NIS2 im Energiesektor: Was Versorger umsetzen müssen

Stand: 2026-05-16 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Wer im Energie-Sektor unter NIS2 fällt

Anhang I NIS2 listet folgende Energie-Teilbereiche:

• Strom: Erzeuger, Übertragungs- und Verteilnetz-Betreiber, Aggregatoren, Energie-Lieferanten an Endkunden.
• Gas: Übertragungs- und Verteilnetz-Betreiber, Speicher- und LNG-Betreiber, Versorger.
• Wärme/Kälte: Fernwärme-Versorger ab definierten Schwellen.
• Öl: Pipeline-Betreiber, Raffinerie-Betreiber, Lager-Betreiber.
• Wasserstoff: ab Inbetriebnahme entsprechender Infrastruktur.

Schwellen ergeben sich aus der nationalen Umsetzung, typischerweise Versorgungsgrad einer bestimmten Bevölkerungs-Zahl oder Kapazitäts-Werte (z.B. Stromerzeuger ab 100 MW, je nach Anlagen-Typ).

Doppelter Regulierungs-Stack

Energie ist einer der wenigen NIS2-Sektoren, in denen ein detaillierter sektor-spezifischer Sicherheits-Katalog schon existierte, bevor NIS2 kam:

BNetzA-IT-Sicherheitskatalog nach § 11 Abs. 1a EnWG:

• Verpflichtet Netz-Betreiber zur Implementierung eines ISMS nach ISO/IEC 27001.
• Spezifische Anforderungen an Asset-Management, Risiko-Bewertung, Vorfalls-Behandlung.
• Audit alle zwei Jahre durch akkreditierte Dienstleister.

BNetzA-IT-Sicherheitskatalog nach § 11 Abs. 1b EnWG (Energieanlagen):

• Für Erzeuger, Speicher, Smart-Meter-Gateways.
• Erweiterung um anlagen-spezifische Risiken (OT, SCADA).

NIS2 ergänzt diese Kataloge nicht überlappend, sondern fügt regulatorische Layer hinzu:

• Behörden-Meldepflicht in dreistufiger Form (Art. 23), strenger als der bisherige BNetzA-Meldeprozess.
• Geschäftsleitungs-Pflichten (Art. 20), zusätzlich zu den fachlichen ISMS-Anforderungen.
• Bußgeld-Rahmen bis 2 % Umsatz (Art. 32).

In der Praxis bedeutet das: ein ISO-27001-zertifiziertes ISMS plus BNetzA-Katalog-Konformität deckt 80-90 % der NIS2-Anforderungen ab. Delta sind die Meldekette-Detaillierung und Geschäftsleitungs-Compliance.

Smart-Meter-Gateway

Smart-Meter-Gateways (SMGW) sind in Deutschland die einzige Hardware-Klasse mit einem eigenen BSI-Schutzprofil und Zertifizierungs-Pflicht (Common Criteria EAL 4+). Wesentliche Anforderungen:

• Asymmetrische Krypto für jede Kommunikations-Beziehung.
• Sichere Hardware-Anchor (Secure Module, SM).
• Pflicht-Updates über die zentrale SMGW-Administrator-Infrastruktur.
• Strenge Trennung von Tarif-Daten, Versorgungs-Daten und Sub-Metering.

NIS2-relevant: Energie-Versorger müssen sicherstellen, dass die SMGW-Infrastruktur (zentrale Administration, Datenwege, Kunden-Zugang) in das ISMS eingebunden ist. Vorfälle in dieser Schicht sind nach Art. 23 NIS2 meldepflichtig.

SCADA und OT: das eigentliche Risiko

In Energie-Netzen liegt das größte Cyber-Risiko nicht in den Office-IT-Umgebungen, sondern in den Industriellen Steuerungs- und Automatisierungs-Systemen (ICS/SCADA). Eigenschaften:

• Lange Lebenszyklen: 15-30 Jahre, oft mit nicht-mehr-supportetem OS.
• Echtzeit-Anforderungen: Patches und Reboots in laufenden Anlagen sind oft nicht möglich.
• Proprietäre Protokolle: IEC 61850, IEC 60870-5-104, Modbus, oft unverschlüsselt.
• Lieferanten-Fernzugriffe: Wartungs-Zugänge sind ein klassisches Einfallstor.

Die Art.-21-Mindestmaßnahmen lassen sich auf OT nicht 1:1 übertragen. BSI-ICS-Empfehlungen bieten die Brücke:

• Netz-Segmentierung (Purdue-Modell als Orientierung): Office-IT, Industrial DMZ, Manufacturing Operations, Control, Field, mit klar definierten Übergängen.
• Whitelisting statt Antiviren-Engines auf OT-Endpunkten.
• Air-Gap oder Diode für höchst-kritische Anlagen.
• Vendor-Access-Management: Lieferanten-Fernzugriffe nur über bastion-Hosts mit Session-Recording.
• Patch-Strategie OT: geplante Wartungs-Fenster, Test-Umgebungen, Roll-back-Pläne.

OT-Detection: was wirklich funktioniert

Office-IT-Detection (EDR, Cloud-SIEM) ist auf OT-Anlagen nicht 1:1 anwendbar. OT-spezifische Ansätze in der Audit-Praxis:

• Anomalie-Erkennung über Netz-Sensoren: OT-spezifische Sensoren (Claroty, Nozomi, Tenable.ot, Dragos) inspizieren OT-Protokolle und erkennen ungewöhnliche Aktivitäten, etwa unerwartete Schreib-Befehle an SPS, plötzliche Konfigurations-Änderungen oder neue Geräte im Netz.
• Passive Detection vor Active Scanning: OT-Anlagen vertragen klassisches Schwachstellen-Scanning oft schlecht. Passive Detection ist die bevorzugte Methode.
• Baselining: Normal-Betrieb wird über Wochen gelernt, Abweichungen werden alarmiert. Initial-Aufwand höher, laufende False-Positive-Quote dann gering.

Diese Sensoren ergänzen Office-EDR, sie ersetzen es nicht. Ein integrierter SOC-Workflow muss Alerts aus beiden Welten korrelieren können.

Wiederkehrende KRITIS-Audit-Findings

Aus 8 Jahren BSIG-§-8a-Audit-Praxis kristallisierten sich drei Findings heraus, die unter NIS2 weiterhin Audit-Schwerpunkte sein werden:

Finding 1, Patch-Lücken in OT-Schichten: Office-IT ist meist sauber gepatcht, OT-Schichten zeigen Lücken von Monaten bis Jahren. Lösung: dokumentierte Risiko-Bewertung pro nicht-gepatchter Anlage mit kompensierenden Maßnahmen.

Finding 2, Identitäts-Management Schicht-übergreifend: Office-AD und OT-Identitäten sind selten konsolidiert. Folge: Ex-Mitarbeiter behalten oft monate-lange Zugänge in OT. Lösung: Joiner-Mover-Leaver-Prozess explizit für OT, dokumentierte Quarantal-Reviews.

Finding 3, Lieferanten-Zugriffe: Mehr Lieferanten als bekannt, weniger Kontrolle als angenommen. Lösung: Lieferanten-Inventar, klassifizierte Risiko-Bewertung, Bastion-basierter Zugriff mit Session-Recording.

Sektor-spezifische Meldepflicht-Besonderheiten

Energie-Versorger müssen im Vorfall-Fall mit mehreren parallelen Meldepflichten umgehen:

• NIS2-Meldekette ans BSI nach Art. 23 (24h/72h/1 Monat).
• EnWG-Meldepflicht für Versorgungs-Unterbrechungen an die BNetzA. Diese ist von der NIS2-Meldepflicht unabhängig, eine BSI-Meldung ersetzt keine BNetzA-Mitteilung und umgekehrt.
• Kunden-Information bei Versorgungs-Unterbrechung, oft regulatorisch detailliert.
• DSGVO-Meldung an die Landes-Datenschutz-Aufsicht, falls personenbezogene Daten (Kunden-Konten, Smart-Meter-Daten) betroffen sind.

In der Praxis braucht es eine vorab abgestimmte Meldekette mit Pre-Approved-Empfängern, Mustertexten und Eskalations-Wegen, die alle vier Stränge gleichzeitig bedienen kann. Eine inkonsistente Kommunikation an unterschiedliche Behörden ist im Audit nachhaltig nachteilig.

Praxis-Architektur für einen typischen Verteilnetz-Betreiber

Idealtypische Architektur, die NIS2 + BNetzA-Katalog abdeckt:

• Office-IT: Standard-ISMS nach ISO 27001, MFA überall, EDR auf Endpunkten, Patch-Management 30/60-Tage-Fenster.
• Industrial DMZ: Strikte Firewall-Regeln, Data-Diode für Daten-Export von OT nach Office, kein direkter Internet-Zugang aus OT.
• OT-Schichten: Whitelisting, segmentierte VLANs, Vendor-Zugriffe nur über Bastion mit Session-Recording, OT-spezifisches SIEM (Anomalie-Erkennung statt Signatur-Antivirus).
• SMGW-Backend: Eigene Administrations-Infrastruktur mit BSI-zertifizierten Komponenten, separate Krypto-Materialien-Verwaltung.
• Cross-cutting: Zentrales ISMS, jährliche Tabletop-Übungen mit OT-Inzident-Szenarien, dokumentierte Meldekette ans BSI und parallel an die zuständige BNetzA-Sektor-Stelle.

FAQ

Müssen Energie-Versorger zwei separate Audits machen: eines für BNetzA und eines für NIS2?

Aktuell ja, in der Praxis aber zunehmend zusammengeführt. Die BNetzA-Audit-Pflicht nach § 11 EnWG bleibt bestehen, parallel kann das BSI im Rahmen der NIS2-Aufsicht eigenständig prüfen. Akkreditierte Audit-Dienstleister bieten integrierte Audit-Programme, die beide Anforderungen in einem Audit-Zyklus abbilden, um Doppel-Aufwand zu reduzieren.

Wie streng wird OT-Patching unter NIS2 tatsächlich gefordert?

Art. 21 NIS2 verlangt „dem Stand der Technik entsprechende" Maßnahmen, nicht „sofortiges Patching". Für OT bedeutet das: dokumentierte Patch-Strategie mit Risiko-Bewertung pro Asset, geplante Wartungs-Fenster, kompensierende Maßnahmen (Segmentierung, Whitelisting) für nicht-patch-bare Komponenten. Die Behörden akzeptieren OT-Realitäten, verlangen aber den dokumentierten Umgang damit.

Gilt NIS2 auch für kleine Stadtwerke?

Es kommt auf die Versorgungs-Schwellen an. Sehr kleine Versorger (etwa unter 10.000 versorgte Anschlusspunkte) fallen oft unter Schwellen und sind direkt nicht NIS2-pflichtig, können aber über Lieferketten-Klauseln großer Versorger mittelbar betroffen sein. Bei mittleren Stadtwerken ist die Anwendung der „wichtigen Einrichtung"-Schwelle in der Regel gegeben.

Was passiert bei einem OT-Vorfall mit Versorgungs-Unterbrechung?

Die dreistufige NIS2-Meldekette greift wie in allen Sektoren, 24h Frühwarnung, 72h Vorfallmeldung, 1 Monat Abschluss. Bei Versorgungs-Unterbrechung kommen parallel BNetzA-Pflichten nach EnWG sowie ggf. Informations-Pflichten gegenüber Kunden (Stromausfall-Mitteilung) hinzu. Bei großflächigen Vorfällen aktiviert sich der nationale Cyber-Abwehr-Stab.

Lassen sich BSI-IT-Grundschutz-Bausteine 1:1 auf SCADA anwenden?

Nicht überall. Der IT-Grundschutz hat einen ICS-Sicherheits-Baustein (IND.x-Reihe), der OT-Spezifika adressiert. Die Office-Bausteine (z.B. APP.x für Anwendungs-Sicherheit) sind dagegen meist Office-IT-orientiert und müssen für OT adaptiert werden. ENISA hat zusätzlich sektor-spezifische Energy-Cybersecurity-Guidelines veröffentlicht, die als Ergänzung dienen können.