Indien erlässt neue Cybersicherheitsregeln für den Energiesektor

Indiens Energieministerium hat am 31. Juli 2026 neue Cybersicherheitsvorschriften für den Energiesektor des Landes erlassen. Diese Regeln, bekannt als Central Electricity Authority (Cyber Security in Power Sector) Regulations, 2026, treten am 1. April 2027 vollständig in Kraft.

Die Vorschriften etablieren ein "Computer Security Incident Response Team for the Power Sector" (CSIRT-Power) unter dem Energieministerium. Diese Stelle wird die Meldung und Reaktion auf Cybersicherheitsvorfälle im Sektor koordinieren. CSIRT-Power ist befugt, Details zur Netzarchitektur, Anlageninformationen und Protokolldaten anzufordern, wobei seine Anordnungen für alle Einheiten und Anbieter rechtlich bindend sind.

Eine zentrale Anforderung ist die obligatorische Ernennung eines Chief Information Security Officer (CISO) und eines Stellvertreters durch alle Akteure des Energiesektors, die operative Technologie (OT) oder damit verbundene informationstechnische Systeme (IT) besitzen oder verwalten. Diese Positionen müssen umgehend besetzt werden. Der CISO muss ein indischer Staatsbürger und Einwohner sein, einen Ingenieurabschluss besitzen, mindestens 15 Jahre einschlägige Erfahrung haben und direkt der Leitung der Organisation unterstellt sein.

Weitere Verpflichtungen umfassen die kontinuierliche Überwachung von IT- und OT-Systemen, die Verschlüsselung und ausschließliche Speicherung sensibler Daten und Backups in Indien sowie die Isolierung von kritischen Informationsinfrastrukturen (CII) vom Internet. Unternehmen müssen Cybersicherheitsvorfälle innerhalb von sechs Stunden, bei kritischer Sabotage innerhalb von 24 Stunden, melden und die Richtlinien zur Sicherheit der Lieferkette sowie zur Beschaffung vertrauenswürdiger IT-Ausrüstung einhalten.