Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

Das Stromnetz ist das riesige, unsichtbare Nervensystem, das das moderne Leben antreibt, aber es durchläuft eine radikale Transformation. Jahrzehntelang floss Elektrizität in eine Richtung: von massiven Kraftwerken zu Häusern und Unternehmen. Heute verändert sich dieser Fluss. Millionen von Solarmodulen auf Hausdächern und Batterien in Garagen werden dem System hinzugefügt, wodurch Verbraucher zu kleinen Stromerzeugern werden. Dieser Wandel ist für eine klimaneutrale Zukunft essenziell, schafft jedoch eine neue Schwachstelle. Jedes neue Solarmodul und jede neue Batterie ist ein potenzieller Eintrittspunkt für einen Cyberangriff. Während sich diese Geräte vervielfachen, wächst die „Angriffsfläche“ – die Gesamtzahl der Orte, an denen ein Hacker versuchen könnte einzubrechen – schneller als die Regeln, die das Netz schützen sollen.

Der Schutz dieses Systems erfordert Geld, doch Versorgungsunternehmen stehen vor einem schwierigen Rätsel. Sie müssen strenge Bundesvorschriften befolgen, die ein Mindestmaß an Sicherheit festlegen, bekannt als „Compliance Floor“ (Regelkonformitätsuntergrenze). Diese Regeln decken jedoch das neue, schnell wachsende Netzwerk aus Dach-Solaranlagen und Batterien nicht ab. Für diese Teile des Netzes müssen die Unternehmen selbst entscheiden, wie viel sie ausgeben und wann. Sie haben keinen klaren Leitfaden darüber, ob eine vorgeschlagene Sicherheitsaufrüstung den Kosten wert ist oder ob sie warten sollten, bis sich die Technologie weiterentwickelt. Ohne eine Methode, um diese Entscheidungen abzuwägen, riskieren Versorgungsunternehmen entweder, zu viel Geld für unnötige Schutzmaßnahmen auszugeben oder unterzuinvestieren und das Netz dadurch verwundbar zu lassen.

Ein Forschungsteam der Brandeis University, der Emory University und der Georgia State University hat einen neuen Weg vorgeschlagen, um dieses Problem zu lösen. Sie entwickelten ein vierstufiges Framework, das Versorgungsunternehmen dabei helfen soll, ihre Budgets für Cybersicherheit zuzuweisen. Ihre Arbeit stützt sich nicht auf neue Daten eines spezifischen Stromunternehmens oder eine Computersimulation eines Hacks. Stattdessen handelt es sich um einen methodischen Leitfaden, der vier bestehende Ideen zusammenführt, die bisher noch nie gemeinsam verwendet wurden: verbindliche Regeln, ökonomische Grenzen, zeitliche Flexibilität und finanzielle Anreize. Die Autoren argumentieren, dass Versorgungsunternehmen durch die Kombination dieser Elemente klügere und rechtfertigbare Entscheidungen darüber treffen können, wo sie ihr Geld investieren, um das Netz während des Übergangs zu erneuerbaren Energien sicher zu halten.

Der erste Schritt in ihrem Framework besteht darin, die nicht verhandelbaren Ausgaben zu identifizieren. Bundesregulierungsbehörden haben verbindliche Standards festgelegt, die Versorgungsunternehmen erfüllen müssen, wie etwa das Management von Risiken aus der Lieferkette von Computerbauteilen und die Überwachung ihrer internen Computernetzwerke. Die Forscher nennen dies den „Compliance Floor“. Es ist der Basisbetrag, den ein Versorgungsunternehmen ausgeben muss, unabhängig davon, wie hoch der geschätzte Verlust durch einen Hack wäre. Dieses Geld ist nicht optional; es ist der Preis für das Geschäft. Dieser Boden endet jedoch an der Grenze der Hauptstromleitungen. Er deckt die Millionen von dezentralen Solaranlagen und Batterien, die nun mit dem Netz verbunden werden, nicht ab. Den Schutz dieser neuen Vermögenswerte zu gewährleisten, ist eine diskretionäre Entscheidung, und genau dort beginnt die eigentliche Herausforderung.

Für die Ausgaben, die über die verbindlichen Regeln hinausgehen, schlagen die Forscher als zweiten Schritt die Anwendung einer „ökonomischen Decke“ (Economic Ceiling) vor. Sie beziehen sich auf ein bekanntes Wirtschaftsmodell, das argumentiert, dass Organisationen niemals mehr für Sicherheit ausgeben sollten, als sie im Falle eines Sicherheitsverstoßes zu verlieren erwarten. Wenn eine potenzielle Sicherheitsaufrüstung mehr kostet als der Schaden, den sie verhindert, ergibt die Investition keinen Sinn. Dieser Schritt fungiert als Leitplanke, die Unternehmen davor bewahrt, aus Angst oder Gewohnheit zu viel auszugeben. Er zwingt Planer zu der harten Frage: Reduziert diese spezifische Investition tatsächlich ein finanzielles Risiko, das größer ist als die Kosten der Behebung?

Der dritte Schritt führt das Element der Zeit ein. Die Welt der Cyberbedrohungen und der Technologien für erneuerbare Energien verändert sich rasant. Eine heute getroffene Entscheidung könnte in zwei Jahren veraltet sein. Die Forscher schlagen die Anwendung einer Methode namens „Realoptionen“ vor, um mit dieser Unsicherheit umzugehen. Anstatt das gesamte Geld auf einmal zu binden, könnte ein Versorgungsunternehmen in Phasen investieren. Man könnte mit einem kleinen Pilotprojekt beginnen, um die Technologie zu testen. Wenn sich die Bedrohungslage ändert oder die Technologie besser wird, kann man die Investition ausweiten. Wenn sich die Situation in eine andere Richtung entwickelt, kann man die Investition pausieren oder stoppen. Diese Flexibilität schafft einen Mehrwert, da sie Unternehmen ermöglicht, auf weitere Informationen zu warten, bevor sie große Summen festschreiben.

Der letzte Schritt des Frameworks betrachtet die finanziellen Anreize, die durch jüngste Bundesvorschriften geschaffen wurden. Eine neue Anordnung der Federal Energy Regulatory Commission erlaubt es Versorgungsunternehmen, die Kosten für bestimmte fortschrittliche Cybersicherheitsinvestitionen leichter zurückzufordern als andere Projekte. Dies schafft einen finanziellen Vorteil für Ausgaben im Bereich der Sicherheit, die über die Mindestanforderungen hinausgehen. Die Forscher schlagen vor, dass Versorgungsunternehmen diesen Vorteil in ihre Berechnungen einbeziehen sollten. Beim Vergleich eines Sicherheitsprojekts mit anderen Bedürfnissen, wie etwa der Modernisierung von Stromleitungen oder dem Bau neuer Umspannwerke, sollte das Sicherheitsprojekt mit diesen niedrigeren effektiven Kosten bewertet werden. Dies stellt sicher, dass wertvolle Sicherheitsaufrüstungen nicht einfach übersehen werden, nur weil sie auf dem Papier teuer erscheinen.

Um zu testen, wie dieses Framework in der Praxis funktionieren könnte, untersuchten die Autoren ein historisches Beispiel aus Kalifornien. In den frühen 2010er Jahren finanzierte ein Programm namens CES-21 die Forschung zur Cybersicherheit des Stromnetzes und zur Integration erneuerbarer Energien. Das Budget des Programms wurde schließlich um etwa 77 Prozent gekürzt, nachdem die Gesetzgeber entschieden hatten, dass der ursprüngliche Antrag keine klare Begründung für seine Größe aufwies. Die Forscher nutzen dieses Ereignis, um die Gefahr zu illustrieren, die mit großen Sicherheitsinvestitionen ohne eine strukturierte Methode zur Bestimmung des richtigen Ausmaßes einhergeht. Sie argumentieren, dass das von ihnen vorgeschlagene Framework damals vielleicht dazu geführt hätte, dass das Versorgungsunternehmen die Ausgaben klarer hätte rechtfertigen können oder vielleicht erkannt hätte, dass ein kleinerer, gestufter Ansatz angemessener gewesen wäre.

Das Paper macht deutlich, dass dieses Framework ein Denkwerkzeug ist und kein fertiges Produkt für den sofortigen Einsatz. Die Autoren weisen auf erhebliche Lücken in den Daten hin, die notwendig wären, damit das System perfekt funktioniert. So gibt es beispielsweise keine präzisen Schätzungen darüber, wie viel Geld ein Cyberangriff auf eine Solaranlage oder einen Batterie-Aggregator tatsächlich kosten würde. Versorgungsunternehmen haben zudem Schwierigkeiten, sensible Informationen über ihre Risiken zu teilen, was es schwierig macht, den „erwarteten Verlust“ zu berechnen, der die zweite Stufe des Frameworks antreibt. Darüber hinaus hat bisher noch kein Versorgungsunternehmen das neue Bundesanreizprogramm genutzt, sodass es keine realen Daten darüber gibt, wie sich dieser Teil der Gleichung in der Praxis auswirkt.

Trotz dieser Einschränkungen glauben die Forscher, dass ihre Arbeit eine kritische Lücke füllt. Jahrelang war die Diskussion über die Sicherheit des Stromnetzes gespalten zwischen jenen, die sich auf die Einhaltung von Regeln konzentrierten, und jenen, die sich auf die Ökonomie des Risikos konzentrierten. Dieses Paper legt nahe, dass die Zukunft eines sicheren, klimaneutralen Stromnetzes davon abhängt, diese Fäden miteinander zu verweben. Indem es einen strukturierten Weg bietet, verbindliche Regeln, ökonomische Grenzen, zeitliche Flexibilität und finanzielle Anreize zu kombinieren, bietet das Framework einen Weg nach vorn für die Planer der Versorgungsunternehmen. Es verspricht nicht, Cyberbedrohungen zu eliminieren, aber es bietet einen klareren, logischeren Weg, um zu entscheiden, wie das Geld eingesetzt werden soll, das zur Bekämpfung dieser Bedrohungen nötig ist. Während sich das Stromnetz weiter verändert, mag das Vorhandensein einer Methode zur Navigation durch diese komplexen Entscheidungen genauso wichtig sein wie die Technologie selbst.