NIS2 in der Energiebranche: Sicherheit für die Versorgung

Die Energiebranche ist der einzige Sektor, in dem NIS2 die eigentlichen Sicherheitsanforderungen nicht selbst enthält. Sie stehen im Energiewirtschaftsgesetz, und dort hat das NIS2-Umsetzungsgesetz sie gleich mitverschoben. Wer nach dem 6. Dezember 2025 die alte Fundstelle sucht, findet sie nicht mehr.

Wen erfasst NIS2 in der Energiebranche, und über welches Gesetz?

Der Weg führt über das EnWG. Artikel 17 des NIS2-Umsetzungsgesetzes hat die bisherigen Regelungen des § 11 Absatz 1a bis 1g EnWG aufgehoben und in die neuen §§ 5c bis 5e EnWG überführt, in Kraft seit dem 6. Dezember 2025. Der IT-Sicherheitskatalog, den Netzbetreiber seit Jahren kennen, hängt damit an einer neuen Norm.

§ 5c Absatz 1 EnWG nennt drei Gruppen: Betreiber von Energieversorgungsnetzen, Betreiber von Energieanlagen, die besonders wichtige oder wichtige Einrichtung nach § 28 BSIG sind, und Betreiber digitaler Energiedienste, die wichtige Einrichtung sind und ihren Dienst an einer ans Netz angeschlossenen Energieanlage ausüben. Die dritte Gruppe ist neu. Dazu gehören Aggregatoren, die vorher über § 8a BSIG alter Fassung beim BSI lagen und jetzt bei der Bundesnetzagentur sitzen. Wer sein Geschäftsmodell in den letzten Jahren um Flexibilitätsvermarktung oder Anlagensteuerung erweitert hat, sollte diese Zuordnung prüfen.

Welche Behörde ist bei NIS2 in der Energiebranche zuständig?

Zwei gleichzeitig, und die Aufteilung ist ungewohnt. Die Bundesnetzagentur erlässt den IT-Sicherheitskatalog als Festlegung nach § 5c Absatz 2 EnWG im Benehmen mit dem BSI. Sie nimmt auch die Dokumentation ab und kann nach § 5d Absatz 1 und 2 EnWG Auskünfte verlangen und vor Ort prüfen.

Beim BSI bleiben zwei Dinge. Die Registrierung nach § 5d Absatz 4 EnWG in Verbindung mit § 33 BSIG, für die das Gesetz den 6. März 2026 nennt. Und die Meldung erheblicher Sicherheitsvorfälle nach § 5d Absatz 3 EnWG in Verbindung mit § 32 BSIG, mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht binnen eines Monats. Entscheidend ist § 5d Absatz 5: Das BSI leitet die Vorfallinformationen an die Bundesnetzagentur weiter, die sie mit Blick auf die Versorgungssicherheit bewertet. Eine Meldung, zwei Leser, zwei Bewertungsmaßstäbe. Wer nur technisch formuliert, liefert der zweiten Behörde nicht, was sie braucht.

Warum fehlt der Katalog zu NIS2 in der Energiebranche noch?

Weil die Pflicht schneller war als ihre Ausgestaltung. Die Bundesnetzagentur hat die Festlegung nach § 5c Absatz 2 EnWG bislang nicht erlassen. Bis dahin gelten die bisherigen Kataloge weiter, der von 2015 für Strom- und Gasnetze und der von 2018 für Energieanlagen. Eine Konsultation zum neuen Katalog ist für Herbst 2026 angekündigt.

Das klingt nach Aufschub und ist das Gegenteil. § 5c Absatz 6 EnWG gibt den Betreibern nach Inkrafttreten des Katalogs in der Regel sechs Monate, sofern nichts anderes bestimmt ist. Sechs Monate reichen für eine Erstzertifizierung nicht, für eine Lückenanalyse und die Vorarbeiten aber gut. Und die Richtung steht bereits im Gesetz, weil § 5c Absatz 2 EnWG die Themen des künftigen Katalogs aufzählt.

Was ändert sich bei NIS2 in der Energiebranche in der Beschaffung?

Mehr als im Dokumentenwerk. § 5c Absatz 2 EnWG nennt zwei Punkte, die über den alten Katalog hinausgehen: Systeme zur Angriffserkennung und den Einsatz von IKT-Produkten mit Cybersicherheitszertifizierung nach der Verordnung (EU) 2019/881. Dazu kommt die Bestimmung kritischer Komponenten und Funktionen, für die das Gesetz der Bundesnetzagentur den 6. Januar 2026 setzt.

Das trifft Einkauf und Lebenszyklus, nicht die Managementbewertung. Leittechnik, Fernwirktechnik und Zählerinfrastruktur laufen zehn bis zwanzig Jahre. Anforderungen, die erst beim Austausch gestellt werden, wirken eine Gerätegeneration zu spät und gehören deshalb jetzt in Ausschreibungen und Rahmenverträge. Parallel läuft eine Normfrist: Audits müssen ab dem 31. Oktober 2026 auf Basis der ISO/IEC 27019:2024 erfolgen, die Umstellung bestehender Zertifikate ist bis zum 31. Oktober 2027 abzuschließen.

Welche Punkte werden bei NIS2 in der Energiebranche am häufigsten unterschätzt?

Drei. Erstens verläuft die Trennlinie nicht zwischen Behörden, sondern mitten durch die eigene IT. Systeme, die dem Netz- und Anlagenbetrieb dienen, folgen dem EnWG und der Bundesnetzagentur, die übrige IT dem BSIG und dem BSI. In Mehrspartenunternehmen mit Bad, Telekommunikation oder Wohnungswirtschaft ist diese Zuordnung Arbeit, und § 28 Absatz 5 BSIG erlaubt sie nur dokumentiert.

Zweitens ist der Nachweis keine Selbstauskunft. Verlangt ist eine akkreditierte Zertifizierung mit drei Jahren Gültigkeit und jährlichen Überwachungsaudits, und Betreiber kritischer Anlagen legen die Dokumentation nach § 5d Absatz 1 EnWG unverzüglich vor. Drittens kommt die Prüfung ins Haus. Die Bundesnetzagentur darf Räume betreten und Unterlagen einsehen, und bei begründeten Zweifeln an der Umsetzung trägt der Betreiber die Kosten.

Was steht im Whitepaper?

• Warum die Energieversorgung als kritische Infrastruktur gilt und was daraus für Netz und Anlagen folgt
• Sechs Eigenheiten der Branche, von IT und Betriebstechnik zugleich bis zu dezentralen Anlagen und Smart Metern
• Fünf Angriffsszenarien aus der Praxis, vom Angriff auf die Netzleittechnik bis zum staatlich gesteuerten Angreifer
• Was NIS2 und der IT-Sicherheitskatalog konkret verlangen, entlang der Paragraphen zu Betroffenheit, Risikomanagement, Meldepflichten, Leitungspflichten und Sanktionen
• Eine Roadmap in sechs Schritten, die IT und Betriebstechnik gemeinsam führt statt in zwei Projekten

Das Whitepaper richtet sich an Geschäftsführungen, Netz- und Anlagenverantwortliche sowie IT- und Sicherheitsverantwortliche in Stadtwerken, Netzbetreibern, Energieanlagenbetreibern und bei Anbietern digitaler Energiedienste. Laden Sie es kostenfrei herunter.