NIS2 in der Branche Energieversorger

Energieversorger sind die Branche, die am wenigsten von NIS2 überrascht wurde — und trotzdem am meisten Abgrenzungsarbeit hat. Denn hier treffen mehrere Regime aufeinander.

Sind Sie betroffen?

Anlage 1 nennt Elektrizität in ganzer Breite: Versorger, Verteilernetz- und Übertragungsnetzbetreiber, Erzeuger, Strommarktakteure und Betreiber von Ladepunkten. Dazu Fernwärme und Fernkälte, Erdöl, Erdgas und Wasserstoff.

Ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz sind Sie besonders wichtige Einrichtung. Das bedeutet: Das BSI kann proaktiv prüfen, also Vor-Ort-Prüfungen und Sicherheitsaudits auch ohne konkreten Anlass durchführen. Der Bußgeldrahmen liegt bei bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes.

Die Abgrenzung, die zuerst geklärt gehört

Drei Regime können parallel greifen: die KRITIS-Pflichten für Betreiber oberhalb der Schwellenwerte der BSI-KritisV, die Anforderungen nach § 11 EnWG mit dem IT-Sicherheitskatalog der Bundesnetzagentur, und NIS2. Sie überschneiden sich inhaltlich stark, sind aber nicht deckungsgleich — insbesondere bei Meldewegen und Nachweispflichten. Klären Sie früh, welche Pflicht welchen Nachweis verlangt, sonst dokumentieren Sie dreimal dasselbe in drei Formaten.

Der Vorteil: Wer den IT-Sicherheitskatalog nach EnWG bereits umgesetzt hat, deckt große Teile des § 30 BSIG ab.

Die Lücken, die hier typisch sind

Fernwirktechnik mit langen Lebenszyklen. Steuerungstechnik in Umspannwerken und Anlagen läuft über Jahrzehnte, teils mit Protokollen ohne Authentifizierung. Der Austausch ist keine Option, dokumentierte kompensierende Maßnahmen sind es.

Dezentrale Erzeugung als erweiterte Angriffsfläche. Wind- und Solarparks sind fernüberwacht angebunden, oft über Anlagenhersteller-Portale, deren Sicherheitsniveau der Versorger nicht kontrolliert — ein klarer Fall für Lieferkettensicherheit.

Smart-Meter-Infrastruktur. Die Anbindung der Messstellen erweitert die Angriffsfläche in die Fläche hinein.

IT und OT organisatorisch getrennt. Häufig verantworten unterschiedliche Bereiche Büro-IT und Leittechnik, mit getrennten Prozessen und ohne gemeinsamen Incident-Response-Plan. Im Vorfall kostet das die entscheidenden ersten Stunden.

Ein realistisches Szenario

Ein Stadtwerk mit 300 Beschäftigten — Strom, Gas, Wasser, Fernwärme — bemerkt ungewöhnliche Zugriffe auf das Fernwirknetz. Der Verdacht auf Kompromittierung steht im Raum, die Versorgung läuft weiter.

Auch ohne Ausfall kann die Erheblichkeitsschwelle des § 32 BSIG erreicht sein, denn maßgeblich ist das Potenzial für schwerwiegende Betriebsstörungen. Die Frühwarnung ist binnen 24 Stunden fällig. Als besonders wichtige Einrichtung muss das Stadtwerk zudem damit rechnen, dass die Aufsicht anschließend Nachweise über die Wirksamkeit der Maßnahmen anfordert — nicht nur zum Vorfall selbst.

Womit anfangen

Wenn Sie bereits unter KRITIS oder § 11 EnWG fallen, beginnen Sie mit einem Abgleich statt bei null: Welche Nachweise haben Sie, welche verlangt § 30 BSIG zusätzlich? Die Gap-Analyse über die zehn Maßnahmenbereiche macht diese Delta-Betrachtung strukturiert.

Die zehn Maßnahmenbereiche beim Energieversorger

Risikoanalyse. Leittechnik, Fernwirktechnik, Stationsautomatisierung, Smart-Meter-Gateway-Administration und die Anbindung dezentraler Erzeugungsanlagen gehören verpflichtend in den Betrachtungsumfang. Wer bereits eine Risikoanalyse nach IT-Sicherheitskatalog hat, kann sie erweitern statt neu erstellen.

Bewältigung von Sicherheitsvorfällen. Der Plan muss IT und OT zusammenführen. Wo Büro-IT und Leittechnik von unterschiedlichen Bereichen verantwortet werden, braucht es eine gemeinsame Eskalation mit klarer Entscheidungsbefugnis.

Aufrechterhaltung des Betriebs. Für die Leitstelle brauchen Sie ein Ausfallszenario mit Rückfallebene. Sichern Sie ausdrücklich die Parametrierung der Fernwirktechnik, nicht nur Serverabbilder.

Sicherheit der Lieferkette. Kritisch sind die Fernzugänge der Hersteller von Leit- und Fernwirktechnik sowie die Hersteller-Portale, über die dezentrale Erzeugungsanlagen überwacht werden.

Beschaffung und Wartung. Sekundärtechnik hat Lebenszyklen von 20 Jahren und mehr. Sicherheitsanforderungen im Lastenheft sind hier der wirksamste langfristige Hebel.

Wirksamkeitsprüfung. Nutzen Sie den bestehenden Audit-Zyklus aus KRITIS oder IT-Sicherheitskatalog und ergänzen Sie die NIS2-Delta-Themen, statt einen dritten Prüfrhythmus einzuführen.

Cyberhygiene und Schulungen. Für Leitstellenpersonal und Instandhaltung sind andere Inhalte nötig als für die Verwaltung: Umgang mit Servicetechnikern, Wechseldatenträger in Stationen, Meldeweg bei auffälligem Anlagenverhalten.

Kryptografie. Priorität haben Fernwirkverbindungen und die Kommunikation mit Marktpartnern.

Personalsicherheit und Zugriffskontrolle. Sammelkonten in Leitstellen sind ein regelmäßiger Befund. Wo Schichtbetrieb personalisierte Anmeldung erschwert, braucht es dokumentierte kompensierende Maßnahmen.

Multi-Faktor-Authentifizierung. Zuerst für alle Fernzugänge in die OT und für administrative Konten.

Die ersten 90 Tage

Tage 1 bis 14. Abgrenzung klären: Welche Pflichten treffen Sie aus KRITIS, § 11 EnWG und NIS2? Betroffenheit und Einstufung dokumentieren, BSI-Registrierung prüfen und gegebenenfalls nachholen.

Tage 15 bis 45. Delta-Analyse gegen vorhandene Nachweise statt Gap-Analyse bei null. Meldeprozess so aufsetzen, dass er die Meldewege aus allen einschlägigen Regimen parallel bedient.

Tage 46 bis 90. Gemeinsamen Incident-Response-Plan für IT und OT verabschieden und einmal üben. Fernzugänge inventarisieren und mit Multi-Faktor-Authentifizierung absichern. Geschäftsführungsschulung dokumentieren.

Häufige Fragen von Energieversorgern

Wir sind bereits KRITIS-Betreiber. Ändert NIS2 etwas?

Ja. NIS2 erweitert vor allem den Kreis der Betroffenen, die Meldewege und die ausdrücklichen Geschäftsleiterpflichten nach § 38 BSIG. Inhaltlich überschneiden sich die Maßnahmen stark — die Arbeit liegt im Abgleich, nicht im Neuaufbau.

Ist ein Verdachtsfall ohne Versorgungsunterbrechung meldepflichtig?

Möglicherweise ja. Maßgeblich ist, ob der Vorfall schwerwiegende Betriebsstörungen verursachen kann. Bei einem Verdacht auf Kompromittierung des Fernwirknetzes ist dieses Potenzial regelmäßig gegeben.

Gelten die Pflichten auch für unsere Erzeugungstochter mit 40 Beschäftigten?

Bei der Größenbestimmung zählen verbundene Unternehmen mit, sodass die Tochter über den Konzernverbund erfasst sein kann. Wer registrierungs- und meldepflichtig ist, hängt von der Gesellschaftsstruktur ab und gehört rechtlich geprüft.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Bei bestehenden KRITIS- oder EnWG-Pflichten liegt der Zusatzaufwand überwiegend im Abgleich und in den formalen Delta-Themen: 0,2 bis 0,3 Personenstellen über drei bis vier Monate. Ohne Vorarbeit ist der Aufwand ein Vielfaches.

Technische Investitionen. Die Absicherung der Fernzugänge in die OT und die Multi-Faktor-Authentifizierung sind vergleichsweise günstig. Teuer wird die Modernisierung von Sekundärtechnik — hier ist der übliche Weg die dokumentierte kompensierende Maßnahme statt des Austauschs.

Was die Aufsicht typischerweise sehen will. Als besonders wichtige Einrichtung müssen Sie mit proaktiver Prüfung rechnen: die Risikoanalyse einschließlich Leit- und Fernwirktechnik, den gemeinsamen Incident-Response-Plan für IT und OT mit Übungsnachweis, das Ausfallszenario der Leitstelle, die Übersicht der Herstellerzugänge, die Wirksamkeitsprüfung mit Datum und Ergebnis sowie die Geschäftsführungsschulung.

Die Mehrfachregulierung im Griff behalten. Der wirksamste organisatorische Schritt ist ein Nachweisregister, das je Dokument festhält, welche Pflicht es bedient — KRITIS, § 11 EnWG, NIS2. Ohne dieses Register entstehen drei Dokumentenwelten mit demselben Inhalt und unterschiedlichen Ständen.

Was Sie sich sparen können. Einen dritten Prüfzyklus. Nutzen Sie den bestehenden Audit-Rhythmus und erweitern Sie den Prüfumfang, statt einen eigenen NIS2-Turnus einzuführen.