Energie

NIS2-Anforderungen nach Art. 21

1. 01.

   Risikoanalyse und sektorspezifische Sicherheitskonzepte

   Energieversorger müssen netzspezifische Risikoanalysen durchführen, die OT/IT-Übergänge, SCADA-Systeme und die besondere Kritikalität von Versorgungsunterbrechungen berücksichtigen. Risikokonzepte sind jährlich zu aktualisieren.

2. 02.

   Cybersicherheitspflichten nach EnWG § 5c

   Energieanlagenbetreiber unterliegen seit Inkrafttreten des KRITIS-Dachgesetzes den spezifischen Cybersicherheitspflichten gemäß EnWG § 5c. Diese umfassen den Einsatz angemessener technischer und organisatorischer Maßnahmen zum Schutz der Energieversorgungsinfrastruktur.

3. 03.

   BSI-Ansprechpartner-Pflicht nach EnWG § 5d

   Gemäß EnWG § 5d sind Energieinfrastrukturbetreiber verpflichtet, einen jederzeit erreichbaren Ansprechpartner für das BSI zu benennen. Dieser muss sicherheitsrelevante Informationen entgegennehmen und intern weiterleiten können.

4. 04.

   Physische und Cyber-Resilienz nach KRITIS-Dachgesetz

   Das KRITIS-Dachgesetz (in Kraft seit 17.03.2026) verpflichtet Energiebetreiber zur Umsetzung kombinierter physisch-digitaler Resilienzmaßnahmen. Die Anforderungen aus der NCCS (Nationalen Cybersicherheitsstrategie) und dem KRITIS-Dachgesetz überlappen sich — Unternehmen müssen sowohl physischen Zugangsschutz als auch Cyber-Sicherheitsmaßnahmen nachweisen.

5. 05.

   OT/IT-Segmentierung und Incident Response

   Steuerungsnetzwerke (SCADA, ICS) müssen strikt vom IT-Netzwerk getrennt betrieben werden. Vorfallreaktionspläne müssen die besonderen Anforderungen des Energiebetriebs berücksichtigen — insbesondere Netzstabilität und Versorgungskontinuität während eines Sicherheitsvorfalls.

6. 06.

   Sicherheit der Lieferkette (Supply Chain Security)

   Energieversorger müssen die Cybersicherheit ihrer Zulieferer — Anlagenbauer, SCADA-Hersteller, Wartungsdienstleister — systematisch bewerten. Fernzugriffsberechtigungen auf Steuerungssysteme sind besonders restriktiv zu behandeln.

7. 07.

   Meldepflicht bei Sicherheitsvorfällen (BSI 24h/72h)

   Sicherheitsrelevante Vorfälle mit Auswirkung auf die Versorgungssicherheit sind dem BSI innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als vollständige Meldung zu übermitteln. Energieversorger unterliegen hier erhöhter Meldepflicht.

Maßnahmen-Checkliste

• OT/IT-Netzwerksegmentierung: Steuerungsnetze (SCADA, ICS, DCS) vollständig vom IT-Netz isolieren
• SCADA-Härtung: Deaktivierung nicht benötigter Dienste, regelmäßige Patch-Zyklen für Leitstellensoftware
• Notfallpläne für Netzstabilität: Betriebskontinuität auch bei vollständigem Leitstellenausfall sicherstellen
• Redundante Leittechnik: Sekundäre Steuerzentren für kritische Netzknoten einrichten
• Physischer Zugangsschutz für Umspannwerke und Netzleitstellen (Perimetersicherung, Zutrittskontrolle)
• BSI-Ansprechpartner benennen und 24/7-Erreichbarkeit sicherstellen (EnWG § 5d-Pflicht)
• Fernzugriffsprüfung für Wartungsdienstleister: VPN mit MFA, Session-Recording, zeitlich begrenzter Zugang
• Incident-Response-Plan für Energiebetrieb: Eskalationspfade für Netzausfälle und BSI-Meldewege dokumentieren
• Regelmäßige KRITIS-Übungen (Red-Team-Tests für Steuerungssysteme, Tabletop-Exercises für Netzausfall)
• Lieferkettenbewertung: SCADA-Hersteller und Fernwartungsanbieter nach Cybersicherheitsstandards auditieren