NIS2 im Energiesektor: Was Versorger umsetzen müssen

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wer erfasst ist

§ 5c Abs. 1 EnWG nennt drei Gruppen von Betreibern, die „einen angemessenen Schutz gegen Bedrohungen" für ihre Telekommunikations- und Datenverarbeitungssysteme gewährleisten müssen:

1. Betreiber eines Energieversorgungsnetzes, für die Systeme, die für den sicheren Netzbetrieb notwendig sind. Eine Größenschwelle nennt die Vorschrift nicht.
2. Betreiber einer Energieanlage, die an ein Energieversorgungsnetz angeschlossen ist, wenn sie eine wichtige oder besonders wichtige Einrichtung nach § 28 BSIG sind.
3. Betreiber eines digitalen Energiedienstes an einer angeschlossenen Energieanlage, ebenfalls nur als wichtige oder besonders wichtige Einrichtung.

Ob ein Unternehmen wichtige oder besonders wichtige Einrichtung ist, richtet sich nach § 28 BSIG: nach der Tätigkeit in einem der Sektoren der Anlagen 1 und 2 des BSIG und nach Beschäftigtenzahl, Umsatz und Bilanzsumme. Feste Kapazitätsschwellen in Megawatt spielen für diese NIS2-Einstufung keine Rolle. Sie gehören zur Bestimmung kritischer Anlagen, einem eigenen Regelungskreis.

IT-Sicherheitskatalog und Geschäftsleitung

Die Bundesnetzagentur bestimmt die Anforderungen im Einvernehmen mit dem BSI in einem IT-Sicherheitskatalog durch Festlegung (§ 5c Abs. 2 EnWG). Sie überprüft den Katalog alle zwei Jahre und aktualisiert ihn bei Bedarf. Wer den Katalog einhält, erfüllt nach dem Gesetz die Pflicht zum angemessenen Schutz.

• Kernforderung der weiter geltenden Kataloge für Netzbetreiber (August 2015) und KRITIS-Energieanlagen (Dezember 2018) ist laut Bundesnetzagentur die Etablierung eines ISMS nach DIN EN ISO/IEC 27001 und dessen Zertifizierung. Für die neu erfassten Anlagenbetreiber und digitalen Energiedienste gibt es noch keinen eigenen Katalog.
• Dokumentation: Die Einhaltung ist zu dokumentieren. Netzbetreiber und besonders wichtige Einrichtungen übermitteln die Dokumentation der Bundesnetzagentur. Diese kann einen Mängelbeseitigungsplan verlangen und vor Ort prüfen (§ 5d Abs. 1 EnWG).
• Geschäftsleitung: Sie muss die Anforderungen des Katalogs umsetzen und die Umsetzung überwachen. Bei schuldhaften Pflichtverletzungen haftet sie der Einrichtung nach Gesellschaftsrecht (§ 5e EnWG).

Meldepflichten im Vorfall

Nach § 5d Abs. 3 EnWG melden die erfassten Betreiber erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK nach § 32 BSIG:

1. binnen 24 Stunden eine frühe Erstmeldung, ob der Verdacht einer rechtswidrigen oder böswilligen Handlung oder grenzüberschreitender Auswirkungen besteht,
2. binnen 72 Stunden eine Meldung mit erster Bewertung von Schweregrad und Auswirkungen,
3. auf Ersuchen des BSI eine Zwischenmeldung,
4. spätestens einen Monat nach der Meldung eine Abschlussmeldung mit Ursache und Abhilfemaßnahmen.

Daneben bestehen weitere Pflichten, die unabhängig von der Sicherheitsmeldung laufen:

• Versorgungsunterbrechungen: Netzbetreiber berichten der Bundesnetzagentur jährlich bis zum 30. April über alle Unterbrechungen des Vorjahres (§ 52 EnWG).
• Datenschutz: Sind personenbezogene Daten betroffen, etwa Kundendaten, ist die Verletzung nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Datenschutzaufsicht zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen.

Eine vorab abgestimmte Meldekette mit Zuständigkeiten, Empfängern und Textbausteinen verhindert widersprüchliche Angaben gegenüber verschiedenen Stellen.

Smart-Meter-Gateway

Für Smart-Meter-Gateways (SMGW) gelten eigene Vorgaben des BSI: ein Schutzprofil nach Common Criteria (BSI-CC-PP-0073) sowie die Technische Richtlinie BSI TR-03109. Für das Sicherheitsmodul im Gateway gibt es ein eigenes Schutzprofil (BSI-CC-PP-0077). Das Messstellenbetriebsgesetz regelt Einsatz und Betrieb.

Für Versorger heißt das: Die Systeme rund um das Gateway, etwa Administration, Datenwege und Kundenzugänge, gehören in die Risikobetrachtung des ISMS.

SCADA und OT: das eigentliche Risiko

In Energienetzen liegt ein großer Teil des Risikos in den industriellen Steuerungs- und Automatisierungssystemen (ICS/SCADA). Typische Eigenschaften:

• lange Lebenszyklen, oft mit Betriebssystemen ohne Herstellerunterstützung,
• Echtzeitanforderungen, die Patches und Neustarts im laufenden Betrieb erschweren,
• Industrieprotokolle wie IEC 61850, IEC 60870-5-104 oder Modbus, die oft ohne Verschlüsselung arbeiten,
• Fernzugriffe von Lieferanten für Wartung.

Das BSI behandelt industrielle IT im IT-Grundschutz in eigenen Bausteinen der Schicht IND. Gängige Maßnahmen:

• Netzsegmentierung zwischen Büro-IT, Übergangszone und Steuerungsebenen, etwa am Purdue-Modell orientiert,
• Anwendungs-Whitelisting auf Steuerungsrechnern,
• unidirektionale Übergänge (Datendioden) für besonders kritische Bereiche,
• gesteuerte Lieferantenzugänge über zentrale Zugangssysteme mit Protokollierung,
• geplante Patch-Fenster mit Testumgebung und Rückfallplan, dazu kompensierende Maßnahmen für Systeme, die sich nicht patchen lassen.

Erkennung in OT-Netzen

Werkzeuge aus der Büro-IT wie EDR-Agenten lassen sich auf Steuerungssystemen oft nicht einsetzen. Verbreitet sind stattdessen:

• passive Netzsensoren, die Industrieprotokolle mitlesen und ungewöhnliche Schreibbefehle, Konfigurationsänderungen oder neue Geräte melden,
• passive Inventarisierung statt aktiver Schwachstellenscans, die empfindliche Anlagen stören können,
• Baselining: Der Normalbetrieb wird erlernt, Abweichungen lösen Alarme aus.

Diese Sensoren ergänzen die Erkennung in der Büro-IT, sie ersetzen sie nicht. Beide Quellen sollten in einem gemeinsamen Prozess ausgewertet werden.

FAQ

Gilt für Energieunternehmen das BSIG oder das EnWG?

Für Netze, Energieanlagen und digitale Energiedienste, die den §§ 5c bis 5e EnWG unterliegen, gelten Risikomanagement, Meldepflicht und Geschäftsleitungspflichten aus dem EnWG. Die entsprechenden BSIG-Vorschriften sind nach § 28 Abs. 5 BSIG ausgenommen. Das gilt nicht für Tätigkeiten außerhalb dieser Anlagen, die einer anderen Einrichtungsart nach den Anlagen des BSIG zuzuordnen sind. Für diese Systeme bleibt es beim BSIG.

Gilt das auch für kleine Stadtwerke?

Wenn sie ein Energieversorgungsnetz betreiben, ja: § 5c Abs. 1 Nr. 1 EnWG enthält keine Größenschwelle. Für eigene Erzeugungsanlagen oder digitale Energiedienste kommt es dagegen darauf an, ob das Stadtwerk nach § 28 BSIG wichtige oder besonders wichtige Einrichtung ist.

Wie streng ist OT-Patching gefordert?

Das Gesetz verlangt einen angemessenen Schutz nach dem Stand der Technik, konkretisiert durch den IT-Sicherheitskatalog, nicht sofortiges Patchen. In der Praxis heißt das: eine dokumentierte Patch-Strategie mit Risikobewertung je System, geplante Wartungsfenster und kompensierende Maßnahmen wie Segmentierung für Systeme, die sich nicht patchen lassen.

Was passiert bei einem OT-Vorfall mit Versorgungsunterbrechung?

Ist der Vorfall erheblich, greift die Meldekette nach § 5d Abs. 3 EnWG: 24 Stunden, 72 Stunden, ein Monat. Die Unterbrechung selbst geht zusätzlich in den jährlichen Bericht nach § 52 EnWG ein. Sind Kundendaten betroffen, kommt die Meldung nach Art. 33 DSGVO hinzu.

Lassen sich IT-Grundschutz-Bausteine auf SCADA anwenden?

Für industrielle Systeme gibt es im IT-Grundschutz eigene Bausteine in der Schicht IND. Bausteine, die für Büro-IT geschrieben sind, müssen für Steuerungsumgebungen angepasst werden.