Energie folgt teilweise eigenen Regeln
Für Betreiber von Energieversorgungsnetzen, Energieanlagen und digitalen Energiediensten gelten sektorale Regelungen des Energiewirtschaftsgesetzes. Das BSI-Gesetz enthält deshalb Abgrenzungen: Bestimmte Pflichten werden für diese Tätigkeiten durch die §§ 5c bis 5e EnWG ersetzt. Betreibt dieselbe Einrichtung darüber hinaus weitere kritische Anlagen oder relevante Tätigkeiten, muss die Abgrenzung je Tätigkeit genau geprüft werden. Ein Firmenname genügt dafür nicht.
Seit dem Inkrafttreten der deutschen NIS2-Umsetzung am 6. Dezember 2025 ist nicht mehr der Referentenentwurf maßgeblich. Entscheidend sind geltendes BSI-Gesetz, Energiewirtschaftsgesetz und die jeweils aktuellen Festlegungen der Bundesnetzagentur. Ältere Beiträge können den Gesetzgebungsverlauf erklären, sollten aber nicht als Arbeitsanweisung verwendet werden. Recht ändert sich gelegentlich schneller als eine interne PDF-Sammlung.
Der erste sinnvolle Schritt ist daher eine belastbare Zuständigkeitskarte. Sie ordnet Netze, Anlagen, digitale Energiedienste, weitere Geschäftsfelder und rechtliche Einheiten den jeweils einschlägigen Regeln zu. Dazu gehören Aufsicht, Registrierung, Meldestelle und interne Verantwortung. Wo mehrere Regelwerke zusammentreffen, sollte dokumentiert sein, welche Pflicht über welche betriebliche Maßnahme erfüllt wird.
IT-Sicherheitskataloge werden weiterentwickelt
Die Bundesnetzagentur hat Anfang 2026 gemeinsam mit dem BSI die Überarbeitung der IT-Sicherheitskataloge begonnen. Nach den veröffentlichten Informationen soll damit die NIS2-Umsetzung im Energiesektor konkretisiert werden; für digitale Energiedienste wurde eine Konsultation für den Herbst 2026 in Aussicht gestellt. Der genaue Stand ist vor Entscheidungen auf der Seite der Bundesnetzagentur zu prüfen, denn Konsultation, Festlegung und Inkrafttreten sind verschiedene Dinge.
Unternehmen sollten die geltenden Kataloge und Festlegungen weiter erfüllen und zugleich die Entwicklung beobachten. Ein erwarteter neuer Katalog ist kein Grund, bis dahin nichts zu tun. Risikomanagement, Zugriffsschutz, Vorfallbehandlung und Wiederherstellung sind bereits heute betriebliche Notwendigkeiten. Später geänderte Detailanforderungen lassen sich leichter in einen funktionierenden Prozess einbauen als in eine Sammlung unerledigter Grundsatzfragen.
Für die Praxis empfiehlt sich ein geregeltes Rechts- und Anforderungsmonitoring. Eine benannte Rolle bewertet neue Veröffentlichungen, ordnet Handlungsbedarf zu und berichtet über Entscheidungen. Das muss kein wöchentliches Großprojekt werden. Es sollte nur verlässlich verhindern, dass eine relevante Festlegung zufällig im Postfach einer Person endet, die gerade Urlaub hat.
Digitale Energiedienste erweitern den Blick
Steuerbare Verbrauchseinrichtungen, vernetzte Erzeugungsanlagen, Smart-Meter-Infrastrukturen und zentrale Zugriffe verbinden Energieversorgung und Informationstechnik immer enger. Risiken entstehen nicht nur im klassischen Netzbetrieb, sondern auch durch Plattformen, Schnittstellen, Fernwartung, Identitäten und Dienstleister. Ein Ausfall kann Messung, Steuerung, Abrechnung oder Versorgung betreffen. Die technische Grenze des Systems ist daher nicht automatisch die Grenze des geschäftlichen Risikos.
Besonders wichtig sind Übergänge zwischen Leit- und Automatisierungstechnik, Büro-IT und externen Diensten. Dort müssen Netze sinnvoll getrennt, Datenflüsse bekannt und Zugänge kontrolliert sein. Fernwartung benötigt starke Authentisierung, begrenzte Rechte, Protokollierung und einen klaren Freigabeprozess. Bei Altanlagen können kompensierende Maßnahmen nötig sein, wenn ein Update nicht kurzfristig möglich ist.
Auch die Lieferkette gehört in das Risikobild. Viele Leistungen hängen von spezialisierten Herstellern, Telekommunikation, Cloud-Angeboten oder wenigen verfügbaren Fachkräften ab. Verträge sollten Sicherheitsanforderungen, Meldefristen, Mitwirkung im Vorfall, Rechte zur Prüfung und einen geordneten Ausstieg behandeln. Papier allein schützt keine Anlage, aber unklare Zuständigkeiten erschweren jeden Vorfall zuverlässig.
Meldewege und Wiederanlauf praktisch vorbereiten
Ein erheblicher Sicherheitsvorfall verlangt schnelle technische und organisatorische Entscheidungen. Deshalb müssen Meldestelle, Bereitschaft, Geschäftsleitung, Kommunikation und gegebenenfalls Behördenkontakt vorab geklärt sein. Welche Informationen liegen nach wenigen Stunden tatsächlich vor? Wer bewertet Auswirkungen auf Versorgung und Dienste? Wer darf extern kommunizieren? Diese Fragen sollten beantwortet sein, bevor die Lage unübersichtlich wird.
- Anwendungsbereich von BSI-Gesetz und EnWG je Tätigkeit dokumentieren.
- Aktuelle IT-Sicherheitskataloge und Festlegungen der Bundesnetzagentur verfolgen.
- Meldewege technisch und organisatorisch vorbereiten und mit Vertretungen versehen.
- Fernzugriffe, Identitäten und Abhängigkeiten digitaler Energiedienste bewerten.
- Wiederanlauf und Kommunikation gemeinsam mit technischen und kaufmännischen Rollen üben.
- Kritische Dienstleister nach ihrer Wirkung auf den Versorgungsbetrieb priorisieren.
Wiederherstellung umfasst mehr als Datensicherungen. Für Energieanlagen zählen bekannte Konfigurationen, Ersatzkomponenten, Kommunikationswege, manuelle Betriebsverfahren und erreichbare Spezialisten. Übungen sollten einen realistischen Ausfall annehmen und auch Schichtwechsel, Wochenende oder eingeschränkte Kommunikation berücksichtigen. Ein Plan, der nur montags zwischen neun und fünf funktioniert, ist eher eine Büroordnung als Krisenvorsorge.
Führung verbindet Sicherheit und Versorgung
Die Leitung braucht ein gemeinsames Bild aus Versorgungskritikalität, Cyberrisiko und regulatorischer Pflicht. Sie muss erkennen können, welche Dienste unverzichtbar sind, welche Risiken akzeptiert wurden und wo eine Maßnahme nicht wirkt. Berichte sollten deshalb Folgen und Entscheidungsbedarf zeigen, nicht nur technische Kennzahlen. Zehntausend blockierte Ereignisse sagen wenig darüber aus, ob ein zentraler Fernzugang angemessen geschützt ist.
Gute Steuerung verbindet bestehende Systeme, statt für jedes Regelwerk eine eigene Parallelwelt aufzubauen. Ein Risiko kann Anforderungen aus EnWG, BSI-Gesetz, Datenschutz und betrieblicher Kontinuität berühren. Die Nachweise dürfen unterschiedlich sein, das zugrunde liegende Verständnis sollte gemeinsam bleiben.
Ein weiterer Punkt ist die Trennung zwischen rechtlicher Einstufung und betrieblicher Kritikalität. Eine Anlage kann für den eigenen Versorgungsauftrag unverzichtbar sein, auch wenn eine einzelne regulatorische Schwelle nicht erreicht wird. Umgekehrt macht die formale Erfassung nicht jedes System gleich kritisch. Das Risikomanagement sollte deshalb gesetzliche Pflichten erfüllen und trotzdem nach tatsächlicher Wirkung priorisieren.
Messbar wird die Umsetzung durch konkrete Fragen: Sind privilegierte Zugänge aktuell? Wurde ein Wiederanlauf unter realistischen Bedingungen erprobt? Kann die Bereitschaft einen Vorfall auch ohne das normale Kommunikationssystem koordinieren? Werden Schwachstellen und Abweichungen mit Frist und Verantwortung verfolgt? Solche Nachweise helfen der Aufsicht, vor allem aber dem eigenen Betrieb.
Dabei lohnt es sich, vorhandene Managementsysteme zu nutzen. Risiko-, Notfall-, Qualitäts- und Informationssicherheitsprozesse müssen nicht künstlich verdoppelt werden. Entscheidend ist, dass Anforderungen eindeutig zugeordnet und Lücken sichtbar sind. Ein neues Gesetz erzeugt nicht automatisch einen neuen Betriebsprozess; manchmal genügt es, den bestehenden endlich konsequent zu Ende zu denken.
Kurz gesagt
Energieversorger müssen sektorale Regeln und NIS2 zusammen betrachten. Dafür braucht es eine dokumentierte Abgrenzung nach Tätigkeit, ein gemeinsames Risikobild und die laufende Beobachtung der überarbeiteten IT-Sicherheitskataloge. Digitale Energiedienste, externe Zugänge und spezialisierte Lieferanten gehören ausdrücklich dazu. Wer Meldeweg und Wiederanlauf praktisch übt, gewinnt nicht nur regulatorische Sicherheit. Er verbessert die Fähigkeit, Versorgung auch dann aufrechtzuerhalten, wenn Technik und Organisation gleichzeitig gefordert sind.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: