Die Digitalisierung der Energiewende durch den Ausbau intelligenter Stromzähltechnologien nimmt Fahrt auf. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) teilte am 20.12.2018 mit, dass es das erste sog. „Smart-Meter-Gateway“ zertifiziert hat (Zertifikat BSI-DSZ-CC-0831-2018 vom 12.12.2018).
Damit wird die Einbindung moderner Messsysteme über ein Smart-Meter-Gateway in das Kommunikationsnetz gemäß den Anforderungen des Messstellenbetriebsgesetzes (MsbG) möglich, aber noch nicht verpflichtend. Nachfolgend soll ein Überblick über die maßgeblichen rechtlichen Regelungen, die aktuellen Entwicklungen und offenen Rechtsfragen erfolgen.
I. SMART METERING: DAS MESSSTELLENBETRIEBSGESETZ ALS ZENTRALE REGELUNG
Im Energiesektor wird schon seit Längerem über Begriffe wie „Smart Grid“ und „Smart Metering“ diskutiert. Die Schaffung intelligenter Versorgungsnetze gilt als wichtiger Schritt zu mehr Energieeffizienz und dient der Umsetzung der Energiewende.
Die wesentliche gesetzliche Regelung für intelligente Messsysteme ist das am 02.09.2016 in Kraft getretene MsbG. Dieses soll die Energiewende maßgeblich unterstützen. Zuvor war das Messwesen in §§ 21 b ff. EnWG und in der MessZV geregelt, nun wurde es grundlegend reformiert.
Das MsbG trifft Regelungen zum Messstellenbetrieb, insbesondere technische Vorgaben zur Gewährleistung von Datenschutz und Datensicherheit bei Smart-Meter-Gateways, zu Einbau- und Betriebspflichten wie auch zur Kostenseite, ein eigener Teil widmet sich der Datenkommunikation. Am Ende werden Aufgaben der Regulierungsbehörden geregelt.
1. Terminologie: Intelligentes Messsystem; Smart-Meter-Gateway; moderne Messeinrichtung
Die Terminologie des MsbG ist, bedingt durch seine in die Zukunft gerichtete Bedeutung, noch nicht geläufig oder gar selbstverständlich. Die nachfolgende Erläuterung soll Klarheit über die wichtigsten Begriffe schaffen.
Zentrale Rolle kommt im MsbG dem intelligenten Messsystem (iMSys) zu. Dieses ist in § 2 Satz 1 Nr. 7 MsbG legaldefiniert als eine moderne Messeinrichtung (§ 2 Nr. 15 MsbG) zur Erfassung elektrischer Energie, die den tatsächlichen Energieverbrauch und die tatsächliche Nutzungszeit widerspiegelt, den besonderen Anforderungen nach §§ 21, 22 MsbG (Datenschutz und –sicherheit, Interoperabilität in Schutzprofilen, Technische Richtlinien) genügt und über ein sog. Smart-Meter-Gateway in ein Kommunikationsnetz eingebunden ist.
Das Smart-Meter-Gateway (SMGW) wiederum, legaldefiniert in § 2 Satz 1 Nr. 19 MsbG, ist eine solche besondere Kommunikationseinheit, an die hohe Sicherheitsanforderungen gestellt werden (vgl. insb. §§ 2 Satz 1 Nr. 19, 21 Abs. 1 Nr. 4, 22-25 MsbG). Das SMGW ist nicht das intelligente Messsystem selbst, sondern nur ein Teil hiervon. Das SMGW ist eine Kommunikationseinrichtung, d.h. ein Sender und Empfänger für den Stromzähler.
Nicht zu verwechseln ist das intelligente Messsystem
– wie sich schon aus der Definition ergibt – mit der modernen Messeinrichtung. Eine moderne Messeinrichtung ist nach § 2 Satz 1 Nr. 15 eine Messeinrichtung, die den tatsächlichen Elektrizitätsverbrauch und die tatsächliche Nutzungszeit widerspiegelt und über ein SMGW sicher in ein Kommunikationsnetz eingebunden werden kann. Wesentliche Anforderungen für die moderne Messeinrichtung ergeben sich aus dem Eichrecht, insbesondere aus dem Mess- und Eichgesetz (MessEG) sowie der Mess- und Eichverordnung (MessEV), die die unionsrechtliche Messgeräterichtlinie 2014/32/EU (MID-RL) umsetzen. Die „moderne Messeinrichtung“ ist damit ein weiterentwickelter Elektrizitätszähler, der eine kompatible Schnittstelle zum SMGW aufweist (in der Fachsprache: LMN-Schnittstelle, d.h. Schnittstelle zum lokalen metrologischen Netz).
Gemeinsam mit dem SMGW bildet die moderne Messeinrichtung das intelligente Messsystem.
2. Die Rolle des Messstellenbetreibers
Dem „grundzuständigen Messstellenbetreiber“ fällt der Messstellenbetrieb zu, welcher nach § 3 Abs. 2 MsbG den Einbau, den Betrieb, die Wartung der Messstelle, ihrer Messeinrichtungen und -systeme, die Gewährleistung einer mess- und eichrechtlichen Anforderungen genügenden Messung der entnommenen als auch
verbrauchten und eingespeisten Energie, Messwertaufbereitung sowie eine den Anforderungen des Gesetzes (§§ 19 ff. MsbG) genügende Datenübertragung umfasst.
„Grundzuständiger Messstellenbetreiber“ ist der Betreiber des Energieversorgungsnetzes, solange er diese Zuständigkeit nicht nach § 43 MsbG anderweitig übertragen hat, § 2 Satz 1 Nr. 4 MsbG, damit grundsätzlich der örtliche Verteilnetzbetreiber. Dieser Messstellenbetreiber wird nach § 9 MsbG aufgrund eines Messstellenvertrags oder eines „kombinierten Vertrags“, bei dem der Messstellenbetrieb Teil des Vertrags über die Energielieferung ist, tätig.
Ein Wechsel des Messstellenbetreibers ist, ohne dass Entgelte hierfür erhoben werden dürfen (§ 14 Abs. 3 MsbG) nach Maßgabe der §§ 14-16 MsbG möglich. Wegen der Wechselmöglichkeit spricht das Gesetz auch vom „grundzuständigen“ Messstellenbetreiber. Dieser – oder der freiwillig gewählte Messstellenbetreiber – ist zugleich der Administrator des sog. SMGW (§§ 3 Abs. 1 Satz 2, 25 MsbG).
3. Voraussetzungen der Pflicht zum Rollout
§ 29 Abs. 1 MsbG bildet die Grundnorm für die Ausstattungsverpflichtung. Hiernach besteht die Verpflichtung grundzuständiger Messstellenbetreiber zur Ausstattung von Messstellen mit intelligenten Messsystemen, soweit dies (a) nach § 30 MsbG technisch möglich und (b) nach § 31 MsbG wirtschaftlich vertretbar ist. Dies betrifft Messstellen bei Letztverbrauchern mit einem Verbrauch von über 6000 kWh/Jahr, bei Letztverbrauchern, die am Flexibilitätsmechanismus des § 14a EnWG teilnehmen (sog. steuerbare Verbraucher) sowie bei Betreibern von Erzeugungsanlagen mit einer installierten Leistung von über 7 kW.
a) Die technische Möglichkeit des Einbaus nach § 30 MsbG ist dann gegeben, wenn mindestens drei voneinander unabhängige Unternehmen intelligente Messsysteme am Markt anbieten, die den am Einsatzbereich des SMGW orientierten Zertifizierungsvorgaben des § 24 Abs. 1 MsbG (sog. Zertifizierungsverfahren nach common criteria) genügen und das BSI dies
– durch Ausstellung eines Zertifikats – feststellt. Dieses Zertifikat weist die Einhaltung der Anforderungen gemäß § 22 MsbG nach. Diese Vorschrift definiert die Mindestanforderungen und überlässt die Konkretisierung in sog. Schutzprofilen und Technischen Richtlinien dem BSI, welches hierfür die Absätze 3 und 4 zu beachten hat. Schutzprofile stellen dabei allgemeine Sicherheitseigenschaften sowie die Bedingungen für einen sicheren Einsatz eines Produkts dar. Zurzeit gibt es zwei Schutzprofile („protection profiles“) des BSI, nämlich zum Smart Meter Gateway (BSI-CC-PP-0073, Version 1.3) sowie zum Sicherheitsmodul für SMGW (BSI-CC-PP-0077, Version 1.03) Diese enthalten ein detailliertes Datenschutzkonzept für die erfassten Daten, welche Aufschluss über das Verhalten von Privathaushalten geben und damit sehr sensibel sind (Kühling/Rasbach/Busch, Energierecht, 2018, 9. Kap., Rn. 55.). Die Technischen Richtlinien des BSI ergänzen die Schutzprofile und schreiben funktionale und qualitative Anforderungen and Produkte fest und definieren Merkmale und Schnittstellen, sie legen vor allem Kriterien und Methoden für Interoperabilitätsprüfungen fest. Für das SMGW gelten die Technischen Richtlinien TR-03109.
Die eigentlichen Vorgaben zur Datenerhebung und Datennutzung sind ausführlich in den §§ 49 bis 70 MsbG geregelt, wobei der Grundsatz der Datensparsamkeit – hier: Weitergabe nur solcher Daten an die berechtigten Stellen, die diese zur Erfüllung ihrer Aufgaben benötigen (BT-Drs. 18/7555, S. 104) – hervorzuheben ist.
Das Vorliegen der technischen Möglichkeit beurteilt das BSI in einer Marktanalyse, die jährlich am 31.01. und anlassbezogen auch unterjährig auf der Webseite des BSI veröffentlicht bzw. aktualisiert wird (§ 30 S. 2 MsbG). Eine Markterklärung zum 31.01.2019 hatte das BSI bereits im Rahmen der „Metering Days 2018“ zugesagt.
b) Die Regelung über wirtschaftliche Vertretbarkeit in § 31 MsbG führt letztlich zu Preisobergrenzen des Messstellenbetreibers, gestaffelt nach Jahresstromverbrauch (für Letztverbraucher, § 31 Abs. 1 MsbG) bzw. installierter Leistung (für Anlagenbetreiber, § 31 Abs. 2 MsbG). § 31 Abs. 3 MsbG regelt die Preisobergrenzen im Falle nicht-verpflichtender Ausstattung. Aus der Formulierung „soweit“ anstelle von „wenn“ in § 29 Abs. 1 MsbG folgt, dass Messstellenbetreiber die Verpflichtung zum Einbau nicht durch das Aufrufen überhöhter Preise für den Messstellenbetrieb unterbinden können, sondern mit dem Vorliegen der technischen Möglichkeit den Einbau vornehmen müssen und den Betrieb abrechnen können, „soweit“ er ausweislich der gesetzlichen Regelung wirtschaftlich vertretbar ist. Höhere Betriebskosten fallen konsequenterweise dem Messstellenbetreiber zur Last. Einzig bei Verbrauchern mit einem Letztverbrauch von über 100000 kWh ist das Betriebsentgelt nicht gedeckelt.
4. Datenschutzrecht im MsbG
Zentraler Bestandteil des MsbG sind die Regelungen zum Datenschutz und der Datensicherheit und den zahlreichen Vorgaben, die hierzu einzuhalten sind. Schließlich sind beim Einsatz von iMSys (auch) personenbezogene Daten betroffen und werden verarbeitet. Die Regelungen im MsbG sind dabei im datenschutzrechtlichen Gesamtkontext, insbesondere vor der am 25.05.2018 in Kraft getretenen Datenschutzgrundverordnung (DSGVO) zu sehen. Diese legt die grundlegenden Pflichten für den Umgang mit personenbezogenen Daten fest.
Problematisch ist insoweit schon, dass nicht klar ist, ob die datenschutzrechtlichen Regelungen europarechtskonform sind. Die DSGVO erlaubt zwar nationalstaatliche Regelungen über die DSGVO hinaus, jedoch nur, soweit eine Öffnungsklausel vorgesehen ist. Ob dies der Fall ist, ist umstritten; eine ausdrückliche Öffnungsklausel für den Bereich des Smart Metering fehlt jedenfalls. Einen genauen Blick verdienen auch die Inhalte des MsbG, die den datenschutzrechtlichen Vorgaben gerecht werden müssen. Auch hier bestehen für die Praxis gewisse Unsicherheiten und Unschärfen. Das MsbG versucht zwar, den datenschutzrechtlichen Grundsätzen der Erforderlichkeit (§ 50 Abs. 1 MsbG), Zweckbindung (§ 50 Abs. 2 MsbG), Datensparsamkeit (§ 52 Abs. 3 MsbG) und Transparenz (§§ 53, 45 MsbG) Rechnung zu tragen. Ob die Regelungen allerdings im Einzelnen ausreichen (und damit europarechtskonform, also im Einklang mit der DSGVO sind), lässt sich allerdings trefflich streiten. Darüber hinaus sind im MsbG einige Fragen gänzlich unbeantwortet, z.B. wie bei mehreren Betroffenen in einem Haushalt eine wirksame Einwilligung zur Erhebung der Daten eingeholt werden muss.
Sowohl hinsichtlich der grundsätzlichen Geltung des MsbG als auch für deren Inhalte ergibt sich für den Anwender, insbesondere die Versorgungsunternehmen, eine nicht unerhebliche Rechtsunsicherheit. Eine Klärung oder ein wirklich spürbarer Diskurs sind – obwohl die Fragen nun schon länger bekannt sind – noch nicht erfolgt. Bis zur abschließenden Klärung der Rechtslage sind jedenfalls alle Beteiligten gut beraten, die Normen des MsbG im Lichte der DSVO und deren Zielsetzung auszulegen.
II. AKTUELLE ENTWICKLUNGEN UND AUSBLICK
Am 20.12.2018 hat das BSI mitgeteilt, dass es das erste SMGW zertifiziert hat (Zertifikat vom 12.12.2018, Nummer BSI-DSZ-CC-0831-2018). Das SMGW wurde entwickelt von der Power Plus Communications AG (PPC) in Zusammenarbeit mit der OpenLimit SignCubes AG. Zudem wurden bereits drei Sicherheitsmodule zertifiziert, nämlich von STMicroelectronics, von Gemalto SA sowie von T-Systems International GmbH. Damit wird die Einbindung moderner Messsysteme über ein SMGW in das Kommunikationsnetz gemäß den Anforderungen des MsbG möglich. Das Rollout der zertifizierten Geräte ist damit möglich geworden, denn moderne Messeinrichtungen sind schon auf dem Markt erhältlich. Gleichwohl kommt es – wie in §§ 29 Abs. 1, 30 MsbG vorgesehen – erst dann zum „verpflichtenden Rollout“, wenn mindestens drei Unternehmen am Markt intelligente Messsysteme anbieten.
Das BSI hat, der Ankündigung im Vorjahr folgend, nun seine erste Marktanalyse nach § 30 S. 2 MsbG veröffentlicht. An der Zertifizierungslage hat sich bislang nichts geändert, sodass weiterhin abzuwarten ist, wann das BSI den „Startschuss“ gibt. Die Marktanalyse wird bei Bedarf, d.h. bei Änderung der Zertifizierungssituation, auch unterjährig aktualisiert. Zurzeit sind nach Aussage des BSI weitere acht Anbieter im Zertifizierungsverfahren, sodass bald die Feststellung der technischen Möglichkeit erfolgen sollte. Allerdings sei darauf hingewiesen, dass dies schon im Jahr 2018 erwartet wurde (Milovanović, IR 2018, 146); eine verlässliche Zeitangabe kann nicht gemacht werden.
Das BSI hat in seiner Marktanalyse auch den im Gesetz angelegten „Ausbaupfad“ beschrieben und veranschaulicht. Demnach soll ab Feststellung der technischen Möglichkeit durch das BSI der Einbau bei Verbrauchern mit einem Jahresverbrauch von mehr als 10.000 kWh sowie bei Erzeugern mit einer installierten Leistung von 7 bis 100 kW verpflichtend werden. Ab 2020 soll der Einbau dann auch bei Verbrauchern im Bereich 6000-10000 kWh Jahresstromverbrauch sowie bei Erzeugern mit einer installierten Leistung von 100 kW und mehr verpflichtend werden. Auch nach dem „Startschuss“ des BSI bleibt der Einbau bei Verbrauchern mit einem Jahresstromverbrauch unter 6000 kWh sowie bei Erzeugern mit einer installierten Leistung von 1 bis 7 kW freiwillig.
Sobald und soweit der Einbau verpflichtend wird, werden spannende rechtliche Fragen, aber auch technische und wirtschaftliche Themen auf die Tagesordnung kommen. So wird das MsbG dafür kritisiert, die Realität industrieller Verteilnetze (etwa Chemieparks) weder in technischer noch in wirtschaftlicher Hinsicht zu berücksichtigen (vgl. Kaiser/Weiss/Weise, EnWZ 2018, 207). Auch datenschutzrechtlich wird sich erst noch zeigen, ob die Regelungen der §§ 49 ff. MsbG, die nicht zwischen personenbezogenen und nicht-personenbezogenen Daten unterscheiden, in der Praxis handhabbar sind (vgl. Bretthauer, EnWZ 2017, 56).
Damit bleibt im Ergebnis der Startschuss des BSI abzuwarten.
