NIS2 Policy-Paket Energie

Beschreibung

Sektor-adaptierte Policies zu den Art.-21-Maßnahmen für Strom, Gas und Fernwärme – ergänzt um eine Einführung in den EU-Netzkodex für Cybersicherheit (NCCS) und eine Regelwerkskarte für Energieversorger. Für Netz-, Erzeugungs- und Handelsunternehmen, deren OT SCADA, IEC 60870-5-104, IEC 61850 und IEC 62351 spricht, nicht Büro-IT. Dieses Paket wurde für genau dieses Umfeld geschrieben: für Menschen, die im Ernstfall den Notbetrieb der Netzführung organisieren müssen, nicht nur eine Firewall-Regel.

Zwei EU-Regelwerke, ein Netz – und in Deutschland ein eigenes Regime für Netz- und Anlagenbetreiber

NIS2 verlangt von besonders wichtigen und wichtigen Einrichtungen die Risikomanagementmaßnahmen nach Art. 21. In Deutschland gilt dafür grundsätzlich § 30 BSIG – aber nicht für alle Energieversorger: Für Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem EnWG betreiben und den §§ 5c bis 5e EnWG unterliegen, gelten die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG nicht (§ 28 Abs. 5 BSIG). Ihre Pflichten ergeben sich aus dem EnWG: angemessener Schutz nach dem IT-Sicherheitskatalog der Bundesnetzagentur (§ 5c EnWG), Dokumentation, Meldung und Registrierung (§ 5d EnWG) sowie Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung (§ 5e EnWG). Die Mindestinhalte des Katalogs (§ 5c Abs. 4 EnWG) entsprechen weitgehend den Art.-21-Themen. Für weitere Tätigkeiten – etwa Fernwärme – bleibt es beim BSIG (§ 28 Abs. 5 S. 2 BSIG). Hinzu kommt für den Stromsektor der Netzkodex für Cybersicherheit (NCCS) – Delegierte Verordnung (EU) 2024/1366, in Kraft seit dem 13. Juni 2024, mit gestaffelten Fristen bis 2028. Er gilt für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse bei Einrichtungen, die als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft werden. Der Hintergrund: Das europäische Stromnetz ist kein Sammelsurium nationaler Netze, sondern ein synchron verbundenes System, in dem sich Störungen über Landesgrenzen fortpflanzen können – die Angriffe auf die ukrainische Stromversorgung 2015 und 2016 haben gezeigt, dass Cyberangriffe reale Netzausfälle verursachen können.

Für betroffene Stromversorger können sich damit zwei Anforderungsebenen überlagern:

1. Art.-21-Maßnahmen (national: § 30 BSIG bzw. IT-Sicherheitskatalog nach § 5c EnWG) – Bußgelder bis zu 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen), bei mehr als 500 Mio. € Umsatz bis zu 2 % bzw. 1,4 % des Gesamtumsatzes (§ 65 BSIG bzw. § 95 EnWG). Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen und haftet der Einrichtung nach Gesellschaftsrecht (§ 38 BSIG bzw. § 5e EnWG).
2. NCCS (EU 2024/1366) – für eingestufte Einrichtungen: Risikobewertungen auf Unions-, Regional- und Einrichtungsebene, Einstufung anhand des ECII (Index für die Auswirkungen auf die Cybersicherheit im Elektrizitätssektor), Mindest- und erweiterte Cybersicherheitskontrollen sowie Meldung meldepflichtiger Cyberangriffe an CSIRT und zuständige Behörde spätestens vier Stunden nach Feststellung der Meldepflicht (Art. 38 Abs. 3).

Regelwerke, die sich überschneiden, aber nicht deckungsgleich sind – prüfen Sie deshalb zuerst, ob für Ihre Tätigkeiten das EnWG-Regime (§§ 5c–5e EnWG), das BSIG oder beides gilt. Das eigentliche Risiko ist dabei nicht die Behörde – es ist, mit einer Dokumentation in eine Prüfung zu gehen, die nie für Umspannwerke, SCADA-Leitsysteme oder Fernwirktechnik geschrieben wurde, und beim ersten konkreten Nachfragen auseinanderzufallen.

Wir kennen die Fragen, die ein Netzaudit wirklich stellt

Wenn Sie schon einmal eine „NIS2-Vorlage“ geöffnet haben und darin generische IT-Richtlinien fanden, die IEC 61850, Fernwirkprotokolle oder den Notbetrieb der Netzführung mit keinem Wort erwähnen, kennen Sie die Lücke, die dieses Paket schließen soll. Sie sollten Büro-IT-Textbausteine nicht selbst in Netzrealität übersetzen müssen – mit dem Policy-Paket Energie müssen Sie das nicht.

Die Art.-21-Themen sind auf typische Energie-OT-Umgebungen übertragen – Leitstelle, Unterwerke, RTU/IED, Fernwirkprotokolle, Smart-Meter-Systeme –, ergänzt um zwei Zusatzdokumente: E1 (Einführung in den NCCS) und E2 (Regelwerkskarte für Energieversorger).

24 Dateien für Ihr Netz – Art.-21-Policies und NCCS-Überblick in einem deutschen Vorlagenpaket

Das Policy-Paket Energie enthält 24 Dateien: 14 energiespezifische Dokumente – 12 sektor-adaptierte Dokumente zu den Art.-21-Themen plus 2 Zusatzdokumente (NCCS-Leitfaden und Regelwerkskarte) – und 10 begleitende Anleitungen, die Ihnen zeigen, wie Sie das Paket in Ihrer Organisation einführen. Die Richtlinien sind für Energieversorger mit IEC-104/IEC-61850-Umgebungen formuliert.

Plus 10 Anleitungen (neun davon identisch mit dem Komplettpaket, das Vorfallreaktion-Flussdiagramm in einer Energie-Fassung): Willkommen & Überblick, Implementierungsleitfaden, Implementierungs-Masterplan, Rollen- und Verantwortungsmatrix, Schnellstart für den NIS2-Beauftragten, Schnellstart für den IT-Sicherheitsbeauftragten, Schnellstart für HR, Vorfallreaktion-Flussdiagramm, Implementierungs-Flussdiagramm, Dokument-Abhängigkeitskarte.

So kommen Sie vom Kauf zur angepassten Dokumentation

1. Sofort herunterladen – alle 24 Dateien stehen direkt nach der Zahlung bereit.
2. Rot markierte Platzhalter ausfüllen – Ihre Einrichtungsdaten, Standorte, Rollen und Verantwortlichkeiten.
3. Prüfen lassen und einführen – fachlich prüfen, freigeben und als Grundlage für Ihre Dokumentation gegenüber Bundesnetzagentur, BSI oder interner Revision nutzen.

Welches Dokument welche Art.-21-Maßnahme adressiert

Welches Paket zu Ihrem Ausgangspunkt passt

Wer das Policy-Paket Energie nutzt

CISO / NIS2-Beauftragter bei Verteilnetzbetreibern (VNB) — Für Betreiber von Mittel- und Niederspannungsnetzen ist in der Regel das EnWG-Regime maßgeblich: IT-Sicherheitskatalog der Bundesnetzagentur (§ 5c EnWG), Dokumentation und Meldung nach § 5d EnWG – anstelle der §§ 30 und 32 BSIG (§ 28 Abs. 5 BSIG). Der NCCS kommt hinzu, wenn die Einrichtung als Einrichtung mit erheblichen oder kritischen Auswirkungen eingestuft wird. Das Policy-Paket Energie gibt Ihnen Vorlagen entlang der Art.-21-Themen, die sich mit den Mindestinhalten des Katalogs (§ 5c Abs. 4 EnWG) weitgehend decken – als Ausgangspunkt, in der Sprache Ihrer OT-Ingenieure.

Informationssicherheitsbeauftragter bei Stadtwerken — Stadtwerke sind oft gleichzeitig VNB, Wärmelieferant und Gasnetzbetreiber, mit überlappenden Regulierungsrahmen: Der Strom- und Gasnetzbetrieb fällt unter die §§ 5c–5e EnWG, die Fernwärme unter das BSIG (§ 28 Abs. 5 S. 2 BSIG). Dokument E2 liefert einen Überblick über die relevanten Regelwerke, den Ihre Geschäftsführung versteht.

IT-OT-Sicherheitsberater für den Energiesektor — Sie betreuen Stadtwerke, regionale Netzbetreiber oder Energieerzeuger, bei denen jedes Mandat eine andere Mischung aus NIS2, NCCS und BNetzA-Anforderungen hat. Das Policy-Paket Energie ist Ihre Ausgangsvorlage für alle Energiemandate – anpassbar, mit Normenreferenzen.

Technischer Geschäftsführer bei einem Energieversorger — Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen, regelmäßig an Schulungen teilnehmen und haftet der Einrichtung bei Pflichtverletzung nach Gesellschaftsrecht (§ 5e EnWG für Netz- und Anlagenbetreiber im EnWG-Regime, sonst § 38 BSIG); der NCCS kann zusätzliche Pflichten auslösen. Das Policy-Paket Energie enthält eine Rollen- und Verantwortungsmatrix (RACI), mit der Sie festlegen, welche Aufgaben bei der Geschäftsleitung liegen – und welche Ihr OT-Sicherheitsteam trägt.

Häufige Fragen zum Policy-Paket Energie

Was ist der NCCS, und warum betrifft er speziell den Energiesektor?

Der NCCS (Network Code on Cybersecurity) ist die Delegierte Verordnung (EU) 2024/1366 der Kommission vom 11. März 2024 – ein Netzkodex mit sektorspezifischen Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse. Er betrifft Einrichtungen des Elektrizitätssektors – u. a. Elektrizitätsunternehmen wie Netzbetreiber und Erzeuger, nominierte Strommarktbetreiber (NEMOs), Bilanzkreisverantwortliche, Ladepunktbetreiber und Anbieter kritischer IKT-Dienste –, soweit sie anhand des ECII als Einrichtungen mit erheblichen oder kritischen Auswirkungen eingestuft werden. Für sie gelten Risikobewertungen, Cybersicherheitskontrollen und eigene Meldepflichten. Die Verordnung ist seit dem 13. Juni 2024 in Kraft; ihre Fristen sind gestaffelt, die Benachrichtigung der eingestuften Einrichtungen erfolgt spätestens bis zum 13. Juni 2028.

Was ist der Unterschied zwischen NIS2UmsuCG und dem NCCS für Energieversorger?

Das NIS2UmsuCG hat die NIS2-Richtlinie in Deutschland umgesetzt, im Wesentlichen über das neue BSIG: Cybersicherheitsmaßnahmen nach § 30 BSIG, Meldepflichten nach § 32 BSIG. Für Netz- und Anlagenbetreiber, die den §§ 5c–5e EnWG unterliegen, treten an deren Stelle der IT-Sicherheitskatalog der Bundesnetzagentur (§ 5c EnWG) und die Melde- und Dokumentationspflichten nach § 5d EnWG (Meldung ebenfalls an das BSI, 24 h / 72 h / ein Monat). Der NCCS gilt zusätzlich und nur im Stromsektor für eingestufte Einrichtungen – mit eigener Risikobewertung, eigener Einstufung und eigener Meldepflicht an CSIRT und zuständige Behörde binnen vier Stunden. Dokument E1 gibt einen Überblick über den NCCS.

Was bedeutet IEC 62351 und warum ist es für Energieversorger relevant?

IEC 62351 ist die internationale Normenreihe für Cybersicherheit in der Energieautomatisierung und dem Energiemanagement. Sie definiert Sicherheitsmechanismen für SCADA-Kommunikationsprotokolle wie IEC-104, IEC-61850 und DNP3 – Protokolle, die in deutschen Netzen weit verbreitet sind. Die Kryptografie-Richtlinie (Dok. 09) referenziert die Teile 62351-4, -5 und -8 direkt.

Gilt das Policy-Paket Energie auch für Gasnetzbetreiber?

Ja, für die Dokumente 00–11. Gasnetzbetreiber gehören ebenfalls zum Sektor Energie und unterliegen wie Stromnetzbetreiber den §§ 5c–5e EnWG, mit vergleichbaren OT-Anforderungen – SCADA-Leitsysteme, ferngesteuerte Absperrventile, Verdichtersteuerungen. Die NCCS-spezifischen Dokumente E1 und E2 fokussieren dagegen auf Stromnetz-Akteure, da der NCCS ausschließlich für den Elektrizitätssektor gilt.

Wann muss ich mich beim BSI registrieren, und wie hilft das Paket?

Wichtige und besonders wichtige Einrichtungen müssen sich nach § 33 BSIG beim BSI registrieren – für Netz- und Anlagenbetreiber im EnWG-Regime mit den Maßgaben des § 5d Abs. 4 EnWG; das BSI gibt die Daten an die Bundesnetzagentur weiter. Die Frist lief am 6. März 2026 ab; bis dahin mussten auch Energieversorgungsnetzbetreiber, die keine (besonders) wichtigen Einrichtungen sind, ihre Registrierungsangaben übermitteln (§ 5d Abs. 4 S. 1 EnWG). Wer noch nicht registriert ist, sollte dies unverzüglich nachholen. Der Implementierungsleitfaden (Dok. 01) enthält die Registrierung als Aufgabe im Umsetzungsplan.

Was ist eine „Schwarzstart-Prozedur“, und wie behandelt das Paket den Notbetrieb?

Eine Schwarzstart-Prozedur beschreibt den Prozess, ein Stromnetz nach einem vollständigen Ausfall ohne externe Netzeinspeisung wiederherzustellen; der Netzwiederaufbau wird von den Übertragungsnetzbetreibern koordiniert. Art. 21(2)(c) NIS2 fordert Maßnahmen zur Aufrechterhaltung des Betriebs. Dok. 05 (BCM & Backup Energie) enthält kein Schwarzstart-Verfahren, sondern ein anpassbares Notbetriebskonzept für die Netzführung bei SCADA-Ausfall; das Vorfallreaktion-Flussdiagramm weist darauf hin, OT-Isolationsentscheidungen wegen des Blackstart-Risikos mit dem Netzbetreiber abzustimmen.

Werden die Vorlagen bei neuen regulatorischen Anforderungen aktualisiert?

Ja. Ihr Kauf beinhaltet 12 Monate kostenlose Updates. Das ist beim Policy-Paket Energie besonders relevant, weil der NCCS gestaffelte Fristen bis 2028 vorsieht und die Bundesnetzagentur den IT-Sicherheitskatalog regelmäßig überprüft. Bei wesentlichen Änderungen im BSIG, im EnWG, im NCCS oder den referenzierten IEC-Normen werden die relevanten Dokumente aktualisiert und Ihnen als neuer Download zur Verfügung gestellt.

Kann ich das Energie-Paket mit dem Komplettpaket kombinieren?

Ja, und für größere Energieversorger ist das die optimale Lösung: Das Komplettpaket (66 Vorlagen + 10 Anleitungen) adressiert Ihre IT-Infrastruktur – Bürosysteme, Cloud, HR, Lieferanten-IT, Vorstandshaftung, BSI-Registrierung. Das Policy-Paket Energie ergänzt es um die spezifischen OT- und NCCS-Anforderungen für Ihr Netz. Kontaktieren Sie uns für ein kombiniertes Paketangebot.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Bietet ihr Rückerstattungen an?

Es handelt sich um ein digitales Downloadprodukt. Soweit ein Widerrufsrecht besteht, erlischt es bei digitalen Inhalten mit Beginn der Bereitstellung, wenn Sie dem an der Kasse ausdrücklich zugestimmt haben (§ 356 Abs. 6 BGB, Art. 16 lit. m Richtlinie 2011/83/EU). Als Ausgleich gilt die 30-Tage-Zusage oben: Passt eine Vorlage nicht, aktualisieren oder ergänzen wir sie – keine Kaufpreiserstattung, aber Sie behalten alles.

Schützen Sie das Netz – NIS2-Umsetzung und NCCS sind bereits in Kraft

Bei Energieversorgern treffen je nach Tätigkeit das EnWG-Regime mit dem IT-Sicherheitskatalog der Bundesnetzagentur, das BSIG und im Stromsektor der NCCS aufeinander. Mehrere mögliche Meldewege, ein Netz, eine Dokumentation – wenn Sie diese Konvergenz nicht aktiv managen, werden es die Prüfer für Sie tun. Das Policy-Paket Energie kostet €349 und liefert sektor-adaptierte Vorlagen zu den Art.-21-Themen plus NCCS-Überblick und Regelwerkskarte. Laden Sie jetzt herunter.

Noch unsicher, ob Sie unter NIS2 fallen? Nutzen Sie zuerst unseren kostenlosen Selbst-Check.