Remote-Support kann eine Serviceuntersuchung verkürzen, insbesondere wenn der Lieferant und die Installation in unterschiedlichen Ländern liegen. Er kann den Eigentümer jedoch auch im Unklaren darüber lassen, wer den Dispatch ändern, die Firmware aktualisieren oder ein gestopptes System wieder verbinden darf. Die praktische Frage ist nicht, ob das BESS ein Cloud-Portal hat. Sie ist, ob der Eigentümer den Zugang, den dieses Portal bietet, steuern kann.
Verankern Sie die Sicherheit des BESS-Fernzugriffs in der Beschaffungsspezifikation. Identifizieren Sie Benutzer, zulässige Aktionen, Genehmigungsanforderungen, lokale Betriebsverantwortlichkeiten und die nach einer Servicesitzung verfügbaren Aufzeichnungen. Eine Passwortübergabe ohne diese Informationen lässt wichtige Entscheidungen ungeklärt.
Aktuelle Orientierung: Ein neuer Entwurf ist kein neues Konformitätszertifikat
NIST SP 800-82 Revision 3, veröffentlicht im September 2023, ist der finale OT-Sicherheitsleitfaden, der zum Zeitpunkt dieser Prüfung auf der Veröffentlichungsseite von NIST identifiziert ist. OT bedeutet Operational Technology: Systeme, die physische Prozesse überwachen oder beeinflussen. Ein Speichersteuerungssystem sollte mit diesen betrieblichen Konsequenzen im Blick bewertet werden.
NIST veröffentlichte den Revision 4 initial public draft am 21. September 2026, mit Kommentaren bis zum 30. November 2026. Er bleibt ein Entwurf, kein finaler Ersatz und kein Produktzertifizierungsschema. Die Ankündigung hebt eine erweiterte Abdeckung von Cloud-Konvergenz und Governance hervor. Käufer sollten die Entwicklung verfolgen, ohne eine Entwurfsreferenz als Nachweis der Konformität darzustellen.
Für einen Projektinhaber ist die unmittelbare Implikation vertraglicher Natur: Fragen Sie den Integrator, welche Leitlinien und Anforderungen das gelieferte Design adressiert, welche Nachweise verfügbar sind und welche Funktionen von Drittanbieterdiensten abhängen. Vermeiden Sie vage Behauptungen wie “sichere Cloud” ohne definierten Geltungsbereich. Ein gut formulierter Zugangsplan ist nützlicher als ein unerklärtes Sicherheitslogo.
Die Betrachtung der Batterie vom Befehl an sie trennen
Ein Überwachungskonto, ein Dispatch-Konto und ein Wartungskonto sollten nicht als dieselbe Rolle behandelt werden. Das Anzeigen eines Alarms erfordert keine Berechtigung zum Ändern einer schutzrelevanten Konfiguration. Das Herunterladen von Betriebsdaten erfordert nicht unbedingt die Berechtigung zum Erteilen eines Leistungsbefehls. Bitten Sie den Lieferanten, die tatsächlichen Berechtigungsgrenzen nachzuweisen.
Bei der Bewertung von kommerziellen Energiespeichergeräten, fordern Sie die Fernservice-Architektur zusammen mit dem elektrischen und steuerungstechnischen Umfang an. Bestätigen Sie, ob der Zugang über ein eigentümerverwaltetes Gateway, ein Lieferantenportal, eine lokale Schnittstelle oder mehrere Pfade erfolgt. Dokumentieren Sie jeden Pfad, der aktiv bleibt, wenn das Hauptportal-Konto deaktiviert ist.
| Rolle | Typischer Geschäftsbedarf | Explizit zu verifizierende Berechtigung |
|---|---|---|
| Eigentümerbetrieb | Status, Alarme und Betriebshistorie lesen | Ob betriebliche Befehle zulässig sind und protokolliert werden |
| Energiemanager | Genehmigte Dispatch-Zeitpläne verwalten | Welche Einstellungen ohne technische Genehmigung geändert werden können |
| Lieferantendiagnose | Fehler untersuchen und Service-Nachweise exportieren | Ob die Sitzung schreibgeschützt bleiben kann |
| Autorisierte Wartung | Eine genehmigte Änderung während eines Servicefensters durchführen | Wer erhöhte Berechtigungen erteilt, begrenzt und entzieht |
| Kontoadministrator | Benutzer und Zugriffsrichtlinie verwalten | Ob die Identitätsverwaltung auch Anlagenbefehle erlaubt |
Eine Servicesitzung von der Anfrage bis zum Abschluss spezifizieren
Der NIST OT-Sicherheitsleitfaden empfiehlt begründeten, begrenzten Fernzugriff, der Sicherheitssteuerungen nicht unwirksam macht, und erörtert Authentifizierung, temporären Zugang und Protokollierung. Er betont auch die betrieblichen Auswirkungen der Deaktivierung des Zugangs. Nutzen Sie diese Grundsätze, um einen nachweisbaren Service-Workflow zu verlangen, nicht lediglich eine VPN-Verbindung.
Beginnen Sie mit einem namentlich benannten Ingenieur und einem identifizierten Service-Ticket. Der Eigentümer sollte wissen, was der Ingenieur zu inspizieren oder zu ändern beabsichtigt, ob lokales Personal anwesend sein muss und wer zur Genehmigung der Arbeit autorisiert ist. Legen Sie eine stärkere Authentifizierung für privilegierten Fernzugriff fest und identifizieren Sie jedes Gerät, das diese nicht direkt unterstützen kann, damit das Sicherheitsteam die vorgeschlagene Alternative bewerten kann.
Vereinbaren Sie die Endbedingung der Sitzung. Der Zugang sollte nicht allein deshalb erhöht bleiben, weil der Ingenieur sich nicht abgemeldet hat. Wenn die Plattform den gewünschten Ablauf nicht durchsetzen kann, verlangen Sie einen dokumentierten, eigentümergesteuerten Prozess und bewerten Sie, ob dieser für das Risiko des Standorts ausreichend ist. Vermeiden Sie die Verwendung gemeinsamer Anmeldedaten als normale Methode zur Identifizierung der Person, die eine Änderung durchgeführt hat.
Der Abschlussdatensatz sollte die genehmigte Arbeit, tatsächliche Änderungen, Konfigurationssicherung, resultierende Alarme und die Entscheidung zur Wiederinbetriebnahme identifizieren. Ein Remote-Neustart, der die Kommunikation wiederherstellt, ist kein Nachweis dafür, dass der Energieservice oder die sicherheitsrelevante Konfiguration verifiziert wurde.
Die lokale Betriebsentscheidung sichtbar halten
Fragen Sie, was geschieht, wenn die Internetverbindung, die Cloud-Plattform oder der Fernsupport-Dienst nicht verfügbar ist. Die Antwort muss die gelieferte Steuerungsarchitektur und genehmigte lokale Funktionen beschreiben. Gehen Sie nicht davon aus, dass ein System für jede Aktion die Cloud benötigt oder dass jedes System alle Dienste ohne sie fortsetzen kann.
Unsere Verantwortungsleitfaden für BMS, PCS und EMS hilft, Batteriegrenzen, Umrichteraktionen und übergeordneten Dispatch zu trennen. Die Fernzugriffsspezifikation sollte diese Unterscheidung bewahren. Die Berechtigung eines Fernkontos, Entladung anzufordern, bedeutet nicht, dass es eine Batterieschutzentscheidung oder die genehmigten Verriegelungen des Standorts übergehen darf.
| Nicht verfügbare Funktion | Was der Eigentümer feststellen sollte | Anzufordernde Nachweise |
|---|---|---|
| Internetverbindung | Welche lokalen Steuerungen und Aufzeichnungen bleiben verfügbar? | Genehmigter Nachweis des Konnektivitätsverlusts |
| Cloud-Portal | How does the owner confirm actual plant state? | Local interface and operator procedure |
| Remote service account | Can support access end without unintended plant commands? | Revocation test under an approved operating plan |
| Central identity service | What controlled emergency access is available? | Owner-approved recovery and audit process |
| Dispatch data feed | Which restricted operating policy takes effect? | Control narrative and associated event records |
Data ownership matters when the warranty starts
Die DER cybersecurity standards overview describes work spanning device, network, application and system requirements. That scope is important: a protected device is not the same thing as a fully governed service chain. The page does not establish that HMX products hold any of the certifications it discusses.
Ask who owns the operational data, who can export it, which formats are available and what remains accessible if a subscription ends. A cloud-only screenshot is a weak basis for reviewing repeated outages or a warranty dispute. Define retention and export requirements according to the owner’s operating and legal needs; do not insert an arbitrary retention period because another site’s contract used it.
The owner should retain the device inventory, approved firmware and settings revisions, network architecture, service contacts and recovery material in a controlled location. Store passwords and other secrets in the organisation’s approved security system, not in a shared maintenance report. Avoid placing detailed live network diagrams in public marketing material.
Include an exit plan, not just an onboarding plan
The maintenance provider may change while the battery remains in service. Specify how accounts are revoked, customer administrators transferred, records exported and replacement support brought in. Clarify the supplier’s security-update support period and how the owner receives vulnerability or service notices. A warranty duration does not automatically define software support.
| Lieferergebnis | Responsible party to name | Abnahmenachweis |
|---|---|---|
| Access architecture and role list | Integrator with owner IT/OT review | Documented paths and role demonstration |
| Service-session approval process | Owner operations and supplier service | Sample authorised session with closure record |
| Data export and configuration recovery | Platform provider and integrator | Readable export and approved recovery demonstration |
| Security support and notifications | Device and platform suppliers | Defined scope, contacts and end-of-support conditions |
| Contract termination handover | Owner and outgoing service provider | Revocation, ownership transfer and retained records |
Place these deliverables in the BESS purchase and acceptance checklist. The objective is accountable service access: the right person can do approved work, the owner can see what happened, and the installation retains a defined operating path when remote support is unavailable. Require the supplier to demonstrate that arrangement before handover.