Mobile-Menu

NIS-2-Richtlinie reformiert BSIG und EnWG für Energiewirtschaft Neue Cybersecurity-Gesetzgebung trifft die Energiebranche

Ein Gastbeitrag von Alexander Feitzinger 5 min Lesedauer

Anbieter zum Thema

FPS Fritze Wicke Seelig Partnerschaftsgesellschaft von Rechtsanwälten mbB
FTAPI Software GmbH
cyberintelligence.institute GmbH

NIS-2 reformiert BSIG und Energiewirtschaftsgesetz und erweitert den Kreis der Verpflichteten auch bei Energieunternehmen erheblich. Die Abgrenzung zwischen BSIG und dem vorrangigen EnWG ist komplex und zusätzlich kommen ab 2027 Cyber Resilience Act und KRITIS-Dachgesetz mit weiteren Anforderungen auf die Branche zu.

NIS-2 reformiert BSIG und Energiewirtschaftsgesetz (EnWG), zusätzlich kommen Cyber Resilience Act und KRITIS-Dachgesetz mit weiteren Pflichten auf Energieunternehmen zu.(Bild: © kosssmosss - stock.adobe.com)
NIS-2 reformiert BSIG und Energiewirtschaftsgesetz (EnWG), zusätzlich kommen Cyber Resilience Act und KRITIS-Dachgesetz mit weiteren Pflichten auf Energieunternehmen zu.
(Bild: © kosssmosss - stock.adobe.com)

Die europäische NIS-2-Richtlinie (Richtlinie (EU) 2015/1535), das auf ihrer Basis reformierte Gesetz über das Bundesamt für Sicherheit in der Informationstechnik („BSIG“) und weitere europäische Rechtsakte mit Cybersecurity-Bezug betreffen auch die Energiebranche. Das Energiewirtschaftsgesetz („EnWG“) enthält Sonderbestimmungen und wurde ebenfalls durch die NIS-2-Richtlinie geändert. Ziel der NIS-2-Richtlinie ist es, in der gesamten EU ein einheitliches hohes Cyber-Sicherheitsniveau sicherzustellen.

Cyberattacken in der Energiebranche

Cyberangriffe können entweder direkt mit Hacking-Attacken, also technischen Angriffen, gegen bestimmte Strukturen geschehen oder aber auch durch Phishing-Versuche, Ransomware-Angriffe sowie über Social Engineering. Beim sogenannten Phishing versuchen Angreifer über gefälschte E-Mails, Kurznachrichten, etc. an sensible Nutzerdaten wie etwa Passwörter zu gelangen. Bei einem Ransomware-Angriff werden Daten verschlüsselt und anschließend ein Lösegeld (Ransom) verlangt. Beim Social Engineering nutzen Angreifer menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen oder Respekt vor Autorität aus, um Personen dazu zu verleiten, beispielsweise vertrauliche Informationen auszuhebeln. Die jährlichen Schäden durch Cyber-Attacken in Deutschland werden auf mehr als 200 Mrd. EUR geschätzt. Laut einem Bericht der Agentur der Europäischen Union für Cybersicherheit (ENISA) aus dem Jahr 2024 sind Betreiber von Solar- und Windkraftanlagen besonders im Fokus von Angreifern. Gründe dafür sind u.a. eingeschränkte Mittel und Ressourcen sowie ein veralteter Technikstand.

Bereits bestehende Regelungen für die Energiebranche

Das BSIG in seiner alten Form vor seiner Änderung auf der Basis der NIS-2-Richtlinie galt für bestimmte Anbieter digitaler Dienste, für sogenannte Unternehmen im besonderen öffentlichen Interesse und für Betreiber Kritischer Infrastrukturen. Wer zu den Betreibern einer Kritischen Infrastruktur gehört, bestimmt sich nach der Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz („BSI-KritisV“). Es kommt neben der Erreichung bestimmter Schwellenwerte (z.B. 500.000 versorgte Personen für Strom- und Gasnetze) auch darauf an, ob das Unternehmen für das Gemeinwesen von erheblicher Bedeutung ist.

Derartige Unternehmen waren schon vor der NIS-2-Richtlinie durch das alte BSIG zur Umsetzung von Maßnahmen zur IT-Sicherheit verpflichtet.

Das EnWG verpflichtete als lex specialis gegenüber dem BSIG bereits Betreiber von Energieversorgungsnetzen (Strom, Gas) und von Energieanlagen, die nach der BSI-KritisV zur Kritischen Infrastruktur gehörten, zu weitergehenden Cybersecurity-Maßnahmen, als sie nach dem BSIG gefordert wurden.

Pflichten nach dem neuen BSIG (und EnWG)

Das neue BSIG gilt für im Gesetz und seinen Anlagen näher definierte wichtige und besonders wichtige Einrichtungen und erweitert damit den Kreis der Verpflichteten erheblich. Kritische Anlagen im Sinne der BSI-KritisV zählen nun zu den besonders wichtigen Einrichtungen.

Zu den wichtigen Einrichtungen im Sinne des neuen BSIG zählen schon Post- und Kurierdienste und Medizinprodukte oder elektrische Ausrüstungen herstellende Unternehmen, wenn die Mitarbeiterzahl dieser Unternehmen 50 übersteigt oder der Jahresumsatz bzw. die Jahresbilanzsumme 10 Millionen Euro übersteigen. Die Mitarbeiter- und Umsatzzahlen der Unternehmensgruppe sind bei der Berechnung mitzuberücksichtigen. Auch Unternehmen aus dem Energiesektor wie Stromlieferanten, Betreiber von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl oder Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas können zu den wichtigen Einrichtungen im Sinne des BSIG zählen, wenn die oben genannten Mitarbeiter- und Umsatzzahlen erreicht werden. Wenn die Mitarbeiterzahl 250 übersteigt oder der Jahresumsatz bzw. die Jahresbilanzsumme 50 bzw. 43 Millionen Euro übersteigen, können Unternehmen aus der Energiebranche sogar zu den besonders wichtigen Einrichtungen zählen.

Wichtige und besonders wichtige Einrichtungen im Sinne des BSIG sind zu einer regelmäßigen Risikoanalyse und zur Umsetzung von technischen und organisatorischen Maßnahmen verpflichtet, die in § 30 Abs. 2 BSIG konkretisiert werden. Dazu zählen Schulungen, Einzelmaßnahmen wie Kryptografie und Verschlüsselung und Maßnahmen zum Schutz der Lieferkette. Sicherheitsvorfälle sind sehr kurzfristig (Frühwarnmeldung binnen 24 h und ausführliche Update-Meldung binnen 72 h) zu melden.

Sowohl wichtige als auch besonders wichtige Einrichtungen haben sich nach §33 BSIG beim Bundesamt für Sicherheit in der Informationstechnik zu registrieren. Die Frist für diese Registrierung lief in Deutschland am 6. März 2026 ab. Das bedeutet natürlich nicht, dass die Registrierung nicht noch nachgeholt werden kann.

Der Unterschied zwischen wichtigen und besonders wichtigen Einrichtungen besteht im Wesentlichen im Umfang der Aufsichtsbefugnisse des Bundesamts für Sicherheit in der Informationstechnik. Die Pflichten sind weitgehend gleich.

Wenn und so weit Unternehmen aus der Energiebranche in den Anwendungsbereich des EnWG fallen, gelten für diese Unternehmen (wie früher auch schon) vorrangige Regelungen zur Cybersicherheit des parallel zum BSIG geänderten EnWG. Zu diesen Unternehmen zählen nach wie vor Betreiber von Energieversorgungsnetzen. Zusätzlich fallen Betreiber von Energieanlagen, die als wichtige oder besonders wichtige Einrichtung nach dem BSIG einzustufen sind und an ein Energieversorgungsnetz angeschlossen sind, unter das EnWG. Diese Unternehmen müssen keine doppelten NIS 2-Maßnahmen nach BSIG umsetzen. Die Anforderungen des EnWG gelten als gleichwertig oder spezieller.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Im Bereich der Energiebranche können beispielsweise Stromlieferanten nicht vom EnWG, sondern nur vom BSIG, reguliert sein.

Eine Registrierung beim Bundesamt für Sicherheit in der Informationstechnik hat durch das unter das EnWG fallende Unternehmen ebenfalls zu erfolgen. Das Bundesamt für Sicherheit in der Informationstechnik leitet diese Informationen an die Bundesnetzagentur weiter, die Behörde, die eigentlich für durch das EnWG regulierte Unternehmen zuständig ist.

Die Bundesnetzagentur bestimmt im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik einen neuen Katalog von Sicherheitsanforderungen für einen angemessenen Schutz der Unternehmen, die unter das EnWG fallen (IT-Sicherheitskatalog).

Für Betreiber kritischer Anlagen, die die Schwellenwerte der BSI-KritisV erreichen, gelten nach § 31 BSIG weitere, zusätzliche Pflichten.

Weitere Gesetze

Ist die Abgrenzung und Umsetzung der von für Unternehmen der Energiebranche bislang benannten Gesetzen und Pflichten schon so sehr komplex, kommen mit dem Cyber Resilience Act und dem KRITIS-Dachgesetz noch weitere Anforderungen auf Unternehmen der Energiebranche hinzu.

Der Cyber Resilience Act etabliert produktbezogene Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Dazu zählen auch Geräte der Energietechnik und Energieinfrastruktur. Die wesentlichen Pflichten dieser Verordnung gelten ab Dezember 2027.

Die CER-Richtlinie wurde in Deutschland durch das KRTIS-Dachgesetz umgesetzt und regelt den physischen Schutz kritischer Anlagen. Zu diesen Anlagen gehören Anlagen, die für die Versorgung der Allgemeinheit mit Energie erheblich sind. NIS-2 (und die damit einhergehende Änderung des EnWG) zielt auf die digitale Welt (IT-Sicherheit). Das Kritis-Dachgesetz soll für den Schutz vor physischen Bedrohungen (Sabotage, Naturkatastrophen, Terror) sorgen.

Über den Autor: RA/FA für Informationstechnologierecht / FA Gewerblicher Rechtsschutz / Zertifizierter Datenschutzbeauftragter (TÜV) Alexander Feitzinger, M.A., ist tätig bei der FPS Rechtsanwaltsgesellschaft mbH & Co. KG in München.

(ID:50803181)

Weiterführende Inhalte