ISO 27001 Checkliste für die Energiewirtschaft: in elf Schritten zur Zertifizierungsreife

Für Versorger ist ISO 27001 kein Marktthema, sondern Aufsichtsrecht. Das ändert die Rolle einer Checkliste: Sie muss nicht nur die Norm abdecken, sondern auch den IT-Sicherheitskatalog der Bundesnetzagentur, und sie muss die Betriebstechnik mitnehmen, in der Verfügbarkeit vor allem anderen steht. Zwei Termine machen das 2026 dringlich, und der erste läuft Ende Oktober ab.

Was gehört in eine ISO 27001 Checkliste für die Energiewirtschaft?

Zwei Teile, plus einen dritten, den andere Branchen nicht haben. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen. Der dritte ist die branchenspezifische Erweiterung ISO/IEC 27019 für die Prozesssteuerung, ohne die ein Nachweis nach dem IT-Sicherheitskatalog nicht funktioniert.

Die Reihenfolge folgt Abhängigkeiten: kein Geltungsbereich, kein belastbares Asset-Inventar, ohne Inventar keine tragfähige Risikobeurteilung. Der Unterschied zu anderen Branchen liegt schon im ersten Schritt. Der Geltungsbereich ist nicht frei wählbar, weil der Katalog die netzkritischen Systeme vorgibt. Wer den Scope zu eng zieht, spart nichts, sondern verliert die Zertifizierungsfähigkeit.

Welche Normfassung muss die ISO 27001 Checkliste für die Energiewirtschaft ab November 2026 abdecken?

Die Fassung 2024 der ISO/IEC 27019. Veröffentlicht am 18. Oktober 2024, ist sie jetzt analog zum Annex A der ISO/IEC 27001:2022 aufgebaut, statt auf eine ältere Gliederung zu verweisen. Die Bundesnetzagentur hat dafür eine Übergangsfrist gesetzt: Nach dem 31. Oktober 2026 müssen Audits zur Erst- und Rezertifizierung sowie Überwachungsaudits nach der Fassung 2024 durchgeführt werden. Bis dahin ist beides zulässig.

Praktisch heißt das zwei Dinge. Wer sein Überwachungsaudit im Herbst hat, klärt jetzt mit der Zertifizierungsstelle, gegen welche Fassung geprüft wird. Und wer neu aufbaut, dokumentiert die Zuordnung von Anfang an gegen die Fassung 2024. Der Anhang B der Norm enthält eine Zuordnungstabelle von der Vorgängerfassung zur neuen Struktur, die die Umstellung erheblich abkürzt. Eine Liste, die noch gegen die alte Gliederung mappt, erzeugt in beiden Fällen Nacharbeit.

Wie behandelt die ISO 27001 Checkliste für die Energiewirtschaft IT und Leittechnik?

Nicht mit einer zweiten Liste, sondern mit anderen Prioritäten in derselben. In der Büro-IT steht die Vertraulichkeit oben, in der Netzleittechnik die Verfügbarkeit. Eine Maßnahme, die eine Steuerung destabilisiert, ist keine Maßnahme, sondern ein neues Risiko.

Drei Punkte verschieben sich dadurch. Im Asset-Inventar stehen Fernwirktechnik, Steuerungskomponenten und deren Fernzugänge gleichberechtigt neben Servern, jeweils mit benanntem Verantwortlichen und bewertetem Schutzbedarf. Bei den technischen Maßnahmen ist die Segmentierung zwischen IT und OT der Kern, weil Patchen in der Leittechnik häufig nicht möglich ist und die Trennung die fehlende Härtung tragen muss. Und bei der Betriebskontinuität verlangt der Annex A ausdrücklich die IKT-Bereitschaft für die Betriebskontinuität, also geübte Wiederanlaufpläne und nicht nur dokumentierte. Genau hier wird ein Audit in der Versorgung unangenehm.

Welche Pflichten deckt die ISO 27001 Checkliste für die Energiewirtschaft nicht ab?

Die physische Resilienz. Am 17. März 2026 ist das KRITIS-Dachgesetz in Kraft getreten, und es adressiert nicht die Cybersicherheit, die im BSIG steht, sondern den physischen Schutz kritischer Anlagen. Ein ISMS nach ISO 27001 leistet dafür Vorarbeit, es ersetzt die Pflichten aber nicht.

Der Zeitplan hängt an der Registrierung beim BBK, die nicht vor dem 17. Juli 2026 möglich ist. Danach läuft eine Kette: Registrierung innerhalb von drei Monaten nach der Einordnung als kritische Anlage, erste Risikoanalyse ab neun Monaten nach der Registrierung und danach mindestens alle vier Jahre, Resilienzplan und Meldepflichten ab zehn Monaten. Als Regelschwelle gelten Anlagen, deren Ausfall rund 500.000 Menschen betrifft. Diese Fristen laufen parallel zum ISMS-Aufbau, nicht danach. Wer beide Kalender getrennt führt, arbeitet zweimal.

Welche Punkte der ISO 27001 Checkliste für die Energiewirtschaft werden am häufigsten unterschätzt?

Drei. Erstens die Fernwartungszugänge der Anlagenhersteller. Sie sind technisch bequem und im Sinne der Norm Lieferantenbeziehungen mit Zugriff auf kritische Systeme. Gefordert sind vereinbarte Sicherheitsanforderungen, eine wiederkehrende Bewertung und ein gepflegtes Verzeichnis, nicht ein Wartungsvertrag im Einkauf.

Zweitens die Schulung. Kapitel 7.2 verlangt Kompetenznachweise, 7.3 das Bewusstsein aller Beteiligten, und die Leitungsebene muss sich nach dem BSIG selbst qualifizieren. In der Versorgung sitzt das kritische Wissen beim Betriebspersonal, das selten in einer IT-Schulung landet. Drittens die Lenkung dokumentierter Information nach 7.5.3: Versionierung, Freigaben, Zugriffsrechte, Aufbewahrungsfristen. Das klingt nach Verwaltung und ist der Punkt, an dem in Stufe 1 die meisten Feststellungen entstehen.

Was steht in der Checkliste?

• Elf Schritte in verbindlicher Reihenfolge, von der Scope-Definition bis zum Zertifizierungsaudit
• Abhakbare Punkte je Schritt, von IT- und OT-Assets im Inventar über Netzsegmentierung bis zu Notfall- und Wiederanlaufplänen
• Vier Treiber, die den Zeitpunkt bestimmen: regulatorischer Druck, OT- und Leitsysteme, Anforderungen aus der Lieferkette und Leitungsverantwortung
• Was Stufe 1 und Stufe 2 des Zertifizierungsaudits jeweils prüfen
• Die Punkte zu Meldewegen, Awareness und Dokumentation, an denen Versorger am häufigsten nacharbeiten

Die Checkliste richtet sich an Geschäftsführungen, IT- und OT-Verantwortliche sowie Informationssicherheitsbeauftragte bei Netzbetreibern, Energieanlagenbetreibern und Energie-Dienstleistern. Laden Sie sie kostenfrei herunter.