Mobile-Menu

NIS-2-Umsetzungsgesetz erweitert EnWG-Anforderungen Virtuelle Kraftwerke mit NIS 2 jetzt im Fokus der Regulierung

Ein Gastbeitrag von Markus Jegelka 5 min Lesedauer

Anbieter zum Thema

DQS GmbH
FTAPI Software GmbH
cyberintelligence.institute GmbH

Das NIS-2-Umsetzungsgesetz erweitert die Anforderungen im Ener­gie­wirt­schafts­ge­setz (EnWG). Erstmals fallen auch digitale Energiedienste wie virtuelle Kraftwerke unter die Regulierung. Der neue IT-Sicherheitskatalog fordert Risikomanagement, Systeme zur Angriffserkennung und sichere Komponenten nach EU Cybersecurity Act. ISO 27001, 27019 und 22301 bilden das Fundament.

Digitale Energiedienste wie virtuelle Kraftwerke fallen mit NIS 2 erstmals unter neue IT-Sicherheitskataloge mit erweiterten Nachweispflichten.(Bild: © Sepia100 - stock.adobe.com)
Digitale Energiedienste wie virtuelle Kraftwerke fallen mit NIS 2 erstmals unter neue IT-Sicherheitskataloge mit erweiterten Nachweispflichten.
(Bild: © Sepia100 - stock.adobe.com)

Während der Brandanschlag auf eine Kabelbrücke in Berlin Anfang dieses Jahres bundesweit für Schlagzeilen gesorgt hat, ist eine andere Nachricht hierzulande kaum wahrgenommen worden: Nur wenige Tage zuvor stand unser Nachbarland Polen kurz vor einem landesweiten Blackout – laut Vize-Ministerpräsident Krzysztof Gawkowski verursacht durch einen russischen Cyberangriff. Derartige Sabotage-Akte verleihen der regulatorischen Absicht der NIS-2-Richtlinie, die Cyberresilienz unter anderem auch im Energiesektor weiter zu erhöhen, erneut Nachdruck.

Das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) der Bundesregierung ist am 6. Dezember 2025 als sogenanntes Artikelgesetz veröffentlicht worden. Zahlreiche bestehende Gesetze werden angepasst, allen voran das „Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG)“, aber eben auch das Energiewirtschaftsgesetz. Für die Energiewirtschaft werden die bisherigen Anforderungen der § 11 Abs. 1a/1b EnWG a.F. (alte Fassung) in den § 5c EnWG n.F. (neue Fassung) umgezogen. Die bestehenden Anforderungen an die IT-Sicherheit werden hier neu strukturiert und erweitert.

Wie bislang auch werden die angemessenen Schutzanforderungen von der Bundesnetzagentur (BNetzA) im IT-Sicherheitskatalog bestimmt, allerdings – und das ist in dieser Deutlichkeit neu – im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Diese stärkere Bindung an das BSI ist Stand März 2026 aber noch herzustellen. Die BNetzA verweist daher darauf, dass bis zur Veröffentlichung eines neuen IT Sicherheitskatalogs – geplant ist derzeit ein einheitlicher Katalog – die bisherigen IT Sicherheitskataloge nach § 11 Abs. 1a/1b EnWG a.F. übergangsweise für die bestehenden Adressaten gelten.

Wer ist von den neuen Regelungen betroffen?

Stichwort Adressaten: Bisher konzentrierten sich die regulatorischen Anforderungen auf Netz- und Anlagenbetreiber. Mit dem Inkrafttreten des neuen IT-Sicherheitskatalogs erweitert sich dieser Kreis um die sogenannten digitalen Energiedienste. Hierunter fallen insbesondere virtuelle Kraftwerke, also der Zusammenschluss vieler dezentraler Energieanlagen wie etwa Photovoltaik- oder Windparks. Diese „Aggregatoren“ hatten als Betreiber Kritischer Infrastrukturen bisher eine Nachweispflicht gegenüber dem BSI, die nun entfällt. Stattdessen werden für digitale Energiedienste neue Nachweispflichten und Fristen nach dem neuen IT-Sicherheitskatalog gelten.

Der neue IT-Sicherheitskatalog: Komplexe Anforderungen für Betreiber

Einer der wesentlichen Punkte des neuen § 5c Abs. 3 EnWG ist, dass der künftige IT Sicherheitskatalog ein dem jeweiligen Risiko angemessenes Sicherheitsniveau für informationstechnische Systeme, Komponenten und Prozesse vorsieht. Die Anforderungen im IT Sicherheitskatalog müssen sich dabei an einschlägigen europäischen und internationalen Normen orientieren, den Stand der Technik berücksichtigen und zugleich die wirtschaftlich vertretbaren Umsetzungskosten im Blick behalten.

Zu den im gleichen Paragrafen formulierten Mindestvorgaben des IT-Sicherheitskatalogs – die den Risikomanagementanforderungen der NIS-2-Richtline und des neuen BSIG entsprechen – gehören unter anderem: Risikomanagement sowie Incident- und Business Continuity-Management, die Sicherheit der Lieferkette, Maßnahmen zur Cyberhygiene oder Schutzmechanismen wie MFA und Verschlüsselung.

Dieser Anforderungsrahmen für den neuen IT-Sicherheitskatalog enthält dabei wesentliche Elemente, die Informationssicherheits-Managementsysteme (ISMS) nach ISO/IEC 27001 in Verbindung mit der branchenspezifischen ISO/IEC 27019 grundsätzlich bereits erfüllen. Wer zuvor bereits unter die IT-Sicherheitskataloge fiel und ein zertifiziertes ISMS nachweisen musste, verfügt somit über eine solide Basis. Und erstmalig betroffene Betreiber werden die erwähnten Normen zukünftig über die neue IT-Sicherheitskataloge berücksichtigen müssen.

Fokus auf Systemen zur Angriffserkennung

Weiterhin wird der Einsatz von Systemen zur Angriffserkennung (SzA) zum integralen Bestandteil des neuen IT-Sicherheitskatalogs. SzA erkennen Anomalien und bekannte Bedrohungen in IT/OT-Infrastrukturen, um die Integrität und Verfügbarkeit kritischer Energieversorgungssysteme sicherzustellen. Das bisher eigenständige Prüfverfahren gegenüber BSI bzw. BNetzA wird entfallen und der Umsetzungsnachweis der entsprechenden SzA-Anforderungen wird Teil des IT-Sicherheitskatalogs.

Der bereits im alten IT Sicherheitskatalog geforderte Netzstrukturplan bildet dabei genau die Systemlandschaft und Kommunikationsbeziehungen ab, in denen SzA Systeme zu verorten sind (Leitsysteme, Kommunikation, Fernwirktechnik, externe Dienstleister). Ohne derartige Netzstrukturpläne lässt sich nicht nachvollziehbar begründen, ob SzA angemessen platziert, sicherheitsrelevante Segmente abgedeckt und Schnittstellen zu Drittanbieter-Diensten oder Office-IT berücksichtigt sind. Die Betreiber werden also nicht umhinkommen, ihre kritischen IT-/OT-Systeme dementsprechend darzustellen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Der Gesetzgeber konzentriert sich aber nicht allein auf SzA und die Netzwerkstrukturen insgesamt, sondern auch auf die einzelnen Bestandteile.

Sichere Komponenten: Cybersicherheitszertifizierung gefordert

Der neue IT‑Sicherheitskatalog enthält erstmals auch konkrete Vorgaben zum Einsatz sogenannter sicherer Komponenten. Gemeint sind IKT-Produkte, -Dienste und -Prozesse mit Zertifizierung nach dem EU-Cybersecurity Act. Das ISMS hat diese zu berücksichtigen, was insbesondere Beschaffungs- und Change-Prozesse für sicherheitskritische Funktionen sowie dokumentierte Kriterien zur Auswahl, Überwachung und Rezertifizierung solcher Komponenten umfasst.

Konkret sind also Beschaffungsrichtlinien, das Lieferantenmanagement und die Vertragsgestaltung anzupassen. Strategisch müssen sich betroffene Betreiber mit späteren Austauschpflichten und neben den Sicherheitsaspekten auch mit sog. Lock-In-Risiken, d.h. Interoperabilität, Wechselmöglichkeiten und Vermeidung einseitiger Herstellerabhängigkeiten, auseinandersetzen.

Der Bezug zum neuen KRITIS-Dachgesetz (KRITIS-DachG-E)

NIS‑2 und der IT‑Sicherheitskatalog adressieren vorrangig Anforderungen an die Cyber‑ und Informationssicherheit der Betreiber. Darüber hinaus verlangt das KRITIS‑DachG-E in der aktuellen Beschlussfassung vom 29. Januar 2026 nun auch eigenständige Nachweise zur physischen und gesamtbetrieblichen Resilienz kritischer Anlagen. Betreiber müssen künftig auch bewerten, wie widerstandsfähig ihre Anlagen gegenüber Naturereignissen, physischen Angriffen, Sabotage oder länger andauernden Ausfällen sind – man denke hier noch einmal an den Vorfall in Berlin – und entsprechende Resilienzpläne nachweisen. Der IT-Sicherheitskatalog der BNetzA soll dabei als Grundlage für eine einheitliche Nachweisführung der IT Sicherheitsanforderungen und Resilienzpflichten in den Bereichen Strom, Erdgas und Wasserstoff dienen.

Für betroffene Betreiber wichtig zu wissen: Die Vorgaben korrespondieren inhaltlich mit den Anforderungen an ein Business Continuity Management System nach ISO 22301. Die Norm und deren Maßnahmen basieren dabei auf den gleichen Grundprinzipien wie die ISO 27001, lassen sich für Betreiber also in einem integrierten Managementsystem mit ihrem ISMS verbinden. Insgesamt bilden die drei Normen ISO 27001, 27019 und 22301 ein starkes Fundament, um sowohl die Vorgaben des novellierten EnWG als auch des KRITIS-DachG-E effizient umzusetzen.

Über den Autor: Markus Jegelka ist DQS-Produktexperte für Informationssicherheits-Managementsysteme (ISMS) und langjähriger Auditor für die Regelwerke ISO 9001, ISO/IEC 27001 sowie IT-Sicherheitskataloge § 11 Abs. 1a/b EnWG mit Prüfverfahrenskompetenz für § 8a (3) BSIG.

(ID:50797587)

Weiterführende Inhalte