Energieversorger: Der vollständige NIS2-Leitfaden

Energieversorger - Strom, Gas, Fernwärme, Öl - sind nach NIS2-Anhang I Nr. 1 (Energie) als Wesentliche Einrichtung eingestuft, wenn sie die KRITIS-Schwellen der BSI-KritisV überschreiten. Unterhalb dieser Schwellen fallen Energieversorger unter Anhang II. Die Regulierungsdichte ist in diesem Sektor besonders hoch: NIS2, EnWG und der BSI-IT-Sicherheitskatalog überlagern sich. Dieser Leitfaden richtet sich an Compliance-Verantwortliche, IT-Leiter und Geschäftsführer bei Energieversorgungsunternehmen.

Wer ist betroffen?

Stromnetzbetreiber, Gasnetzbetreiber, Stromproduzenten und Energiehändler fallen unter NIS2-Anhang I Nr. 1 (Energie), wenn sie KRITIS-Schwellen der BSI-KritisV erreichen: Für Strom ca. 420.000 Einwohner im Versorgungsgebiet oder 36 MW Nennleistung.

Unterhalb dieser Schwellen - oder ohne Netzbetrieb - fallen Energieversorger unter NIS2-Anhang II Nr. 1 und sind Wichtige Einrichtung, wenn sie 50+ Mitarbeitende oder 10+ Mio. EUR Umsatz haben.

Ein regionaler Stadtwerke-Betrieb mit 150 Mitarbeitenden, Stromnetz und Fernwärmeversorgung einer Stadt mit 80.000 Einwohnern ist Wesentliche Einrichtung nach NIS2-Anhang I.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu fordert sieben Pflichtkategorien, die für Energieversorger mit ihrer Kombination aus IT und Betriebstechnik (OT) besonders relevant sind:

1. Risikoanalyse und -management: SCADA-Systeme, Netzleittechnik (EMS/DMS), Fernwirktechnik, Smart-Meter-Infrastruktur und kaufmännische IT müssen ganzheitlich bewertet werden.
2. Incident Handling: Netzausfälle durch Cyberangriffe sind hochprioritäre Vorfälle. Koordination mit Bundesnetzagentur, BSI und bei Bedarf BKA ist vorzubereiten.
3. Business Continuity: Wesentliche und kritische Einrichtungen müssen 24/7-Notfallbetrieb sicherstellen können. Manuelle Netzführungsverfahren für SCADA-Ausfall sind zu testen.
4. Supply-Chain-Sicherheit: Lieferanten von Netzleittechnik, Smart-Meter-Systemen, Fernwirktechnik und Cloud-Diensten müssen auf Sicherheitsstandards bewertet werden.
5. Zugangskontrolle und MFA: Zugang zu Leitstellensystemen, Fernwirktechnik und kaufmännischen Systemen muss durch MFA abgesichert sein. Besonders: Remote-Zugriffe auf Umspannwerke und Netzknoten.
6. Verschlüsselung: Netzwerkprotokolle in der OT-Kommunikation müssen gesichert sein. Smart-Meter-Kommunikation (SMGW) ist nach BSI TR-03109 verschlüsselt.
7. Schulung und Awareness: Netzführungspersonal, IT-Mitarbeitende und Verwaltung müssen regelmäßig geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Energieversorger im KRITIS-Bereich hatten bereits nach IT-SiG 1.0 Meldepflichten gegenüber dem BSI. Diese Pflichten werden durch NIS2 verschärft und auf mehr Einrichtungen ausgeweitet.

Bußgelder und persönliche Haftung

Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % Umsatz. Wichtige Einrichtung (Anhang II): bis 7 Mio. EUR oder 1,4 % Umsatz.

§ 38 BSIG-neu: Persönliche Haftung der Geschäftsleitung. Dazu kommen energierechtliche Sanktionen bei Netzausfällen und Regulierungsrisiken durch die Bundesnetzagentur.

BSI-KritisV-Schwellen und EnWG § 11 IT-Sicherheitskatalog kombiniert anwenden

§ 11 Abs. 1a EnWG verpflichtet Netzbetreiber dazu, "angemessene organisatorische und technische Vorkehrungen" zur IT-Sicherheit zu treffen. Das BSI hat dazu den IT-Sicherheitskatalog für Energie herausgegeben, der auf ISO 27001 als Grundlage verweist.

Die Überschneidung mit NIS2: Der IT-Sicherheitskatalog deckt viele technisch-organisatorische Maßnahmen ab, die auch § 30 BSIG-neu verlangt. Wer den IT-Sicherheitskatalog bereits umgesetzt hat, erfüllt damit Kernteile von NIS2.

Was NIS2 zusätzlich bringt: Strengere Meldepflichten (24-Stunden-Erstmeldung), persönliche Geschäftsführerhaftung (§ 38 BSIG-neu) und erweiterte Lieferkettenpflichten (§ 30 Abs. 2 Nr. 4 BSIG-neu). Energieversorger, die den IT-Sicherheitskatalog umgesetzt haben, sollten eine Gap-Analyse für die spezifisch NIS2-bedingten Erweiterungen durchführen.

Erste Schritte

1. Bestimme deine Einstufung: Wesentliche Einrichtung (Anhang I, KRITIS-Schwelle) oder Wichtige Einrichtung (Anhang II)?
2. Führe eine Gap-Analyse zwischen bestehendem IT-Sicherheitskatalog-Status und NIS2-Anforderungen durch.
3. Prüfe alle Fernzugriffe auf Netzleittechnik und Umspannwerke.
4. Kartiere alle OT-Systeme und deren Netzwerkanbindung.
5. Erstelle einen Incident-Response-Plan, der BSI, Bundesnetzagentur und CERT-Koordination einschließt.
6. Prüfe alle Lieferantenverträge für Netzleittechnik und OT-Systeme auf Sicherheitsklauseln.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

OT-Systeme separat von IT-Sicherheitsmanagement behandelt: IT-SiKat und NIS2 erfordern ein integriertes ISMS, das OT und IT umfasst.

Smart-Meter-Infrastruktur nicht bewertet: Das Smart Meter Gateway (SMGW) und die zugehörige Kommunikationsinfrastruktur sind NIS2-relevante Systeme.

Meldepflichten beim IT-SiKat ≠ NIS2-Meldepflichten: Die NIS2-Meldekette (24h/72h/30d) ist strenger als bisherige Meldepflichten nach IT-SiG 1.0.

Lieferantenanforderungen nicht auf OT-Hersteller ausgedehnt: Netzleittechnik-Hersteller und SCADA-Anbieter sind kritische Lieferanten nach § 30 Abs. 2 Nr. 4 BSIG-neu.

Bilaterale Meldepflichten nicht koordiniert: Bei Vorfällen müssen BSI, Bundesnetzagentur und ggf. CERT-Energie koordiniert informiert werden. Wer nur eine Stelle meldet, erfüllt seine Pflichten nicht vollständig.

Besonderheit: Dezentrale Erzeugung und neue Angriffsflächen

Die Energiewende verändert die Angriffsfläche für Energieversorger erheblich. Dezentrale Erzeugungsanlagen (PV, Wind, Batteriespeicher), virtuelle Kraftwerke und Smart-Grid-Infrastruktur erzeugen neue IT-Verbindungen, die in vielen bestehenden Sicherheitskonzepten noch nicht adressiert sind.

Konkret: Ein Aggregator, der Tausende Heimspeicher über eine Cloud-Plattform steuert, schafft eine riesige Angriffsfläche. Ein Angreifer, der die Aggregator-Plattform kompromittiert, kann koordinierte Laständerungen auslösen, die die Netzstabilität gefährden.

§ 30 BSIG-neu verlangt dafür eine umfassende Risikoanalyse, die auch neue Geschäftsmodelle und dezentrale Ressourcen einbezieht. Der IT-Sicherheitskatalog des BSI wird voraussichtlich für dezentrale Systeme angepasst werden. Energieversorger, die heute schon dezentrale Ressourcen aggregieren, sollten diese proaktiv in ihre NIS2-Risikoanalyse aufnehmen.

Nutze den branchengenauen NIS2-Rechner für Energieversorger, um deine Einstufung zu klären.