Sicherheitsvorschriften für Energiespeichersysteme

D-Cube / D-Ocean Gesamtserie (Industrie- und Gewerbespeicher sowie Großspeicher)

Dokumentennummer: HZ-SAF-001 Version: V1.0 Datum: 2026-09-29

0. Dokumentbeschreibung

0.1 Zweck

Dieses Dokument beschreibt die Sicherheitsdesignprinzipien, die maßgeblichen Sollwerte und die Beurteilungskriterien für das Hoenergy-Energiespeichersystem in den fünf Bereichen elektrische Sicherheit, Batterie- und BMS-Sicherheit, thermisches Durchgehen und Brandschutz, mechanische Umgebungsbedingungen sowie funktionale Sicherheit und stellt eine gemeinsame Grundlage für den technischen Austausch, die technische Beantwortung von Ausschreibungen, die Auslegung von Lösungen sowie die Netzanschlussanmeldung dar.

Dieses Dokument ist eine Produktsicherheitsbeschreibung und stellt weder eine Norm noch eine Vorschrift dar; es ersetzt weder die im jeweiligen Projektland geltenden zwingenden Rechtsvorschriften noch die Vorschriften des Netzbetreibers und der Brandschutzbehörden. Bei Konflikten sind die im Projektland geltenden Rechtsvorschriften sowie die Netzanschlussgenehmigungsunterlagen maßgeblich.

0.2 Zielgruppen und Leseempfehlung

0.3 Referenzierte Dokumente

Die Parameter gelten gemäß dem jeweils aktuellsten Datenblatt. Anhang C führt die Punkte auf, die vor der externen Veröffentlichung von der Produktabteilung bestätigt werden müssen.

1. Allgemeine Grundsätze der Sicherheitsauslegung

1.1 Grundprinzipien

1. Eigensicherheit hat Vorrang: Gefahrenquellen werden zunächst durch die Struktur und die Auswahl der Komponenten beseitigt, und nicht durch Alarmmeldungen kompensiert. Die Zellen werden in LFP-Technologie ausgeführt (die Anfangstemperatur des thermischen Durchgehens ist deutlich höher als bei Systemen auf Basis von Ternär-Materialien), mit 1P-Reihenschaltung ohne parallele Kreisströme und mit clusterunabhängigen Fehlerdomänen.
2. Mehrfach unabhängige Schutzebenen: Der Ausfall eines einzelnen Sensors, eine einzelne Kommunikationsunterbrechung oder ein einzelner Softwarefehler dürfen nicht zu einem gefährlichen Zustand führen. Erkennung, Vorwarnung, Eindämmung und externe Verknüpfung sind voneinander unabhängig.
3. Fehlersicherheit (Fail-safe): Der Standardzustand bei Stromausfall, Kontrollverlust oder Leitungsunterbrechung ist sicher – der PCS wird abgeschaltet und nicht weiterbetrieben, das Schütz wird freigegeben und nicht geschlossen.
4. Keine automatische Wiederherstellung: Nach Auslösung der Lösch- und Eindämmungsfunktion darf das System nicht automatisch neu starten; die Wiederinbetriebnahme darf erst nach maneller Ursachenklärung und Rückstellung erfolgen.
5. Diagnostizierbar und rückverfolgbar: Alle Schutzaktionen werden mit Ereignisprotokollen und auslesbaren Fehlercodes dokumentiert; die Einstellwerte sind abfragbar, kalibrierbar und auditierbar.

1.2 Vier Verteidigungslinien

1.3 Fehlerklassifizierung und automatische Reaktion

Das System ist nach einer dreistufigen Schutzarchitektur aufgebaut. Jede Stufe folgt der Abfolge „Grenzwertüberschreitung erkennen → Leistung reduzieren → auf null setzen → trennen". Die konkreten Schwellenwerte sind in Abschnitt 3.2 und in Anhang A beschrieben.

Rücksetzregeln (Grundlegende Konventionen des Sicherheitsdesigns):

• Schutzfunktionen für Prozessgrößen wie Temperature, Strom und Spannungsdifferenz sind automatisch rücksetzbar, jedoch alle mit Hysterese versehen, um wiederholtes Ein-/Ausschalten in der Nähe der Schwelle zu vermeiden;
• Spannungs-Stufe-3-Schutz, Abtastleitungsanomalie, Gesamtspannungsanomalie, Anomalie der Daisy-Chain-Kommunikation, Sicherungsfehler, Differenzstrom, Hauptkontakt verschweißt/offen, Steuerungsplatinenfehler, Softwareinkompatibilität zählen zu den latchenden Fehlern und erfordern eine Abschaltung bzw. manuellen Eingriff zur Wiederherstellung;
• Nach einer Löschauslösung schlägt das System keinen automatischen Wiederherstellungspfad ein.

2. Elektrische Sicherheit

2.1 Erkennung gefährlicher Spannungen

Die Nennspannung der D-Cube- / D-Ocean-Serie auf der Gleichstromseite beträgt 832 V (D-Cube-261D, S125/261, F135/261) bzw. 1331,2 V (F215/418, D-Ocean-5016D), auf der Wechselstromseite 400 V oder 690/800 V und überschreitet damit die Sicherheitsgrenzwerte von 60 V DC / 50 V AC; es handelt sich um gefährliche Spannungen. Daher gelten folgende Anforderungen:

• Sowohl die Gleichstrom- als auch die Wechselstromseite müssen für gefährliche Spannungen ausgelegt sein. Der Schrank ist mit einer verriegelbaren Schutzabdeckung auszustatten, und die Position des Türschlosses ist in den Zeichnungen anzugeben.
• Luft- und Kriechstrecken sind gemäß Tabelle in IEC 60664-1 zu wählen. Die Eingangsseite entspricht der Überspannungskategorie II und der Verschmutzungsgrad 2 für Innenraumschränke; für Container-Anwendungen ist Verschmutzungsgrad 3 anzuwenden. Die konkreten Werte sind von den Fachingenieuren für Konstruktion und Sicherheit modellweise anhand der整机-OVC- / CTI-Parameter zu berechnen; in dieser Spezifikation werden keine festen Millimeterwerte vorgegeben.

2.2 Primärsystem und Schutzkonfiguration

Erdungssystem: Im TN-S-System ist der PE durchgehend verbunden; die PE-Schiene des Schranks bildet den Sammelpunkt des Gehäuses. Die PE-Schiene und die Erdungselektrode (Wiederholungserdung) sind zwei unterschiedliche Konzepte. Im TN-System ist eine Wiederholungserdung in der Regel nicht zwingend vorgeschrieben, wird jedoch empfohlen.

Netzschutz-Einstellwerte: Das PCS ist werkseitig auf allgemeine Einstellwerte konfiguriert. Vor der Netzkopplung müssen die Einstellwerte unbedingt gemäß den Netzanschlussvorschriften und Typzertifizierungsunterlagen des Netzbetreibers des Ziellands neu eingestellt und bestätigt werden, einschließlich Über-/Unterspannung, Über-/Unterfrequenz, Anti-Inselbetrieb, Impedanzschutz usw. Systeme, die nicht gemäß den lokalen Vorschriften eingestellt sind, dürfen nicht an das Netz angeschlossen werden. Die Einstellwerte gehören zur Projektkonfiguration und müssen dokumentiert und archiviert werden.

2.3 Netzgekoppelter Schutz und Entkopplungsschutz (Schwerpunkt)

Der interne Schutz des PCS und der Entkopplungsschutz am Netzverknüpfungspunkt sind zwei verschiedene Dinge:

• Der interne Schutz des PCS (Überspannung, Unterspannung, Überfrequenz, Unterfrequenz, Inselnetzerkennung, Impedanzschutz, 16 Netzfehlerworte) schützt den PCS selbst;
• Der Entkopplungsschutz schützt das Netz und das Personal vor Ort und muss unabhängig vom PCS ausgeführt sein.

Marktakzeptanz:

Weitere Netzanschlussfunktionen: Primärregelung, AGC-Antwortverhalten, Sollwertkurvennachführung, Inselnetzschutz, Wirk-/Blindleistungsbegrenzung, LVRT (sofern projektspezifisch gefordert).

Zeitreferenz: Die Genauigkeit von Dispatch und Leistungsregelung hängt von der Zeitreferenz ab. Bei IEC-104-basierten Projekten ist eine zuverlässige Zeitquelle zu konfigurieren und bei der Übergabe die Konsistenz der Zeitstempel zu verifizieren. Die Beurteilungskriterien sind in Anhang A aufgeführt.

2.4 Kurzschluss und Überlast

• DC-seitige Messfaktoren / Leistungsschalter sind nach dem maximalen Kurzschlussstrom auszuwählen; das Ausschaltvermögen darf nicht unter dem zu erwartenden Kurzschlussstrom des Systems liegen.
• Der Nennstrom des AC-seitigen Leistungsschalters ist nach P / (√3 · U · cosφ) zu berechnen und die Kurzschlussfestigkeit ist zu überprüfen.
• Der PCS verfügt über eine Überlastfähigkeit von 110 % der Nennleistung; eine kurzzeitige Überlast darf nicht als normaler Betriebszustand herangezogen werden.

3. Batteriesicherheit und BMS-Sicherheit

3.1 Zellen- und Systemkonfiguration

3.2 Schutzfenster und Aktionskette

Das BMS überwacht die folgenden Größen kontinuierlich. Jede Größe wird nach einer dreistufigen Treppe geschützt, mit Hysterese zwischen den Stufen, um wiederholtes Ein- und Ausschalten zu vermeiden:

Selbstprüfung der Messwerterfassung: Das BMS prüft kontinuierlich die Spannungserfassung (Maximum > 4,5 V und Minimum < 2 V wird als anomal eingestuft), die Temperaturerfassung (außerhalb des Messbereichs von −40 ~ 125 °C wird als anomal eingestuft) sowie die Konsistenz zwischen Gesamtspannung und Summe der Einzelzellen (Abweichung > 10 % wird als anomal eingestuft). Jede Anomalie wird gemäß L3 der obigen Tabelle behandelt – bei Ausfall der Messwerterfassung ist kein „Betrieb mit gestörter Erfassung" zulässig.

Wichtig: Ladebegrenzung bei niedrigen Temperaturen Das Laden der Batterie bei niedrigen Temperaturen führt zu Lithium-Plating und stellt eine irreversible Schädigung dar. Das System verwendet für das Laden eine eigene, deutlich strengere Niedrigtemperaturschwelle als für das Entladen (im Bereich von ca. 0 ~ 3 °C beginnt bereits die Leistungsreduzierung bis hin zum Ladeverbot). Die untere Betriebstemperaturgrenze von −25 °C des D-Cube-S125/261-EU gilt ausschließlich für den Entladebetrieb. In jeder Umgebung, die unter der Ladetemperaturschwelle liegt, muss sich das System im Zustand der Entladebegrenzung oder im Lade-/Entladeverbot befinden; ein Ladeversuch mit der Begründung „innerhalb des Betriebstemperaturbereichs" ist nicht zulässig.

Die Schutzeinstellwerte variieren je nach Zellcharge und Softwareversion, typische Werte siehe Anhang A.1. Die mit dem Schrank ausgelieferte „Schutzeinstellwerttabelle" ist die verbindliche Grundlage und darf weder vom Anwender noch vom Integrator geändert werden.

3.3 Ausgleichsstrategien und einstellbare Parameter

Die Serienanzahl der D-Cube-Plattform beträgt 260S / 416S. Die Ausgleichsstrategie wird gemäß den Produktdesign-Sollwerten ausgeführt. Parameter wie Ausgleichsstrom und Schutzsollwerte sind für den Benutzer oder Integrator nicht zur Änderung freigegeben – Änderungen führen zum Verlust der Zertifizierungskonformität und der Garantieansprüche.

3.4 Struktureller Schutz des Batterieraums

• Physische Trennung zwischen Flüssigkeitskühlung und Hochspannungskomponenten; die Zu- und Abluftöffnungen des Batterieraums sind mit Regen- und Staubschutzhauben ausgestattet;
• Zwischen den Modulen sind Wärmedämmung und strukturelle Begrenzungselemente vorgesehen, um die Ausbreitung eines thermischen Durchgehens einzelner Zellen auf benachbarte Module zu unterdrücken;
• Der Detektor für brennbare Gase im Inneren des Raums befindet sich im oberen Rückströmungsbereich (Pfad des aufsteigenden Heißgases), um eine frühzeitige Reaktion sicherzustellen.

3.5 Abtastkontinuität im statischen Niedrigverbrauchsmodus

Das System wechselt in den Niedrigverbrauchsbetrieb, wenn es sich im statischen Zustand (ohne Laden oder Entladen) befindet, um die Hilfsstrom- und Steuerleistungsaufnahme zu reduzieren. Die Bedingungen für den Eintritt sind: eine durchschnittliche Zellspannung von weniger als ca. 3,1 V, ein erfasster Strom von weniger als ca. 2 A, und dieser Zustand muss mindestens 5 Minuten lang anhalten; sobald der Strom den Schwellenwert überschreitet, wird der Modus automatisch verlassen.

Im Niedrigverbrauchsmodus: die passive Balancierung kann aktiviert werden; die Sampling-Slaves werden zyklisch zum Erfassen und für die Kommunikation aufgeweckt (Aufweckzyklus ca. 30 Minuten, jeweils ca. 8 Sekunden); der Ruhezustandstatus wird an die Hauptsteuerung gemeldet.

Sicherheitshinweis: Der Niedrigverbrauchsmodus ist nur im statischen Zustand ohne Laden oder Entladen wirksam. Das Aufwecken der Sampling-Slaves für die Erfassung stellt sicher, dass die Schutzdaten nicht unterbrochen werden. Der Niedrigverbrauchsmodus darf nicht im Betriebszustand verwendet werden und ändert auch keine der Schwellenwerte für die Schutzfunktionen aus Abschnitt 3.2. Die Bedingungen für die Aktivierung der Balancierung im Niedrigverbrauchsmodus sind identisch mit denen im normalen statischen Zustand.

4. Thermisches Durchgehen und Brandschutz

4.1 Erkennung: dreistufige Frühwarnung

Kriterium der Temperaturanstiegsrate: Es wird ein Schwellenwert für die zeitliche Temperaturänderung (°C/s) einer einzelnen Zelle festgelegt, um Anomalien zu erkennen, bevor der absolute Temperaturschwellenwert erreicht wird, und so Verzögerungen zu vermeiden.

4.2 抑制：自动灭火

设计要点：

• 灭火剂释放后不做自动复位，系统进入锁存状态，必须人工查明原因后复归；
• 灭火剂为一次性消耗品，喷发后必须更换，未更换前系统不得重新投入运行；
• 喷发动作同时断开本柜直流断路器与交流总进线，并联机组的其余柜同步停止运行、系统总功率归零，防止带故障运行；
• 水消防接口只做信号与管路接口，实际喷淋由项目消防设计执行（多数消防主管部门要求外置水系统）；
• 抑制的目的是限制蔓延，不等同于"扑灭"，消防处置仍须按当地消防预案进行；
• 采用全氟己酮类卤代烃灭火剂，正常释放量下对人员无明显毒性、对精密电子设备无腐蚀，但释放后须通风。

4.3 Aufstellung, Abstände und Trennung

• Die Abstände zwischen den Schränken werden gemäß den Brandschutzvorschriften des Landes, in dem das Projekt durchgeführt wird, sowie den Auflagen der zuständigen Brandschutzbehörde festgelegt. In der EU gibt es keine einheitlich vorgeschriebenen Abstände; der Zellenabstand von 1,5 m gemäß NFPA 855 gilt nur in Märkten, in denen diese Norm angewendet wird; in Großbritannien gilt PAS 63100 als Referenz; in Polen (PSP), Tschechien (HOŘ), Frankreich/Spanien (SDIS) sind die Genehmigungsauflagen der jeweiligen Brandschutzbehörden maßgeblich;
• In sensiblen Bereichen wie Wohngebieten, Schulen und Krankenhäusern müssen die Abstände vergrößert oder zusätzliche Brandschutzbarrieren installiert werden;
• Bei Aufstellung in Innenräumen muss die Rauchmelder-Schaltung gleichzeitig die Klimaanlage abschalten und die Notentlüftung aktivieren (Zuluft würde die Verbrennung fördern und den Rauch verdünnen); diese Schaltlogik muss in der Inbetriebnahmephase messtechnisch verifiziert werden;
• Batterieschränke und PCS-Schränke sollten physisch getrennt werden, um eine Wärmekonzentration zu vermeiden.

4.4 Brandbekämpfungs-Verbundmatrix

Die Reihenfolge der vier Phasen – Erkennung, Alarm, Löschunterdrückung und Abschaltung – ist wie folgt. Alarm und Löschunterdrückung sind unterschiedliche Aktionsebenen: Alarme können selbstständig rückgesetzt werden, eine Löschunterdrückung ist irreversibel.

Drei wesentliche Vereinbarungen der Verbundkette:

1. Hardwareverdrahtung hat Vorrang vor Software: Der Not-Aus-Kreis und die Brandmelde-Rückmeldungen gelangen über potentialfreie Kontakte direkt zur PCS und zum Hauptzuleitungs-Leistungsschalter; ihre Funktion ist nicht von der Online-Verfügbarkeit des EMS oder der Cloud-Plattform abhängig. Die Aufgabe des EMS besteht darin, Rückmeldungen zu empfangen, Warnmeldungen zu melden und den Betriebsstatus anzuzeigen.
2. Einzelne Auslösung führt zum Stillstand der gesamten Anlage: Tritt an einem beliebigen Schrank ein Not-Aus oder eine Löschmittelauslösung auf, werden alle übrigen Schränke innerhalb desselben Netzverknüpfungspunkts gestoppt und die System-Gesamtleistung beträgt 0, um eine Fortsetzung des Lade-/Entladebetriebs in einem gestörten Abschnitt auszuschließen. Die Wiederinbetriebnahme erfordert eine schrankweise manuelle Bestätigung.
3. Auslösung ist irreversibel: Sobald der Löschkreis aktiviert wurde, geht der Schrank in den verriegelten Zustand über. Das Löschmittel muss ausgetauscht und der Schrank manuell zurückgesetzt werden; ein Weiterbetrieb nach Rückstellung ist nicht zulässig.

Die konkreten Schwellenwerte für Erkennung und Löschunterdrückung (Rauchmelder dB/m, Wärmemelder °C, Gase %UEG) sind produktspezifische Festwerte und werden je nach Detektormodell und Ergebnis der Sicherheitsbewertung festgelegt. Diese Spezifikation enthält keine konkreten Zahlenwerte.

5. Mechanik, Umgebung und EMV

5.1 Schutz und Aufbau

• Die Schranktüren sind verschließbare Schutztüren, die Position des Schlosses ist auf der jeweiligen Produktseite angegeben;
• Schränke mit einem Gewicht von 2,5 t oder mehr müssen mit Gabelstapler oder Hebezeug transportiert werden, manuelles Tragen ist verboten;
• Der Transport erfolgt gemäß der Verpackungsstufe ISTA hinsichtlich Vibrations- und Fallanforderungen, der SoC der Batterien im Schrank beträgt bei Auslieferung 30–40 %, während des Transports sind Laden und Entladen verboten.

5.2 Umweltverträglichkeit

Kondensationskontrolle: In Innenräumen aufgestellte BESS müssen mit einer Klimaanlage ausgestattet sein, die über eine Entfeuchtung mit Wiedererwärmung verfügt. Der Taupunkt ist entsprechend den Bedingungen vor Ort einzustellen (mindestens 5 °C), und die Batterieeinlasstemperatur muss ≤ 28 °C betragen. Andernfalls reduziert das System automatisch die Leistung. Ein Kurzschluss zwischen Kalt- und Warmluft führt dazu, dass die Batterie tatsächlich nicht gekühlt wird; der geschlossene Kühlkanal mit Zwangskühlung muss gewährleistet sein.

Stark staubbelastete Umgebungen (z. B. Sägewerke): An den Zu- und Abluftöffnungen muss ein Staubschutz angebracht werden. Zusätzlich sind anhand der BMS-Temperaturdaten Rückschlüsse auf die Auswirkungen der Staubablagerungen zu ziehen.

5.3 EMV

• Störfestigkeit IEC 61000-6-2; Störaussendung IEC 61000-6-4 (Industrie) oder 6-3/6-1 (Wohn-/Gewerbe);
• Sowohl auf der Gleichstrom- als auch auf der Wechselstromseite ist ein Typ-II-SPD installiert; der SPD-Status wird über die Kommunikation gemeldet;
• THDi < 3 % bei Nennausgang; Gleichstromanteil < 0,5 %.

6. Sicherheit des Flüssigkeitskühlsystems

Die Flüssigkeitskühlung ist kein Hilfssystem; ein Ausfall ist gleichbedeutend damit, dass die Batterie ihre Hauptabgabefähigkeit verliert.

Betrieb bei niedrigen Temperaturen: Liegt die Umgebungstemperatur unter dem Gefrierpunkt, muss der Startablauf zunächst den Kreislauf aufbauen und die Vorwärmung der Rohrleitungen abschließen, um lokales Gefrieren und dadurch verursachte Volumenausdehnung sowie Beschädigungen zu vermeiden. Die zugehörigen Schutzfunktionen sind in der Systemlogik bereits hinterlegt und dürfen nicht umgangen werden.

7. Funktionale Sicherheit und Systemsicherheit

7.1 3S-Closed-Silvered-Loop-Sicherheitsarchitektur

Kernprinzipien:

1. Schutzbefehle über potenzialfreie Hardware-Drahtverbindungen: Löst das BMS einen Schutz aus oder erkennt eine Störung, wird der PCS über potenzialfreie Kontakte direkt zum Anhalten (Öffnen des Gleichstrom-Schützes) veranlasst, ohne Umweg über das EMS. Die Rolle des EMS in dieser Kette beschränkt sich auf den Empfang von Rückmeldungen, das Melden von Alarmen und die Anzeige des Betriebszustands.
2. Die Strategievorgaben des EMS dürfen die Hardware-Schutzgrenzen von BMS/PCS nicht überschreiten – auch wenn die übergeordneten Befehle fehlerhaft sind, müssen sie an der Hardware-Schutzeinrichtung unterbrochen werden.
3. Im Kaskadenbetrieb ist die Unabhängigkeit der Schutzfunktion jedes einzelnen Clusters sicherzustellen; es darf nicht der Controller eines Clusters den Schutz eines anderen Clusters übernehmen.
4. Ein PCS ist genau einem Batteriecluster zugeordnet; ein Fehler in einem einzelnen Cluster breitet sich nicht auf andere Cluster aus. Fällt ein Schrank aus, verteilt das System die Leistung entsprechend der tatsächlich verfügbaren Anzahl funktionsfähiger PCS neu; die Gesamtleistungsabgabe wird entsprechend reduziert und überschreitet die zulässige Grenze nicht.

7.2 Sicherheitsrestriktionen für den Insel-/Mikronetzbetrieb (R1–R6)

Im Inselbetrieb muss der PCS die Spannungs- und Frequenzstützung übernehmen; die Lastcharakteristik bestimmt unmittelbar die Sicherheit. In der Planungsphase muss jede Last anhand der folgenden Tabelle überprüft werden:

Mehrmodul-Lastzuschaltung: Werden mehrere PCS-Module parallel zur Lastversorgung eingesetzt, darf die erste Lastzuschaltung maximal ≤ 40 % der Nennkapazität betragen; die übrigen Lasten sind in Intervallen von 5–10 s gestaffelt per Sanftanlauf hochzufahren. Eine zu hohe Lastzuschaltung löst den Zwischenmodul-Ringstromschutz aus und führt zur Abschaltung.

STS-Auswahlrestriktion:

STS-Nennleistung ≥ Speicher-Ladeleistung + Lastaufnahmeleistung

Wird diese Bedingung in keinem Betriebszustand erfüllt, kommt es zur Überlastabschaltung.

7.3 Funktionale Sicherheitsintegrität

Die Schutzkette (Erkennung → Kriterien → Ausführung) wird nach ISO 13849-1 hinsichtlich der Performance Level (PL) bewertet. Ziel-Performance-Level der zentralen Sicherheitsfunktionen:

Die konkrete PL-Erklärung sowie die Verifizierung (FMEDA, Hardware-Redundanz, Diagnosedeckungsgrad) werden von der Produktabteilung bereitgestellt, siehe Anhang C. Ohne schriftliche Bestätigung der Produktabteilung dürfen in Angebotsunterlagen keine konkreten PL-Stufen im Namen des Kunden zugesichert werden.

7.4 Netzwerksicherheit

• Das Produkt erfüllt die Anforderungen der Normenreihe IEC 62443; das Security Level (SL) ist Anhang C zu entnehmen.
• Für das Steuerungssystem dürfen keine werkseitig vorgegebenen Standardpasswörter verwendet werden; das Standardpasswort muss bei der Übergabe zwingend geändert werden.
• Wartungsschnittstellen wie Debug-Ports, USB- und SD-Karten-Schnittstellen sind nach der Übergabe zu deaktivieren oder kontrolliert zu betreiben.
• Fernwartung muss über ein VPN erfolgen; es ist untersagt, Geräte-Management-Ports direkt dem öffentlichen Netz auszusetzen.

Anhang B Begriffe