Der Erlass zielt auf Technik, die Übertragungsleitungen ab 69.000 Volt steuert, sowie auf Umspannwerke, Leitwarten, Kraftwerke und Reaktoren. Erfasst werden ausdrücklich auch zugehörige Software und Firmware, sofern ausländische Regierungen darauf aus der Ferne zugreifen oder sie aktualisieren könnten.
Mit der Prüfung von Transaktionen rund um Bulk-Power-Ausrüstung werden das Verteidigungs-, das Handels- und das Energieministerium betraut. Bundesbehörden können zudem Auflagen für bereits beschaffte Ausrüstung erlassen, müssen dabei aber berücksichtigen, ob Ersatz überhaupt verfügbar ist.
Vorgesehen ist außerdem eine zu veröffentlichende Liste vorqualifizierter Ausrüstung und Anbieter. Ranghohe Beamte haben 120 Tage Zeit, Regeln und Vorschriften auszuarbeiten und festzulegen, welche Länder „besondere Prüfung nach den Bestimmungen dieses Erlasses verdienen“. Die Behörden müssen ferner die derzeit genutzte, als riskant eingestufte Ausrüstung identifizieren und dem Weißen Haus einen Plan vorlegen, wie sie solche Komponenten „so bald wie praktikabel identifizieren, inventarisieren, isolieren, überwachen oder ersetzen“ wollen.
Dem Schritt gingen mehrere beunruhigende Vorfälle voraus. Wasserversorger in mindestens zwölf Bundesstaaten waren im vergangenen Monat von Cyberangriffen betroffen; die zuständige Cyberabwehrbehörde des Bundes erklärte am selben Mittwoch, sie habe „bösartige Cyberaktivitäten beobachtet, die sich gegen mehr als 100 aus dem Internet erreichbare Systeme“ im Wasser- und Abwassersektor richteten. In Großbritannien legten Angreifer Berichten zufolge ein kleines Kraftwerk für vier Tage lahm.
Die National Security Agency und das FBI veröffentlichten kürzlich eine Warnung vor einer KI-gestützten „aktiven Bedrohung“ für eine bestimmte Marke operativer Technik, die in der Energie-, Wasser- und Landwirtschaftsbranche eingesetzt wird. Offiziell wurde für die Vorfälle kein Land verantwortlich gemacht; mehrere Fachleute verweisen jedoch auf iranische Hacker. Neben Iran hatten US-Behörden frühere Angriffe auf kritische Infrastruktur auch russischen und chinesischen Akteuren zugeschrieben.
Ebenfalls am Mittwoch störte das FBI ein chinesisches Botnetz, das nach Angaben der Behörde genutzt wurde, um in Systeme der Federal Reserve, der NASA und weiterer Bundesbehörden einzudringen, die kritische Infrastruktur verwalten.
Fachleute und Behörden warnen seit Längerem, dass staatlich unterstützte Angreifer künstliche Intelligenz bei Attacken auf kritische Infrastruktur einsetzen und damit potenziell verheerende Angriffe vereinfachen. Nach der Veröffentlichung des Erlasses warnten OpenAI, Google sowie Dutzende weitere Technologie- und Finanzkonzerne, es bleibe nur ein „begrenztes Zeitfenster, um die Cyberabwehr zu stärken“, bevor KI-gestützte Angriffe „weit verbreiteter und ausgefeilter werden, je leistungsfähiger die Modelle weltweit werden“.
„Die Unternehmen und öffentlichen Dienste, auf die unsere Gemeinschaften angewiesen sind — von Krankenhäusern über Wasseraufbereitungsanlagen bis zur Infrastruktur, die das Internet betreibt — sind gefährdet“, erklärte OpenAI und verwies darauf, dass Sicherheitsteams kritischer Infrastruktur „historisch unterfinanziert“ seien. Regierungen müssten die Cyberabwehr auf lokaler, nationaler und internationaler Ebene koordinieren und zugleich verwertbare Bedrohungsinformationen teilen.