NIS2 Checkliste für die Energiebranche: der praktische Fahrplan

In der Energiebranche steht die Pflicht nicht dort, wo man sie sucht. Wer eine NIS2-Liste abarbeitet und dabei die Paragraphen des BSIG abhakt, arbeitet für Strom und Gas am falschen Gesetz, und für Fernwärme am richtigen. Die Trennung zu kennen, spart ein halbes Projekt.

Wen erfasst die NIS2 Checkliste für die Energiebranche, und in welcher Stufe?

Nicht jeden automatisch in der höchsten. Besonders wichtige Einrichtung ist nach § 28 Absatz 1 Nummer 4 BSIG, wer einer Einrichtungsart der Anlage 1 zuzuordnen ist und mindestens 250 Beschäftigte hat oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro. Darunter, ab 50 Beschäftigten oder über 10 Millionen Euro Umsatz und Bilanzsumme, ist ein Betrieb wichtige Einrichtung. Größe ist also sehr wohl ein Kriterium.

Unabhängig von der Größe in die höchste Stufe rutscht nur, wer eine kritische Anlage betreibt. Die Schwellen dafür stehen in der BSI-Kritisverordnung und sind branchenkonkret: 3.700 Gigawattstunden pro Jahr im Übertragungs- und im Stromverteilernetz, 104 Megawatt installierte Netto-Nennleistung bei einer Erzeugungsanlage, 5.190 Gigawattstunden pro Jahr bei Gasfernleitungs- und Gasverteilernetzen und 250.000 angeschlossene Haushalte bei einem Fernwärmenetz. Diese Einordnung bleibt auch nach der Ausnahme im nächsten Abschnitt wichtig, denn das Energiewirtschaftsgesetz knüpft für Energieanlagen und digitale Energiedienste genau daran an.

Welche Paragraphen gelten bei der NIS2 Checkliste für die Energiebranche gar nicht?

Fast alle, die man erwarten würde. § 28 Absatz 5 Nummer 2 BSIG bestimmt, dass die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nicht für Einrichtungen gelten, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem Energiewirtschaftsgesetz betreiben und den Regelungen der §§ 5c bis 5e EnWG unterliegen.

Damit sind Risikomanagement, Meldepflicht, Kundenunterrichtung, Nachweise, Leitungspflichten und sogar die Aufsicht des BSI für diese Betriebe abgeschaltet. Wer eine Liste abarbeitet, in der § 30 Absatz 2, § 38 und § 39 BSIG als Rechtsgrundlage stehen, zitiert für ein Stromnetz die falsche Norm. Die Anforderungen selbst verschwinden nicht, sie stehen im IT-Sicherheitskatalog nach § 5c EnWG, den die Bundesnetzagentur als Festlegung im Benehmen mit dem BSI erlässt. Bis dieser neue Katalog vorliegt, gelten die bestehenden Kataloge weiter, also der von 2015 für Strom- und Gasnetze und der von 2018 für Energieanlagen. Auf den neuen Katalog zu warten ist deshalb keine Position.

Wo steht bei der NIS2 Checkliste für die Energiebranche die Leitungspflicht?

Im EnWG, und sie ist dort genauso scharf. § 5e Absatz 1 EnWG verpflichtet die Geschäftsleitung, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. Absatz 2 stellt klar, dass eine Geschäftsleitung, die diese Pflicht verletzt, ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts haftet.

Absatz 3 enthält die eigene Schulungspflicht: Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken zu erlangen. Gemeint ist die Leitung selbst, nicht die Awareness-Schulung der Belegschaft. Nachzuweisen sind damit dieselben vier Dinge wie im BSIG-Regime: ein Beschluss, ein Protokoll der Überwachung, ein Schulungsnachweis und ein wiederkehrender Termin. Nur die Fundstelle heißt anders.

Welche Sparte fällt bei der NIS2 Checkliste für die Energiebranche aus der Ausnahme?

Zwei, und beide sitzen oft im selben Haus. Die Ausnahme greift nur, soweit das Energiewirtschaftsgesetz gilt, und § 3 Nummer 14 EnWG definiert Energie als Elektrizität, Gas und Wasserstoff, soweit sie zur leitungsgebundenen Energieversorgung verwendet werden. Wärme ist nicht dabei.

Die Anlage 1 des BSIG führt den Energiesektor dagegen in vier Teilsektoren: Stromversorgung, Fernwärme- oder Fernkälteversorgung, Kraftstoff- und Heizölversorgung sowie Gasversorgung einschließlich Wasserstoff. Für Fernwärme und für Kraftstoff und Heizöl bleibt es deshalb beim BSIG, mit § 30 für die Maßnahmen, § 32 für die Meldung, § 38 für die Leitung, § 39 für die Nachweise und der Aufsicht des BSI. Ein Stadtwerk mit Strom, Gas und Fernwärme führt also zwei Regime und zwei Aufsichten parallel, und die Grenze verläuft zwischen Sparten, nicht zwischen Standorten.

Welche Punkte werden bei der NIS2 Checkliste für die Energiebranche am häufigsten übersprungen?

Drei. Erstens die Registrierung. Sie ist von der Ausnahme nicht erfasst: § 5d Absatz 4 EnWG verweist auf § 33 BSIG und nennt den 6. März 2026, und das BSI darf säumige Betreiber selbst registrieren und die Kontaktdaten an die Bundesnetzagentur geben.

Zweitens die Zuordnung je Sparte, schriftlich und mit Begründung. Sie entscheidet über Katalog, Nachweisrhythmus und Aufsicht und ist das erste Dokument, nach dem gefragt wird. Drittens die Beschaffung. Der Katalog nach § 5c EnWG adressiert auch zertifizierte IKT-Produkte, und Leittechnik, Fernwirktechnik und Zählerinfrastruktur laufen zehn bis zwanzig Jahre. Was heute ohne diese Anforderung ausgeschrieben wird, bleibt zwei Katalogzyklen im Netz.

Was steht in der Checkliste?

• Vier Situationen, in denen NIS2 für Energieunternehmen konkret wird, von der Einstufung über OT und SCADA bis zur Haftung der Leitungsebene
• Eine Readiness in sechs Schritten, von der Betroffenheitsprüfung über OT-Asset-Inventar, Risiken und Business Continuity bis zu Meldung und Auditfähigkeit
• Drei typische Stolperfallen, von OT als blindem Fleck über die unterschätzte Lieferkette bis zur späten Einbindung der Leitung
• Drei Quick Wins, unter anderem die Trennung von Büro-IT und Leitstelle und die Synergien mit ISO 27001

Die Checkliste richtet sich an Geschäftsführungen und Werkleitungen, IT- und OT-Verantwortliche sowie Sicherheitsverantwortliche bei Energieversorgern, Netzbetreibern und Stadtwerken. Laden Sie sie kostenfrei herunter.