusses für eine Dauer von drei Jahren. ²Der Ausschuss Gateway-Standardisierung tagt mindestens einmal im Jahr. ³Die Mitgliedschaft ist ehrenamtlich.

(4) ¹Die nach Absatz 1 erarbeiteten Schutzprofile und Technischen Richtlinien sind dem Bundesministerium für Wirtschaft und Klimaschutz zur Zustimmung vorzulegen. ²Nach der Zustimmung durch das Bundesministerium für Wirtschaft und Klimaschutz erfolgt eine Bekanntgabe der nach Absatz 1 erarbeiteten Schutzprofile und Technischen Richtlinien gemäß § 22 Absatz 2 durch das Bundesamt für Sicherheit in der Informationstechnik.

Text in der Fassung des Artikels 2 Gesetz zum Neustart der Digitalisierung der Energiewende G. v. 22. Mai 2023 BGBl. 2023 I Nr. 133 m.W.v. 27. Mai 2023

§ 28 Inhaber der Wurzelzertifikate

Das Bundesamt für Sicherheit in der Informationstechnik ist Inhaber der Wurzelzertifikate für die Smart-Metering-Public-Key-Infrastruktur; für die Teilnahme an der Smart-Metering-Public-Key-Infrastruktur gelten die Bestimmungen der Zertifizierungsrichtlinie des Bundesamtes für Sicherheit in der Informationstechnik.