Anfrage: Gefahr für das AKW Mühleberg durch Fernwartung des Computersystems. Fragwürdige Überwachung des Ensi

Geschäftsnummer:	15.3656
Eingereicht von:	Munz Martina
Einreichungsdatum:	18.06.2015
Stand der Beratung:
Zuständigkeit:	Departement für Umwelt, Verkehr, Energie und Kommunikation
Schlagwörter:	Sicherheit; Sicherheitsstufe; Fernwartung; Cyber-Security; Systeme; Nuklearanlagen; Aufsichtspflicht; Computersysteme; Bereich; International; Standard; IT-Bereich; Mühleberg; Stimmt; Aussage; Eidgenössische; Nuklearsicherheitsinspektorat; Informatik; Bewilligung; Nuclear; Energy; Institute; Interessenverband; Atomindustrie; Nuklearanlagen:; Sicherung

Eingereichter Text

1. Der IT-Bereich des AKW Mühleberg werde von Bern aus gewartet werden. Stimmt diese Aussage, und warum haben die BKW darüber nicht informiert?

2. Hat das Eidgenössische Nuklearsicherheitsinspektorat (Ensi) für die Fernwartung der technischen Informatik eine dauernde Bewilligung erteilt?

3. Das Nuclear Energy Institute, der Interessenverband der amerikanischen Atomindustrie, schreibt über Cyber-Security in Nuklearanlagen: "Die für Sicherheit, Sicherung und Notfallbeherrschung notwendigen Systeme in Nuklearanlagen müssen vom Internet isoliert sein." Teilt der Bundesrat bzw. das Ensi diese Einschätzungen?

4. Nimmt das Ensi seine Aufsichtspflicht bei IT-Systemen der zweithöchsten Sicherheitsstufe genügend wahr? Die Internationale Atomenergieagentur hat dafür klare Regeln, wonach bei Computersystemen der zweithöchsten Sicherheitsstufe Fernwartungen höchstens fallweise und für eine definierte Arbeitszeit bewilligt werden dürfen.

5. Warum gilt für Computersysteme in nuklearen Anlagen nicht die höchste Sicherheitsstufe?

6. Nimmt das Ensi seine Aufsichtspflicht bezüglich des IT-Bürokommunikationssystems genügend wahr? Auch in diesem Bereich werden sensitive Informationen verwaltet, welche von Dritten für eine böswillige Einwirkung missbraucht werden könnten. Gemäss dem Bericht im "Beobachter" 12/2015 besteht eine löchrige Firewall. Dutzende von Administratoren hätten Zugriff zu heiklen Servern. IP-Adressen würden per E-Mail versendet. Das Ensi werde auch nur ungenügend über sicherheitsrelevante Vorgänge informiert.

7. Müsste das Ensi die Anforderungen bezüglich Cyber-Security nicht verschärfen und an die aktuelle Bedrohungslage anpassen?

8. Die International Electrotechnical Commission (IEC) hat einen Standard für die Computersicherheit in Atomkraftwerken publiziert (IEC 62645). Weshalb erklärt das Ensi diesen Standard nicht für verbindlich?

Begründung

Die Fragen nehmen Bezug auf den Bericht "AKW Mühleberg -Einladung für Hacker", "Beobachter" vom 12. Juni 2015, 12/2015: http://www.beobachter.ch/dossiers/energie/artikel/akw-muehleberg_einladung-fuer-hacker/. Dieser Bericht deckt eine Fülle von sicherheitsrelevanten Mängeln bei der Überwachung der Computersysteme der zweithöchsten Sicherheitsstufe sowie des Bürokommunikationssystems des AKW Mühleberg auf.

Weitere Informationen

Mehr Informationen können Sie von der Webseite www.parlament.ch entnehmen.