NIS2 für Energie- und Versorgungsunternehmen: KRITIS-Betreiber und OT-Sicherheit

Energieversorger, Netzbetreiber und Stadtwerke stehen im Zentrum der deutschen Cybersicherheitsregulierung. Anders als in den meisten anderen Sektoren ergeben sich ihre Kernpflichten aber nicht allein aus dem BSI-Gesetz (BSIG): Für Betreiber von Energieversorgungsnetzen, Energieanlagen und digitalen Energiediensten regelt das Energiewirtschaftsgesetz (EnWG) in den §§ 5c bis 5e die Sicherheitsanforderungen, Meldepflichten und Pflichten der Geschäftsleitung – die entsprechenden BSIG-Vorschriften treten insoweit zurück. Hinzu kommen die KRITIS-Schwellenwerte und das KRITIS-Dachgesetz. Wer Strom, Gas, Fernwärme oder Wasserstoff liefert, sollte deshalb zunächst klären, welches Regelwerk für welchen Unternehmensteil gilt. Der größte operative Engpass liegt dabei im OT-Bereich: SCADA-Systeme, Fernwirktechnik und Leitsysteme wurden für Verfügbarkeit – nicht für Sicherheit – entwickelt. Dieser Leitfaden erklärt die rechtliche Einordnung und worauf es bei der Umsetzung der zehn Sicherheitsmaßnahmen nach Art. 21 im Energiekontext ankommt.

Welche Energieunternehmen fallen unter NIS2?

Der Energiesektor ist in Anhang I der NIS2-Richtlinie bzw. in Anlage 1 zum BSIG gelistet – den Sektoren mit hoher Kritikalität. Ob eine Einrichtung als besonders wichtige oder als wichtige Einrichtung gilt, hängt nach § 28 BSIG von ihrer Größe ab (siehe unten); Betreiber kritischer Anlagen gelten unabhängig von der Größe als besonders wichtige Einrichtungen (§ 28 Abs. 1 Nr. 1 BSIG). Anlage 1 BSIG nennt im Sektor Energie unter anderem:

• Betreiber von Übertragungsnetzen und Elektrizitätsverteilernetzen sowie Gasverteilernetzen
• Betreiber von Fernleitungsnetzen (Gas)
• Betreiber von Gasspeicheranlagen und LNG-Anlagen
• Betreiber von Erzeugungsanlagen, Energiespeicheranlagen, Aggregatoren, Strom- und Gaslieferanten sowie Ladepunktbetreiber
• Betreiber von Fernwärme- oder Fernkälteversorgung als eigene Einrichtungsart
• Betreiber im Bereich Wasserstofferzeugung, -speicherung und -fernleitung
• Betreiber von Erdöl-Fernleitungen, Raffinerien und Erdöllagern

Schwellenwerte für den Geltungsbereich: Eine Einrichtung des Sektors Energie gilt in der Regel als besonders wichtige Einrichtung, wenn sie mindestens 250 Mitarbeitende beschäftigt oder einen Jahresumsatz von über 50 Mio. € und zugleich eine Jahresbilanzsumme von über 43 Mio. € aufweist. Als wichtige Einrichtung gilt sie ab 50 Mitarbeitenden oder bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. €. Partner- und verbundene Unternehmen sind dabei grundsätzlich mitzurechnen (§ 28 Abs. 4 BSIG). Viele kommunale Versorgungsunternehmen dürften damit zumindest als wichtige Einrichtung erfasst sein – die Einordnung ist aber für jedes Unternehmen einzeln zu prüfen.

Wichtig: Für die NIS2-Einstufung entscheidet nicht die physische Infrastrukturgröße, sondern das Unternehmensprofil. Ein Stadtwerk mit 80 Mitarbeitenden und 15 Mio. € Umsatz fällt als wichtige Einrichtung – auch ohne große Erzeugungskapazitäten. Für Netzbetreiber gilt zusätzlich: Die IT-Sicherheitspflicht nach § 5c Abs. 1 Satz 1 Nr. 1 EnWG trifft Betreiber von Energieversorgungsnetzen unabhängig von ihrer Größe; auch Netzbetreiber, die keine (besonders) wichtige Einrichtung sind, mussten sich nach § 5d Abs. 4 EnWG bis zum 6. März 2026 beim BSI registrieren.

KRITIS-Betreiber im Energiesektor: Schwellenwerte und Einordnung

Die KRITIS-Einstufung und die NIS2-Einstufung sind keine Alternativen – sie folgen unterschiedlichen Kriterien. Ob eine Anlage als kritische Anlage gilt, richtet sich bis zum Inkrafttreten der neuen Rechtsverordnung nach dem KRITIS-Dachgesetz weiterhin nach den anlagenbezogenen Schwellenwerten der BSI-KritisV (§ 66 BSIG). Beispiele aus Anhang 1 BSI-KritisV: Erzeugungsanlagen ab 104 MW installierter Nettonennleistung, Stromverteilernetze ab 3.700 GWh entnommener Jahresarbeit, Gasverteilernetze ab 5.190 GWh entnommener Arbeit pro Jahr. Wer diese Schwellen erreicht, ist Betreiber einer kritischen Anlage und damit unabhängig von der Unternehmensgröße besonders wichtige Einrichtung.

Aspekt	Netz-, Anlagen- und Energiedienstbetreiber nach §§ 5c–5e EnWG	Übrige Energie-Einrichtungen (BSIG)
Schwellenwert	Netzbetreiber: unabhängig von der Größe; Energieanlagen und digitale Energiedienste: wenn (besonders) wichtige Einrichtung	Unternehmensgröße nach § 28 BSIG; KRITIS-Schwellen nach BSI-KritisV (z. B. 104 MW)
Sicherheitsanforderungen / Aufsicht	IT-Sicherheitskatalog der Bundesnetzagentur (§ 5c Abs. 2 EnWG), Aufsicht BNetzA	Risikomanagementmaßnahmen nach § 30 BSIG, Aufsicht BSI
Registrierungspflicht	Registrierung beim BSI (§ 5d Abs. 4 EnWG i. V. m. § 33 BSIG)	Registrierung beim BSI (§ 33 BSIG)
Meldepflicht	An die Meldestelle des BSI nach § 5d Abs. 3 EnWG (24 h / 72 h / 1 Monat)	An das BSI nach § 32 BSIG (24 h / 72 h / 1 Monat)
Management-Haftung	§ 5e EnWG: Umsetzung und Überwachung, Haftung gegenüber der Einrichtung nach Gesellschaftsrecht	§ 38 BSIG: Umsetzung und Überwachung, Haftung gegenüber der Einrichtung nach Gesellschaftsrecht
Bußgelder	Bis zu 10 Mio. € (besonders wichtig) bzw. 7 Mio. € (wichtig); umsatzbezogene Obergrenzen nur ab 500 Mio. € Umsatz (§ 95 EnWG)	Bis zu 10 Mio. € bzw. 7 Mio. €; umsatzbezogene Obergrenzen nur ab 500 Mio. € Umsatz (§ 65 BSIG)

Ein häufiger Irrtum: Eine frühere KRITIS-Konformität bedeutet nicht automatisch, dass alle heutigen Anforderungen erfüllt sind. Mit der NIS2-Umsetzung sind insbesondere die Anforderungen an Lieferkettensicherheit, die Pflichten der Geschäftsleitung (§ 5e EnWG bzw. § 38 BSIG) und die Dokumentation gesetzlich ausdrücklich geregelt; § 5c Abs. 4 EnWG listet die Mindestinhalte des IT-Sicherheitskatalogs auf, die sich an Art. 21 NIS2 orientieren.

Hinzu kommt das KRITIS-Dachgesetz (BGBl. 2026 I Nr. 66), das seit dem 17. März 2026 in Kraft ist. Es regelt die physische Resilienz kritischer Anlagen und ergänzt das BSIG, statt es abzulösen. Die anlagenbezogene Registrierung beim BBK und die daran anknüpfenden Fristen hängen von der noch ausstehenden Rechtsverordnung (KritisV) ab, die bei Redaktionsschluss nur im Entwurf vorlag. Für Betreiber bedeutet das: Wer Risikoanalyse, Dokumentation und Lieferkettenmanagement jetzt sauber aufsetzt, schafft eine Grundlage, auf der sich auch die künftigen Resilienzpflichten aufbauen lassen.

EnWG und NIS2: Welches Regime gilt für wen?

Energiebetreiber unterliegen – ähnlich wie Telekommunikationsanbieter mit dem TKG – einem eigenen sektorspezifischen Sicherheitsregime im Energiewirtschaftsgesetz (EnWG). Nach § 28 Abs. 5 BSIG gelten die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nicht für Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste betreiben und den §§ 5c bis 5e EnWG unterliegen. Die relevanten Vorschriften seit dem NIS2UmsuCG:

• § 5c EnWG (IT-Sicherheit im Anlagen- und Netzbetrieb): Netzbetreiber, Betreiber von Energieanlagen und Betreiber digitaler Energiedienste (die beiden letzteren, wenn sie besonders wichtige oder wichtige Einrichtung sind) müssen einen angemessenen Schutz ihrer TK- und EDV-Systeme gewährleisten – bereits bei der Beschaffung. Die Anforderungen legt die Bundesnetzagentur im Einvernehmen mit dem BSI in einem IT-Sicherheitskatalog fest; wer ihn einhält, gilt als angemessen geschützt.
• § 5d EnWG (Dokumentation, Meldung, Registrierung): Die Einhaltung des IT-Sicherheitskatalogs ist zu dokumentieren; erhebliche Sicherheitsvorfälle sind der Meldestelle des BSI nach § 32 BSIG zu melden; die Registrierung erfolgt beim BSI.
• § 5e EnWG (Geschäftsleitung): Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung.

Bis ein neuer IT-Sicherheitskatalog veröffentlicht ist, gelten nach Angaben der Bundesnetzagentur die bisherigen Kataloge (für Strom- und Gasnetze von 2015, für Energieanlagen von 2018) für die bestehenden Adressaten weiter. Sie verlangen ein Informationssicherheits-Managementsystem nach DIN EN ISO/IEC 27001 und dessen Zertifizierung durch eine für den IT-Sicherheitskatalog akkreditierte Stelle; eine bestehende ISO-27001- oder IT-Grundschutz-Zertifizierung reicht allein nicht aus. Ausnahmen nach der Größe des Netzbetreibers sieht der Netz-Katalog nicht vor. Ein Katalog für digitale Energiedienste befindet sich in Erarbeitung.

Die praktische Folge: Erhebliche IT-Sicherheitsvorfälle melden diese Betreiber an das BSI; das BSI leitet versorgungsrelevante Meldungen an die Bundesnetzagentur weiter (§ 5d Abs. 5 EnWG). Daneben bestehen weitere energierechtliche Berichtspflichten gegenüber der Bundesnetzagentur, etwa der jährliche Bericht über Versorgungsunterbrechungen nach § 52 EnWG. Einrichtungen mit Tätigkeiten außerhalb des EnWG-Regimes – etwa Fernwärme oder Wasserversorgung – unterliegen insoweit den BSIG-Pflichten (§ 28 Abs. 5 Satz 2 BSIG).

Empfehlenswert ist eine interne Meldematrix, die für häufige Vorfalltypen (Ransomware, SCADA-Ausfall, unberechtigter Fernzugriff, Datenpanne) vorab festlegt: Wer meldet? An welche Stelle? In welcher Frist? Mit welchen Inhalten? Diese Matrix sollte im Incident-Response-Plan verankert und regelmäßig mit den Behördenvorgaben abgeglichen werden. Mehrspartige Unternehmen sollten intern klären, welche Kontaktpersonen für BSI, BNetzA und gegebenenfalls Datenschutzaufsicht zuständig sind – Zuständigkeitslücken bei Vorfällen entstehen häufig an diesen Schnittstellen.

OT- und SCADA-Sicherheit: Die zentrale Herausforderung

Die größte technische Herausforderung für Energiebetreiber liegt oft nicht in der IT – sondern in der Operational Technology (OT). Energieinfrastruktur basiert zu einem großen Teil auf spezialisierten Systemen mit langen Lebenszyklen, die ursprünglich nicht für vernetzte Umgebungen ausgelegt wurden.

Betroffene OT-Systeme im Energiebereich

• SCADA-Systeme (Supervisory Control and Data Acquisition): Überwachen und steuern Strom- und Gasleitungsnetze, Druckregelstationen, Schaltanlagen und Erzeugungsanlagen. Teils noch auf veralteten Betriebssystemen ohne reguläre Patch-Versorgung betrieben.
• Remote Terminal Units (RTUs) und Fernwirktechnik: Dezentrale Endpunkte an Umspannwerken, Druckmessstationen und Gasnetzübergaben. Kommunizieren über Protokolle wie IEC 60870-5, DNP3 oder Modbus.
• Distributed Control Systems (DCS): Prozessleitsysteme in Kraftwerken, Erdgasverdichterstationen und Heizwerken. Eng mit physischen Sicherheitssystemen verzahnt.
• Energy Management Systeme (EMS) und Netzleitsysteme: Zentrale Leitstellen, die Lasten und Erzeugung koordinieren. Hochsensibel für Angriffe auf Datenpunkte (manipulierte Messwerte, gefälschte Lastregelung).
• Smart-Meter-Infrastruktur und Kommunikationsnetzwerke für Zählerwesen.

Warum OT-Systeme besonders gefährdet sind

OT-Systeme weisen häufig drei strukturelle Schwachstellen auf, die in der Büro-IT weitgehend adressiert sind:

1. Eingeschränkte Patch-Fähigkeit: Updates erfordern oft Herstellerfreigaben und Wartungsfenster oder Betriebsunterbrechungen. Systeme bleiben deshalb teils lange ungepatcht.
2. Schwache Authentifizierung: Gemeinsam genutzte Passwörter, Klartext-Protokolle und fehlende MFA sind im OT-Bereich noch verbreitet.
3. IT/OT-Konvergenz ohne Sicherheitskonzept: Fernwartungszugänge, Cloud-Anbindungen und IoT-Integrationsprojekte haben früher isolierte OT-Netzwerke mit anderen Netzen verbunden – nicht immer mit parallelen Sicherheitsmaßnahmen.

Einschlägige Standards für OT-Sicherheit im Energiesektor (Praxis-Referenzen, keine eigenständige gesetzliche Pflicht):

• IEC 62443 (Industrial Cybersecurity): Verbreitete internationale Normenreihe für industrielle Cybersicherheit. Definiert Sicherheitslevel (SL 1–4) für OT-Komponenten, -Systeme und -Prozesse.
• BDEW/OE/VSE-Whitepaper „Anforderungen an sichere Steuerungs- und Telekommunikationssysteme“ (Version von 09/2024): Branchenempfehlung von BDEW, Oesterreichs Energie und VSE für Netz- und Anlagenbetreiber sowie Hersteller und Lieferanten in der Energie- und Wasserwirtschaft.
• ISO/IEC 27001, 27002 und 27019: Nach Angaben der Bundesnetzagentur die Basis der IT-Sicherheitskataloge; ISO/IEC 27019 enthält energiespezifische Maßnahmen. Ergänzend bietet das BSI ICS-Security-Kompendium eine Orientierung für industrielle Steuerungssysteme.

Zonenmodell und Netzwerksegmentierung

Eine der wirksamsten Sofortmaßnahmen für Energiebetreiber mit OT-Umgebungen ist die konsequente IT/OT-Netzwerktrennung nach dem Zone-and-Conduit-Modell der IEC 62443. Das Prinzip: Das Leitsystem (SCADA, EMS) bildet eine geschützte Zone, die nur über definierte, überwachte Kommunikationskanäle (Conduits) mit der Büro-IT verbunden ist. Jeder Fernwartungszugang – ob Lieferant, internes IT-Team oder Netzbetriebspersonal – läuft über diesen kontrollierten Kanal, nie direkt ins OT-Netz.

In der Praxis bedeutet das: eine dedizierte DMZ (Demilitarisierte Zone) zwischen IT-Netz und OT-Netz, Firewall-Regeln nach dem Prinzip „deny all, permit specific“ und eine Protokollierung aller Übergänge. Bestehende Direktverbindungen zwischen Büro-IT und SCADA – oft historisch gewachsen für Betriebsberichte oder Leittechnikzugriffe – sind zu identifizieren und zu schließen. Dieser Schritt schließt einen typischen Ausbreitungsweg von Ransomware aus der Büro-IT in die Leittechnik.

Die zehn Sicherheitsmaßnahmen nach Art. 21 im Energiekontext

Art. 21 NIS2 benennt zehn Kategorien von Cybersicherheitsmaßnahmen; für Betreiber nach § 5c EnWG greift § 5c Abs. 4 EnWG diese Themen als Mindestinhalt des IT-Sicherheitskatalogs auf. Die vollständige Erläuterung aller zehn Anforderungen zeigt den allgemeinen Rahmen. Für Energiebetreiber ergeben sich in der Praxis folgende Umsetzungsschwerpunkte:

Maßnahme (Art. 21)	Energiespezifische Anforderung	OT-Relevanz
1. Risikoanalyse	Separates OT-Risikoprofil, ICS-Bedrohungsmodell	Hoch – RTU-Kompromittierung, SCADA-Manipulation
2. Incident Management	OT-Vorfallkategorien, manuelle Übernahme-Prozeduren	Hoch – physische Konsequenzen bei OT-Vorfall
3. Business Continuity	Sicherer und zuverlässiger Netzbetrieb (§ 11 Abs. 1 EnWG) auch bei Cyberangriff	Hoch – manuelle Betriebsmodi dokumentieren
4. Lieferkettensicherheit	SCADA/RTU-Hersteller, kritische Komponenten (§ 41 BSIG) und kritische Funktionen (BNetzA-Festlegung)	Hoch – Firmware-Integrität, Hersteller-Audits
5. Sicherheit bei Erwerb	Secure-by-Design-Anforderungen in Ausschreibungen	Mittel – Legacy-Systeme kompensatorisch sichern
6. Wirksamkeitsbewertung	OT-Schwachstellenscan (passive Methoden!)	Hoch – aktiver Scan kann OT-Systeme stören
7. Schulung und Hygiene	Separate OT-Schulung für Leitstellenpersonal	Mittel – Social Engineering an OT-Zugängen
8. Kryptographie	VPN für alle Fernwartungszugänge auf OT	Hoch – kein unverschlüsseltes RDP/Telnet/FTP
9. Zugangskontrolle	Individuelle OT-Zugangsdaten, IT/OT-Netzwerktrennung	Hoch – gemeinsame Passwörter an RTUs eliminieren
10. Multi-Faktor-Authentifizierung	MFA für alle Remote-OT-Zugänge und VPN-Zugänge	Hoch – Leitstelle über WAN nur mit MFA

Risikoanalyse: Besonderheiten im OT-Bereich

Die Risikoanalyse nach NIS2 sollte für Energiebetreiber ausdrücklich OT-Szenarien abdecken. Typische Bedrohungsszenarien im Energiesektor:

• Ransomware-Ausbreitung von Büro-IT auf OT-Netzwerke über unzureichend gesicherte DMZ
• Kompromittierung von Fernwartungszugängen (VPN, RDP) zu SCADA-Systemen
• Supply-Chain-Angriffe über Firmware-Updates von SCADA-Herstellern
• Insider-Missbrauch von privilegierten OT-Zugangsdaten
• Manipulation von Messwerten über RTU-Schwachstellen (falsche Lastregelung im Netz)

Bewährte Methodik: IEC 62443 Zone-and-Conduit-Modell als Grundlage für die OT-Risikoanalyse, kombiniert mit dem BSI ICS-Security-Kompendium. Das Ergebnis sollte als dokumentiertes Risikoregister vorliegen und regelmäßig sowie anlassbezogen aktualisiert werden.

Stadtwerke: Besondere Ausgangslage

Stadtwerke stehen vor einer spezifischen Herausforderung: Sie betreiben häufig mehrere Versorgungssparten (Strom, Gas, Wasser, Fernwärme) mit jeweils eigenem OT-Bereich, aber kleinen IT-Teams. Die Rechtsgrundlagen können je nach Sparte unterschiedlich sein – für Strom- und Gasnetze gelten die §§ 5c bis 5e EnWG, für Fernwärme und Wasserversorgung dagegen die Pflichten des BSIG (§ 28 Abs. 5 Satz 2 BSIG). Empfehlung: Betroffenheit je Geschäftsfeld prüfen und in der BSI-Registrierung alle relevanten Sektoren angeben.

Stadtwerke mit begrenzten Ressourcen können bei der Umsetzung mit kommunalen IT-Dienstleistern oder über Branchenverbände (BDEW, VKU) kooperieren. Gemeinsame Risikoanalyse-Frameworks und geteilte Incident-Response-Ressourcen können sinnvoll sein; die Verantwortung für die Erfüllung der Pflichten und die Dokumentation bleibt jedoch bei jedem einzelnen Unternehmen.

Durchführungsverordnung CIR 2024/2690: Gilt sie für den Energiesektor?

Die Durchführungsverordnung (EU) 2024/2690 konkretisiert die technischen und methodischen Anforderungen aus Art. 21 NIS2 – allerdings nur für bestimmte digitale Einrichtungsarten: DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Managed (Security) Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke und Vertrauensdiensteanbieter (Art. 1 CIR). Sie ist am 7. November 2024 in Kraft getreten und gilt unmittelbar.

Für Energieversorger, Netzbetreiber und Stadtwerke ist die CIR daher nicht unmittelbar verbindlich – es sei denn, ein Unternehmen erbringt selbst eine der genannten Leistungen (etwa Rechenzentrums- oder Managed Services für Dritte). Für Betreiber nach § 5c EnWG ist der IT-Sicherheitskatalog der Bundesnetzagentur maßgeblich, für die übrigen Energie-Einrichtungen § 30 BSIG.

Als Orientierung kann die CIR dennoch nützlich sein: Ihr Anhang beschreibt Maßnahmen etwa zu Asset-Management, Vorfallbehandlung und Lieferkettensicherheit vergleichsweise detailliert. Eine bestimmte Zertifizierung oder Normenreihe für OT schreibt sie nicht vor. Für Energiebetreiber empfiehlt sich eine regelmäßige, dokumentierte Selbstbewertung anhand des einschlägigen IT-Sicherheitskatalogs bzw. des § 30 BSIG, über die das Leitungsorgan informiert wird.

Meldepflichten und BSI-Registrierung

Erhebliche Sicherheitsvorfälle sind gestuft an das BSI zu melden – für Betreiber nach § 5c EnWG auf Grundlage von § 5d Abs. 3 EnWG, für die übrigen Energie-Einrichtungen nach § 32 BSIG. Die Fristen sind identisch:

• Frühe Erstmeldung (24 Stunden): Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall – mit Angabe, ob ein Verdacht auf eine rechtswidrige oder böswillige Handlung oder auf grenzüberschreitende Auswirkungen besteht.
• Meldung (72 Stunden): Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung von Schweregrad und Auswirkungen einschließlich der Kompromittierungsfaktoren. Auf Ersuchen des BSI ist zusätzlich eine Zwischenmeldung abzugeben.
• Abschlussmeldung (spätestens ein Monat nach der Meldung): Ausführliche Beschreibung, wahrscheinliche Ursache, ergriffene und laufende Abhilfemaßnahmen, gegebenenfalls grenzüberschreitende Auswirkungen.

Für Betreiber nach § 5c EnWG leitet das BSI versorgungsrelevante Meldungen an die Bundesnetzagentur weiter, die die Auswirkungen auf die Energieversorgungssicherheit bewertet (§ 5d Abs. 5 EnWG). Unabhängig davon bleiben andere energierechtliche Berichtspflichten gegenüber der Bundesnetzagentur bestehen. Energiebetreiber sollten intern klären, welche Ereignisse unter welche Pflicht fallen und wie die Stränge koordiniert werden.

BSI-Registrierung: Besonders wichtige und wichtige Einrichtungen mussten sich spätestens drei Monate nach Inkrafttreten des NIS2UmsuCG, also bis zum 6. März 2026, beim BSI registrieren (§ 33 BSIG; für Energiebetreiber i. V. m. § 5d Abs. 4 EnWG); wer das versäumt hat, sollte die Registrierung unverzüglich nachholen. Die Registrierung erfolgt über das BSI-Portal und umfasst unter anderem Name und Rechtsform, Kontaktdaten einschließlich öffentlicher IP-Adressbereiche, den relevanten Sektor und die zuständigen Aufsichtsbehörden. Änderungen sind binnen zwei Wochen mitzuteilen (§ 33 Abs. 5 BSIG). Die Registrierung als Einrichtung ist von der anlagenbezogenen Registrierung kritischer Anlagen zu unterscheiden; diese richtet sich künftig nach § 8 KRITIS-Dachgesetz, bis zum Inkrafttreten der KritisV gilt nach § 66 BSIG die bisherige Fassung von § 33 Abs. 2 BSIG fort.

Management-Haftung: Persönliche Verantwortung der Geschäftsleitung

Mit der NIS2-Umsetzung ist die Verantwortung der Geschäftsleitung ausdrücklich gesetzlich geregelt. Für Betreiber nach § 5c EnWG gilt § 5e EnWG, für die übrigen Energie-Einrichtungen § 38 BSIG – beide mit gleicher Struktur: Die Geschäftsleitung ist verpflichtet, die Sicherheitsanforderungen umzusetzen und ihre Umsetzung zu überwachen, und muss regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den gesellschaftsrechtlichen Regeln der jeweiligen Rechtsform. Eine ausdrückliche Billigungspflicht wie in Art. 20 NIS2 enthält das deutsche Recht nicht; die Delegation der operativen Umsetzung an IT-Abteilungen oder Dienstleister entbindet die Geschäftsleitung aber nicht von ihrer Überwachungspflicht.

Für Energiebetreiber empfiehlt sich deshalb ein regelmäßiges, dokumentiertes Cybersicherheits-Reporting an das Leitungsorgan – etwa mindestens jährlich. Es kann den Status der Sicherheitsmaßnahmen, erkannte Sicherheitsvorfälle und den Fortschritt bei OT-Sicherheitsprojekten umfassen. Die Aufsicht (für Betreiber nach § 5c EnWG die Bundesnetzagentur, sonst das BSI) kann im Rahmen ihrer Befugnisse Unterlagen anfordern. Unternehmen ohne formales Managementreporting zur Cybersicherheit sollten dies als eigenständige Aufgabe behandeln – unabhängig davon, ob die technischen Maßnahmen bereits umgesetzt sind.

Zeitplan und Umsetzungsprioritäten für Energiebetreiber

Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten; eine Übergangsfrist für die Pflichten gibt es nicht. Für Energiebetreiber, die noch am Anfang der Umsetzung stehen, bietet sich folgende Priorisierung an:

• Sofort: Betroffenheit formal klären (besonders wichtig vs. wichtig, EnWG- oder BSIG-Regime je Sparte), eine versäumte BSI-Registrierung unverzüglich nachholen, interne Verantwortung zuweisen, erste Management-Review einplanen.
• Monat 1–2: IT- und OT-Asset-Inventar erstellen, Lückenanalyse gegenüber dem IT-Sicherheitskatalog bzw. § 30 BSIG durchführen, Lieferantenliste mit kritischen OT-Zulieferern aufsetzen, Netzwerkplan mit IT/OT-Übergängen dokumentieren.
• Monat 2–4: OT-Risikoanalyse nach IEC 62443, IT/OT-Netzwerksegmentierung (DMZ) einführen oder prüfen, MFA für alle Remote-Zugänge aktivieren, Incident-Response-Plan mit OT-Vorfallkategorien und Meldematrix dokumentieren.
• Monat 4–12: Sicherheitsrichtlinien vollständig dokumentieren, Schulungsprogramm für OT-Personal und Schulungen für die Geschäftsleitung aufsetzen, Lieferantenbefragungen starten, Registrierungsdaten aktuell halten, erste Wirksamkeitsprüfung durchführen.

Netz- und Anlagenbetreiber, die bereits nach den bisherigen IT-Sicherheitskatalogen der Bundesnetzagentur zertifiziert sind, können deren Ergebnisse als Ausgangsbasis für die Lückenanalyse nutzen. Achten Sie dabei auf die Bereiche, die neu hinzugekommen oder deutlich geschärft worden sind: Lieferkettensicherheit, dokumentiertes Managementreporting, Schulung der Geschäftsleitung und explizite OT-Asset-Inventarisierung.

Häufige Fragen

Wir sind KRITIS-konform. Sind wir damit auch NIS2-konform?
Nicht automatisch. Eine bestehende KRITIS-Konformität bzw. Zertifizierung nach dem IT-Sicherheitskatalog schafft eine gute Basis. Neu bzw. ausdrücklich geregelt sind aber etwa die Pflichten der Geschäftsleitung (§ 5e EnWG bzw. § 38 BSIG), die Lieferkettensicherheit und die gestuften Meldepflichten. Eine Gap-Analyse ist empfehlenswert.

Unsere SCADA-Systeme laufen auf Windows XP und können nicht gepatcht werden. Wie gehen wir vor?
Gefordert ist ein dem Risiko angemessenes Schutzniveau, kein Null-Risiko. Kompensatorische Maßnahmen kommen dafür in Betracht: Netzwerksegmentierung (Isolation der veralteten Systeme hinter einer dedizierten DMZ), passives Anomalie-Monitoring, Migrationsplanung mit konkretem Zeitplan. Dokumentieren Sie die Situation, die Risikobewertung und den Migrationsplan ausführlich – ob die Maßnahmen im Einzelfall ausreichen, beurteilt die zuständige Aufsicht.

Brauchen wir für OT-Systeme eine separate BSI-Registrierung?
Nein. Die Registrierung nach § 33 BSIG erfolgt pro Einrichtung, nicht pro Systemtyp. Dabei sind unter anderem der relevante Sektor bzw. die Branche anzugeben. Davon zu unterscheiden ist die anlagenbezogene Registrierung kritischer Anlagen.

Gilt die CIR auch für unsere Fernwirktechnik und RTUs?
In der Regel nein. Die CIR 2024/2690 gilt nur für die in ihrem Art. 1 genannten digitalen Einrichtungsarten, nicht für Energieversorger. Für Netz- und Anlagenbetreiber nach § 5c EnWG erfasst der Schutzauftrag die TK- und EDV-Systeme, die für einen sicheren Netz- bzw. Anlagenbetrieb notwendig sind – also typischerweise auch Fernwirktechnik und RTUs. OT-Assets sollten deshalb im Asset-Inventar geführt und in der Risikoanalyse bewertet werden.

Was gilt bei Fernwärme – ist das NIS2-relevant?
Ja. Betreiber von Fernwärme- oder Fernkälteversorgung sind in Anlage 1 BSIG eine eigene Einrichtungsart im Sektor Energie. Sie fallen unter das BSIG, wenn sie die Größenschwellen erreichen (wichtige Einrichtung ab 50 Mitarbeitenden oder über 10 Mio. € Jahresumsatz und Jahresbilanzsumme; besonders wichtige Einrichtung ab 250 Mitarbeitenden oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme) – unabhängig davon, ob sie Teil eines Energieversorgers sind. Da das EnWG unter „Energie“ nur Elektrizität, Gas und Wasserstoff versteht, fällt die Fernwärmeversorgung selbst nicht unter die §§ 5c bis 5e EnWG; hierfür gelten die Pflichten der §§ 30 ff. BSIG (bei Heizkraftwerken kann für die Stromerzeugung zusätzlich § 5c EnWG greifen). Heizwerke und Heizkraftwerke ab 2.300 GWh ausgeleiteter Wärmeenergie pro Jahr sowie Fernwärmenetze ab 250.000 angeschlossenen Haushalten gelten nach der BSI-KritisV zudem als kritische Anlagen.

Müssen wir unsere SCADA-Lieferanten nach IEC 62443 zertifiziert haben?
Eine gesetzliche Pflicht zur IEC-62443-Zertifizierung von Lieferanten besteht nicht. Sowohl § 5c Abs. 4 Nr. 4 EnWG (Mindestinhalt des IT-Sicherheitskatalogs) als auch § 30 Abs. 2 BSIG verlangen jedoch, die Sicherheit der Lieferkette zu berücksichtigen. In der Praxis bedeutet das: Lieferantenfragebogen mit Fragen zur OT-Sicherheitspraxis, bevorzugt mit Nachweisen wie ISO 27001, IEC 62443-4-1 (sichere Entwicklung) oder gleichwertigen Zertifizierungen. Ein Lieferant, der keinerlei Nachweise erbringen kann, ist ein dokumentiertes Restrisiko in der Lieferkette und sollte als solches behandelt werden.

Quellen

• § 5c EnWG – IT-Sicherheit im Anlagen- und im Netzbetrieb (sowie § 5d und § 5e EnWG)
• § 28 BSIG – Besonders wichtige Einrichtungen und wichtige Einrichtungen
• Bundesnetzagentur – IT-Sicherheit im Energiesektor (IT-Sicherheitskataloge)
• BSI-KritisV, Anhang 1 – Anlagenkategorien und Schwellenwerte im Sektor Energie
• BSI – NIS-2-Meldepflicht
• BDEW-Whitepaper: Anforderungen an sichere Steuerungs- und Telekommunikationssysteme
• BSI ICS-Security-Kompendium
• CIR 2024/2690 – Durchführungsverordnung zu Art. 21 NIS2 (EUR-Lex)
• Richtlinie (EU) 2022/2555 (NIS2), Anh. I Sektor Energie