BSI Smart Meter Gateway (TR-03109), KRITIS-Steuerungsanlagen & IoT-Kryptographie 2026: PQC-Migration (TR-02102) und sichere Firmware-Updates (TR-03185)
Mit der dringenden Warnung zur Absicherung vernetzter Steuerungssysteme und Energie-Kleinanlagen (BSI-Pressemitteilung vom 13.10.2026), der neuen nationalen Leitlinie zur Umstellung auf Post-Quanten-Kryptografie für KRITIS-Betreiber (12.10.2026) sowie dem Eckpunktepapier Sichere Ladeinfrastruktur hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) den regulatorischen Druck auf den Energie-, Industrie- und IoT-Sektor im Herbst 2026 massiv verschärft.
Für Stadtwerke, Messstellenbetreiber, Hersteller von Smart Meter Gateways (SMGW), Steuerboxen nach § 14a EnWG, Wallboxen/Ladesäulen sowie industrielle OT-/SCADA-Verantwortliche gilt: Vernetzte Feldgeräte mit einer Einsatzdauer von 10 bis 15 Jahren fallen unmittelbar in das BSI-Auslaufszenario 2031/2035 für klassische asymmetrische Kryptographie (RSA, ECDH, ECDSA). Gleichzeitig zwingen NIS-2 (§ 30 & § 38 BSIG) und der Cyber Resilience Act (CRA) Hersteller dazu, Krypto- und Sicherheits-Updates im Feld ohne Verlust der BSI-Zertifizierung nach BSI TR-03185 auszurollen.
1. Warum Smart Meter Gateways, OT-Steuerungen und IoT-Flotten besonders vom Ablaufdatum 2031 betroffen sind
Anders als kurzlebige Cloud-Container verbleiben Smart Meter Gateways (BSI TR-03109-1), industrielle SPS-/PLC-Steuerungen, Wechselrichter und Ladesäulen oft über ein Jahrzehnt im produktiven Feldeinsatz. Daraus entsteht eine doppelte Compliance-Falle:
- Der „Store Now, Decrypt Later" (SNDL) & PKI-Lebenszyklus-Konflikt:
Geräte, die 2026/2027 mit rein klassischer ECC-Kryptographie (z. B.BrainpoolP256r1odersecp256r1ohne hybride PQC-Erweiterung) oderRSA-2048ausgeliefert werden, überschreiten während ihrer regulären Betriebsdauer die verbindliche BSI-Frist Ende 2031 (TR-02102-1). Für Smart-Metering-PKIs (SM-PKI nach BSI TR-03109-4) und Sub-CAs bedeutet dies, dass Wurzel- und Gerätezertifikate rechtzeitig auf quantensichere bzw. hybride Verfahren (ML-KEM / FIPS 203 für Schlüsselaustausch, ML-DSA / FIPS 204 und SLH-DSA / FIPS 205 bzw. zustandsbehaftete Hash-Signaturen wie XMSS/LMS für Firmware-Signaturen) umgestellt werden müssen. - Exponierte Steuerungssysteme & § 30 BSIG (NIS-2):
Wie das BSI in seiner Cybersicherheitsempfehlung vom Oktober 2026 betont, sind unzureichend gehärtete Fernwirk- und Wartungsschnittstellen (TLS-Webinterfaces, SSH-Zugänge, IPsec/IKEv2-Gateways, OpenVPN) ein primäres Einfallstor für Angriffe auf die Versorgungssicherheit. Nach § 30 Abs. 2 Nr. 8 BSIG müssen Betreiber kritischer Anlagen und wichtiger Einrichtungen ein dokumentiertes Konzept zur Kryptographie sowie ein vollständiges Krypto-Inventar (Cryptographic Bill of Materials – CBOM) über alle IT- und OT-Komponenten vorweisen.
2. Regulatorische Referenzmatrix: BSI TR-03109, TR-02102 & TR-03185 im Zusammenspiel
Die folgende Übersicht zeigt die konkreten technischen Anforderungen für KRITIS-Betreiber, Energieversorger und Embedded-/IoT-Hersteller für den Prüfzeitraum 2026–2031:
| Systemdomäne / Schnittstelle | Klassischer Ist-Zustand (Risiko / Abkündigung) | BSI-Zielarchitektur 2026–2031+ (PQC & Secure SDLC) | Maßgebliche Richtlinie / Gesetz |
|---|---|---|---|
| WAN-Kommunikation (SMGW / GWA / EMT) | TLS 1.2/1.3 mit rein klassischem ECDHE (BrainpoolP256r1, secp384r1) |
TLS 1.3 mit Hybrid-PQC KEM: X25519MLKEM768, SecP256r1MLKEM768 oder SecP384r1MLKEM1024 |
BSI TR-03109-1 • BSI TR-02102-2 |
| Smart Metering PKI (SM-PKI) & Gerätezertifikate | Klassische ECDSA-Zertifikate ohne Krypto-Agilität | Hybride X.509-Zertifikate & Migration auf ML-DSA-65 / ML-DSA-87 (Ablösung klassischer Signaturen bis 2035) | BSI TR-03109-4 • BSI TR-02102-1 |
| Standort- & Fernwirk-VPN (Umspannwerke, Ladeinfrastruktur) | IKEv2 / IPsec mit DH-Gruppe 14 (RSA-2048) oder klassischem ECDH |
IKEv2 Multiple Key Exchanges (RFC 9370) + IKE-Fragmentierung (RFC 7383) mit ML-KEM-768 / ML-KEM-1024 | BSI TR-02102-3 • § 8a / § 30 BSIG |
| Wartungszugänge auf Gateways & OT-Linux-Steuerungen | OpenSSH mit ssh-rsa oder rein klassischem curve25519-sha256 |
OpenSSH 9.9+ Hybrid-KEX: mlkem768x25519-sha256 bzw. sntrup761x25519-sha512@openssh.com |
BSI TR-02102-4 |
| Firmware-Signatur & Secure Boot (Embedded / IoT / CLS) | RSA-2048/3072 oder ECDSA P-256 im Bootloader | Quantensichere Code-Signatur im ROM-Bootloader via XMSS / LMS (SP 800-208), SLH-DSA oder ML-DSA | BSI TR-02102-1 • CRA Anhang I |
| Over-the-Air (OTA) Firmware- & Krypto-Updates | Langwierige Einzel-Rezertifizierung nach jedem Security-Patch | 3-Klassen Patch-Matrix (Klasse A/B/C) + automatisierte CycloneDX SBOM (TR-03183-2) ohne Rezertifizierungsverlust | BSI TR-03185 • CRA Meldepflicht |
3. Technische Umsetzung: 3-Schritte-Prüfplan für OT-, Smart-Grid- & IoT-Verantwortliche
Schritt 1: Automatisierte CBOM-Bestandsaufnahme auf Linux-basierten Gateways & Leitwarten
Prüfen Sie Ihre Linux-basierten Steuerungssysteme, Edge-Gateways, VPN-Konzentratoren und Jump-Hosts mit unserem Zero-Dependency Open-Source CLI-Scanner (bsi_pqc_check.py). Das Skript benötigt lediglich Python 3 Standardbibliotheken und verändert keine Systemdateien:
# Direkt ausführen und lokales Krypto-Inventar (CBOM-CSV + HTML-Prüfbericht) generieren:
pipx run git+https://github.com/KenanErorr404/bsi-tr02102-pqc-audit-cli.git --generate-cbom-csv
Der Scanner erkennt sofort, ob auf Ihren Systemen noch abgekündigte Verfahren (RSA-2048, SHA-1, fehlende hybride ML-KEM-Gruppen in OpenSSH und OpenSSL) aktiv sind, und erzeugt ein maschinenlesbares CBOM-Preview für Ihr ISMS nach ISO/IEC 27001, BSI IT-Grundschutz oder BDEW Whitepaper.
Schritt 2: Sichere Firmware- und Krypto-Updates ohne Rezertifizierungsstau (BSI TR-03185)
Gerade bei zertifizierten Komponenten (Smart Meter Gateways, Steuerboxen, medizinischen IoT-Geräten nach DiGA TR-03161 oder CRA-regulierten Industriesteuerungen) scheiterten schnelle Krypto-Updates (z. B. ein Wechsel der OpenSSL- oder wolfSSL-Bibliothek) bisher oft an der Angst vor dem Verlust der bestehenden Zertifizierung.
Mit der Richtlinie BSI TR-03185 („Sicherer Software-Lebenszyklus") hat das BSI einen klaren Rechtsrahmen geschaffen: Wenn der Hersteller über einen dokumentierten, risikobasierten Release- und Patch-Klassifizierungsprozess verfügt und für jedes Update ein automatisiertes Evidence-Bundle inklusive Software Bill of Materials (SBOM nach BSI TR-03183-2) erzeugt, können reine Sicherheits- und Krypto-Patches (Klasse A) ausgerollt werden, ohne eine vollständige Rezertifizierung zu durchlaufen.
Schritt 3: NIS-2 Bußgeld- & Haftungsrisiko (§ 38 & § 60 BSIG) quantifizieren
Berechnen Sie in 60 Sekunden Ihren aktuellen Compliance-Gap-Score sowie den gesetzlichen Bußgeldrahmen für KRITIS- und NIS-2-Einrichtungen mit unserem kostenlosen Online-Rechner:
👉 Zum interaktiven BSI PQC & NIS-2 Risiko- und Bußgeld-Rechner
4. Checkliste für Geschäftsleitung, CISO & Product Security Officer (§ 38 BSIG)
Um die persönliche Haftung der Geschäftsleitung nach § 38 BSIG auszuschließen und bei Prüfungen nach § 8a / § 30 BSIG sowie unter dem Cyber Resilience Act (CRA) sofort auskunftsfähig zu sein, sollten folgende vier Nachweise revisionssicher vorliegen:
- Vollständiges Krypto-Inventar (CBOM): Erfassung aller Zertifikate, TLS/SSH/IPsec-Endpunkte, Firmware-Signaturschlüssel und HSM/PKI-Hierarchien inkl. BSI-Ablaufdatum (2031/2035) und "Harvest Now, Decrypt Later"-Risikobewertung.
- Verbindlicher PQC-Migrationsplan (2026–2031): Technischer Stufenplan zur Einführung hybrider Schlüsselaustauschverfahren (
ML-KEM-768/1024) und quantensicherer Firmware-Signaturen. - Standard Operating Procedure (SOP) nach BSI TR-03185: Verbindliche Klassifizierungsmatrix für Sicherheitsupdates (Klasse A/B/C) und automatisiertes CI/CD Release-Gate.
- Formeller Geschäftsführungs-Beschluss (§ 38 BSIG): Schriftliche Freigabe der Krypto-Richtlinie und Beschaffungssperre für nicht-PQC-fähige Feldgeräte und Steuerungstechnik.
📦 Schlüsselfertige Enterprise-Compliance-Pakete (.xlsx Workbooks, Configs & CI/CD-Pipelines)
Sparen Sie Wochen an Konzeptions- und Dokumentationsaufwand mit unseren sofort prüffähigen B2B-Toolkits für KRITIS, Energieversorger, Industrie/OT und Softwarehersteller:
- BSI TR-02102-1 PQC & CBOM Migrations-Toolkit (€49): Enthält 9 Enterprise-Dateien inkl.
BSI-TR-02102-CBOM-und-Risiko-Matrix-2031.xlsx(3-Tab Excel-Workbook mit Live-KPI-Formeln & 45-Zeilen CBOM-Inventar), getesteten Drop-in Server-Configs (OpenSSH 9.9+, OpenSSL 3.5+, Nginx TLS 1.3), GitHub/GitLab CI-Workflows und der druckfertigen § 38 BSIG Geschäftsführungs-Beschlussvorlage. - BSI TR-03185 & DiGA TR-03161 Audit-Readiness-Pack (€49): Enthält 5 Enterprise-Dateien inkl.
BSI-TR-03185-und-DiGA-TR03161-Audit-Workbook.xlsx(3-Tab Excel-Workbook zur Patch-Klassifizierung Klasse A/B/C), automatisierter CycloneDX SBOM CI/CD-Pipeline (tr03185-release-gate.yml) und druckbarem Release-Freigabeprotokoll.
.xlsx), Drop-in Server-Configs (OpenSSH 9.9+, OpenSSL 3.5+, Nginx TLS 1.3) & CI/CD-Pipelines.