ISO 27001 in der Energiebranche: Sicherheit für die Versorgung

Ende 2025 speisten rund 5,7 Millionen Solaranlagen mit 117 Gigawatt Leistung etwa 16,8 Prozent des deutschen Stroms ein. Das Netz ist damit kein zentrales Gebilde mehr, sondern eine Landschaft aus Millionen fernauslesbarer und teils fernsteuerbarer Einheiten. Und anders als in fast jeder anderen Branche ist Informationssicherheit hier keine Kundenanforderung, sondern eine gesetzliche Pflicht mit Zertifikat.

Warum ist ISO 27001 in der Energiebranche keine freiwillige Entscheidung?

Weil das Energiewirtschaftsgesetz sie vorschreibt. Nach § 11 Abs. 1a EnWG müssen Betreiber von Strom- und Gasnetzen den IT-Sicherheitskatalog der Bundesnetzagentur umsetzen, und der verlangt ein Informationssicherheits-Managementsystem nach DIN EN ISO/IEC 27001 samt Zertifizierung. Für Energieanlagenbetreiber gilt über § 11 Abs. 1b ein eigener Katalog.

Das ist bemerkenswert, weil ISO 27001 überall sonst ein freiwilliger Standard ist, den der Markt einfordert. In der Energieversorgung ist er der gesetzlich benannte Weg. Zusätzlich gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025, das weite Teile der Branche als besonders wichtige oder wichtige Einrichtungen erfasst.

Wichtig für die Planung: Die Bundesnetzagentur wendet weiterhin die Katalogfassung von August 2015 an und überarbeitet sie derzeit, um neue Inhalte aufzunehmen. Wer jetzt aufbaut, sollte das ISMS also so anlegen, dass es die Revision überlebt, statt punktgenau auf eine auslaufende Fassung zu optimieren.

Wen trifft ISO 27001 in der Energiebranche, und welcher Nachweis zählt wirklich?

Hier liegt der Punkt, der in der Praxis am häufigsten für Überraschungen sorgt: Ein gewöhnliches ISO-27001-Zertifikat genügt nicht. Bundesnetzagentur und die Deutsche Akkreditierungsstelle haben ein eigenes Zertifikat für den IT-Sicherheitskatalog entwickelt. Es erweitert die Norm um katalogspezifische Anforderungen und legt den Geltungsbereich so fest, dass die für den Netzbetrieb kritischen Systeme tatsächlich erfasst sind.

Der Geltungsbereich ist damit nicht frei wählbar, anders als in jeder anderen Branche. Dazu kommen organisatorische Pflichten: Netzbetreiber müssen einen Ansprechpartner für IT-Sicherheit benennen und dessen Kontaktdaten der Bundesnetzagentur melden. Bei Übertragungsnetzbetreibern muss diese Person eine Sicherheitsüberprüfung nach dem Sicherheitsüberprüfungsgesetz durchlaufen.

Welche Risiken adressiert ISO 27001 in der Energiebranche konkret?

Die allgemeine Lage ist ernst. Die Bitkom-Studie „Wirtschaftsschutz 2025“ bilanziert 289,2 Milliarden Euro Schaden, 87 Prozent der Unternehmen waren betroffen, 59 Prozent sehen ihre Geschäftsexistenz bedroht. 46 Prozent führen Angriffe nach Russland zurück, ebenso viele nach China, 28 Prozent ordnen Vorfälle ausländischen Nachrichtendiensten zu. Für kritische Infrastruktur ist dieser letzte Punkt keine Randnotiz.

Die Besonderheit liegt in der Kombination aus Büro-IT und Betriebstechnik. Ein Vorfall bleibt nicht in der Verwaltung, er kann die Netzführung betreffen, und Anlagen laufen zwanzig Jahre und länger, oft ohne die Update-Zyklen moderner IT. Dazu kommt die verteilte Angriffsfläche der Millionen dezentralen Anlagen mit ihren Fernzugängen. Der Verizon Data Breach Investigations Report 2025 nennt Zugangsdatenmissbrauch mit 22 Prozent und ausgenutzte Schwachstellen mit 20 Prozent als führende Einstiegsvektoren, letztere mit einem Plus von 34 Prozent.

Was leistet ISO 27001 in der Energiebranche zusätzlich für NIS2 und ISO 27019?

Ein Aufbau, mehrere Pflichten. Der Annex A der Fassung 2022 stellt 93 Maßnahmen bereit, die in der Energieversorgung um branchenspezifische Anforderungen ergänzt werden, wie sie ISO/IEC 27019 für die Prozesssteuerung beschreibt. Dieselben Bausteine, also Risikomanagement, Zugriffskontrolle, Lieferantensteuerung, Vorfallbehandlung und Betriebskontinuität, decken zugleich große Teile der Anforderungen aus § 30 BSIG ab.

Getrennte Projekte für Katalog, NIS2 und Betriebskontinuität erzeugen daher vor allem Doppelarbeit. Dass die Investition marktüblich ist, zeigt die Budgetseite: Unternehmen stecken laut Bitkom inzwischen 18 Prozent ihres IT-Budgets in Sicherheit, gegenüber 9 Prozent im Jahr 2022.

Wie lange dauert ISO 27001 in der Energiebranche bis zum Zertifikat?

Je nach Reife sind drei bis sechs Monate bis zum Audit realistisch. Das externe Audit läuft in zwei Stufen, Dokumentenprüfung und Wirksamkeitsprüfung, danach folgt das Zertifikat mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits.

Die eigentliche Arbeit liegt in der Verzahnung von IT und Netzleittechnik. Wer beide Welten von Anfang an in einem Managementsystem führt, statt die Betriebstechnik nachträglich anzuflanschen, spart sich die aufwendigste Korrekturschleife und kann den vorgegebenen Geltungsbereich sauber belegen.

Was steht im Whitepaper?

• Wen der doppelte Pflichtenrahmen aus IT-Sicherheitskatalog und NIS2 genau trifft, von Netz- bis Anlagenbetreibern
• Fünf Eigenheiten der Energieversorgung, die die Zertifizierung erschweren, von langlebigen Anlagen bis zum Vorrang der Versorgungssicherheit
• Fünf Risikoszenarien aus der Praxis, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap in sechs Schritten mit realistischer Zeitschätzung bis zum Zertifikat
• Wie ein Aufbau den IT-Sicherheitskatalog und einen Großteil von NIS2 zugleich erfüllt, mit einem Praxisbeispiel

Das Whitepaper richtet sich an Geschäftsführungen, IT- und OT-Verantwortliche sowie Informationssicherheitsbeauftragte bei Netzbetreibern, Energieanlagenbetreibern und Versorgungsunternehmen. Laden Sie es kostenfrei herunter.