Neue Meldepflichten für Kritische Infrastrukturen und Konsultation zum Leitfaden Einspeisemanagement 3.0

Handlungsbedarf für Direktvermarkter, technische Betriebsführer und Anlagenhersteller

Änderungsverordnung und NIS-Umsetzungsgesetz am 30. Juni 2017 in Kraft getreten

Betreiber sog. Kritischer Infrastrukturen sind bis zum 3. Mai 2018 aufgefordert, angemessene Schutzvorkehrungen zur Vermeidung von Störungen ihrer informationstechnischen Systeme zu treffen, um die Auswirkungen digitaler Hacker-Angriffe zu begrenzen.

Die BSI-Kritisverordnung bestimmt, was eine Kritische Infrastruktur ist: Neben Energieversorgungsnetzen und konventionellen Kraftwerken zählen dazu insbesondere auch solche Anlagen oder Systeme, über die auf (dezentrale) Erzeugungsanlagen (etwa Windkraft- oder Solaranlagen) mit einer installierten Gesamtleistung von mindestens 420 MW etwa für die Zwecke der Fernsteuerung oder gebündelten Vermarktung zugegriffen werden kann. Dies umfasst etwa die informationstechnischen Systeme größerer Direktvermarkter oder technischer Betriebsführer, aber auch die Systeme der Hersteller der Erzeugungsanlagen.

Diese Systeme gelten nicht als Energieanlage  im Sinne des Energiewirtschaftsgesetzes (EnWG), da die Steuerung dezentraler Erzeugungsanlagen lediglich über einen Fernzugriff und eine Integration in eine Leitwarte, ein virtuelles Kraftwerk oder sonstiges Pooling-System erfolgt. Damit fallen sie nicht unter den IT-Sicherheitskatalog, dessen Anforderungen durch Betreiber von Energieanlagen erst nach Bekanntmachung umgesetzt werden müssen. Dieser Katalog wird von der Bundesnetzagentur erst im Laufe dieses Jahres veröffentlicht.

Betreiber von „Anlagen/Systemen zur Bündelung/Steuerung elektrischer Leistung“ sind vielmehr nach dem BSI-Gesetz verpflichtet, Schutzvorkehrungen gemäß dem Stand der Technik umzusetzen. Um Rechtssicherheit zu schaffen, wie der Stand der Technik erfüllt werden kann, erarbeitet eine Arbeitsgruppe des Bundesverbands der Deutschen Energie- und Wasserwirtschaft (BDEW) derzeit einen Branchenstandard (B3S). Er wird nach Abstimmung mit dem BSI voraussichtlich auf der Homepage des BSI veröffentlicht. Betreiber sind danach unter anderem verpflichtet, eine Betreiber-Zertifizierung nach DIN ISO 27001 zu durchlaufen und ein Informationssicherheitsmanagementsystem (ISMS) einzuführen.

Angepasste Meldepflichten seit dem 30. Juni 2017

Neben der Erhöhung der Schutzvorkehrungen haben Betreiber gegenüber den zuständigen Behörden eine Kontaktstelle zu benennen und Störungen bzw. Hacker-Angriffe auf informationstechnische Systeme zu melden.

Dabei wurde der Rechtsrahmen für Kritische Infrastrukturen am 30. Juni 2017 erneut angepasst. Mit der ersten Verordnung zur Änderung der BSI-Kritisverordnung erfolgte der Rollout für den sog. 2. Korb kritischer Sektoren, die für den Energiesektor vernehmlich redaktionelle Änderungen vorsieht. Zu beachten sind jedoch Änderungen bei den Meldepflichten, die  mit dem Gesetz zur Umsetzung der NIS-Richtlinie (EU) 2016/1148 umgesetzt wurden.

Seit dem 30. Juni 2017 müssen Betreiber Kritischer Infrastrukturen eine Meldung über die Kontaktstelle an das BSI absetzen, wenn Hacker-Angriffe bzw. Störungen bereits zu einem Ausfall oder zu einer Beeinträchtigung der Funktionsfähigkeit der IT-Systeme geführt haben oder wenn erhebliche Störungen festgestellt werden, die potentiell zu einem Ausfall oder einer Beeinträchtigung der IT-Systeme führen können. Das neu eingefügte Kriterium der Erheblichkeit bezieht sich somit nicht auf den Grad des IT-Vorfalls, sondern auf den Grad der (potentiellen) Beeinträchtigung der Funktionsfähigkeit der Kritischen Infrastruktur.

Auch der Umfang der Meldepflichten wurde angepasst: Neben Angaben zu der Ursache der Störung, der betroffenen Informationstechnik und der Art der betroffenen Einrichtung muss nun auch über mögliche grenzüberschreitende Auswirkungen informiert werden. Ferner müssen nun Angaben zu den von dem Betreiber erbrachten kritischen Dienstleistungen und den (potentiellen) Auswirkungen einer Störung auf diese gemacht werden.

Die Nichtbeachtung bzw. nicht vollständige oder rechtzeitige Einhaltung der IT-Sicherheitsanforderungen und Meldepflichten stellt eine Ordnungswidrigkeit und kann Bußgelder bis zu EUR 100.000 je Verstoß auslösen.

Bundesnetzagentur konsultiert neuen Leitfaden zum Einspeisemanagement 3.0

Eine weitere Änderung betrifft vornehmlich das Vertragsverhältnis zwischen Direktvermarktern und Betreibern von EEG-Anlagen:

Bereits Anfang Juni hat die Bundesnetzagentur (BNetzA) einen Entwurf zu einem neuen Leitfaden zum Einspeisemanagement (Version 3.0) veröffentlicht. Darin wird erstmals ein Umgang mit Ausgleichsenergiekosten des Direktvermarkters bei der Ermittlung der Entschädigungszahlung an Betreiber von EEG-Anlagen in der Direktvermarktung thematisiert. Die Berechnung erfolgt dabei für jede Viertelstunde während der Dauer einer Einspeisemanagement-Maßnahme (EinsMan). Noch bis zum 31. August 2017 besteht die Möglichkeit zur Stellungnahme.

Recht des Netzbetreibers zum Bilanzausgleich durch Redispatch-Maßnahme

Neu ist die Möglichkeit der Netzbetreiber, die durch EinsMan veranlassten Bilanzkreisabweichungen der Direktvermarkter durch gezielten bilanziellen Ausgleich zu korrigieren. Dadurch soll der betroffene Bilanzkreis so gestellt werden, als habe die EinsMan-Abregelung nicht stattgefunden. In der Folge können die in der Day-ahead Auktion veräußerten Strommengen geliefert und Ausgleichsenergiekosten vermieden werden. Dies soll insbesondere durch eine Kombination mit Redispatch-Maßnahmen realisiert werden, jedenfalls bei Netzengpässen im Übertragungsnetz. Lediglich die verbleibenden Bilanzkreisabweichungen sind sodann bei einem Entschädigungsanspruch des Anlagenbetreibers mit einzubeziehen.

In der Praxis stößt dies auf erhebliche Bedenken: Zwar scheint eine Kombination von EinsMan- und Redispatch-Maßnahmen energiewirtschaftlich sinnvoll, bedarf jedoch erheblicher Vorlaufplanung und einer direkten Kommunikation zwischen dem Netzbetreiber und Direktvermarkter. Dies ist in den derzeitigen Marktprozessen schlicht nicht vorgesehen. Zudem bleibt unklar, wie ein Ausgleich erfolgen soll, soweit Direktvermarkter EinsMan-Maßnahmen vorhersehen und auf eine Veräußerung im Day-ahead ganz oder teilweise verzichten, so dass ein Bilanzausgleich in Höhe der tatsächlichen Maßnahme Ausgleichsenergiekosten begründet, statt diese zu verhindern.

Ausgleichspflicht durch Bilanzkreisverantwortlichen

Erfolgt kein Bilanzausgleich durch den Netzbetreiber, bleibt es bei der Ausgleichspflicht des Direktvermarkters als Bilanzkreisverantwortlichen. Ein Ausgleich soll dabei spätestens innerhalb von vier Viertelstunden nach Mitteilung der EinsMan-Maßnahme erfolgen. Auch hier liegt die praktische Hürde hoch: Denn in aller Regel bleibt die Netzbetreibermeldung im Vorfeld (oder unverzüglich im Anschluss) der EinsMan-Maßnahme aus. Bilanzkreisabweichungen können dem Bilanzkreisverantwortlichen insoweit nicht vorgeworfen werden. Die Bundesnetzagentur stellt nun (endlich) fest, dass Ausgleichsenergiekosten (des Direktvermarkters) in diesem Fall als zusätzliche Aufwendungen (des Anlagenbetreibers) im Rahmen der Entschädigung nach § 15 EEG 2017 zu berücksichtigen sind. Dies soll nicht (länger) von einer vertraglichen Regelung im Direktvermarktungsvertrag abhängen (müssen).

Anrechnung von Bilanzkreisbewirtschaftungskosten und -erträgen beim Anlagenbetreiber

Die Höhe der Entschädigung soll auf die tatsächlich durch die EinsMan-Maßnahme verursachten Kosten beschränkt sein. Den Anlagenbetreiber treffe dabei eine Schadensminderungspflicht, insbesondere eine Pflicht zur möglichst kostengünstigen Ersatzbeschaffung. Dies findet Berücksichtigung in dem sog. anerkennungsfähigen Preis in ct/kWh, den der Anlagenbetreiber nachzuweisen hat und der gegen die an der EPEX SPOT veröffentlichten ID3- und Höchstpreise abgeglichen wird. Dabei sollen insbesondere negative Preise zu einer Verringerung der Entschädigung führen, bis hin zu einer Verringerung auf null.

Erfolgt kein Bilanzausgleich, soll sich dies unmittelbar auf die Höhe der Entschädigungszahlung auswirken. Sämtliche Ausgleichsenergiekosten und -einnahmen sind zu berücksichtigen. Insbesondere solche Konstellationen, in denen EinsMan-Maßnahmen zu einer Verringerung der Ausgleichsenergiekosten führen, sollen als ersparte Aufwendungen berücksichtigt werden. Negative und positive Effekte zwischen einzelnen Viertelstunden werden über die Dauer der EinsMan-Maßnahme saldiert.

Erheblicher Anpassungsbedarf in Direktvermarktungsverträgen

Diese Neuregelungen sind mit den derzeitigen Vergütungs- und Ausgleichsregelungen in branchenüblichen Direktvermarktungsverträgen nicht vereinbar und wird zu erheblichen Anpassungen der vertraglichen Bestimmungen und Bewertungen der Risikoprämien der Direktvermarkter führen. Denn derzeit trägt das Ausgleichsenergiekostenrisiko in aller Regel ausschließlich der Direktvermarkter. Eine Beeinträchtigung der Höhe der EinsMan-Entschädigung des Anlagenbetreibers ist bislang ausgeschlossen. Nach dem Konsultationsentwurf wird damit künftig unterstellt, dass positive und negative Effekte von EinsMan-Maßnahmen auf den Direktvermarkter-Bilanzkreis zwischen Direktvermarkter und Anlagenbetreiber „ausgeglichen“ werden, und zwar losgelöst davon, ob ein Ausgleich tatsächlich erfolgt. Die unmittelbare wirtschaftliche Belastung liegt damit zunächst beim Anlagenbetreiber.

Regelmäßige Überprüfung und Nachweis der Fernsteuerbarkeit

Eine EinsMan-Entschädigung soll auch künftig ausbleiben, soweit eine Abregelung der Anlage nicht auf einem Netzengpass beruht, sondern durch den Anlagenbetreiber oder Direktvermarkter über die Fernsteuereinrichtung veranlasst wurde. Die Einrichtung und Aufrechterhaltung ist nach den Regelungen des EEG 2017 und in aller Regel auch der Direktvermarktungsverträge Aufgabe und Teil der Nachweispflicht der Anlagenbetreiber.

Die Einrichtung muss dem Direktvermarkter jederzeit eine bedarfsgerechte Reduzierung der Anlagenleistung ermöglichen. Die Funktionsfähigkeit der Fernsteuereinrichtung ist nicht nur bei jedem Direktvermarkter-Wechsel zu prüfen und durch einen Testabruf zu belegen. Auch während der laufenden Vertragsbeziehung sollten regelmäßige Funktionsüberprüfungen erfolgen, um im Rahmen der Jahresmeldung bei Bedarf Nachweise vorlegen zu können und die Auszahlung der Marktprämie nicht zu gefährden. Dazu bedarf es eindeutiger vertraglicher Vereinbarungen etwa mit dem Direktvermarkter oder technischen Betriebsführer der Anlagen.