NIS2 für Stadtwerke und Energieversorger

Für den Betrieb von Energieversorgungsnetzen und Energieanlagen, die den §§5c–5e EnWG unterliegen, gelten die §§30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§28 Abs. 5 BSIG). An ihre Stelle treten der IT-Sicherheitskatalog der BNetzA (§5c EnWG), Dokumentation und Meldung (§5d EnWG) sowie die Pflichten der Geschäftsleitung (§5e EnWG). Die Registrierung beim BSI nach §33 BSIG bleibt bestehen. Betreibt Ihr Stadtwerk weitere Sparten aus Anlage 1 oder 2 BSIG, etwa Trinkwasser oder Abwasser, gilt für diese Tätigkeiten das BSIG. Legen Sie schriftlich fest, welche Systeme welchem Regime zugeordnet sind, besonders wenn mehrere Sparten gemeinsame IT nutzen.

Für Stadtwerke die zentrale technische Pflicht. Die historische Trennung zwischen Office-IT und OT-Leitsystem reicht nicht: NIS2 fordert dokumentierte Zonen, Default-Deny-Policies und Firewall-Regelwerke für SCADA- und Zähler-Netze. Hinweis: Für den Betrieb von Energieversorgungsnetzen und Energieanlagen gilt nach §28 Abs. 5 BSIG statt §30 BSIG der IT-Sicherheitskatalog der BNetzA (§5c EnWG). Für weitere Sparten wie Wasser oder Abwasser bleibt §30 BSIG maßgeblich.

In der Meldekaskade nach §32 BSIG: 24-Stunden-Frühwarnung, 72-Stunden-Vollmeldung, 1-Monats-Abschlussbericht an das BSI. Auf Anordnung des BSI kann nach §35 BSIG die Unterrichtung der Empfänger Ihrer Dienste hinzukommen. Für den Netz- und Anlagenbetrieb gilt stattdessen §5d Abs. 3 EnWG: gleiche Fristen, Meldung an die BSI-Meldestelle.

Geschäftsführung und Aufsichtsrat müssen Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Persönliche Haftung für unterlassene Überwachung. Für den Netz- und Anlagenbetrieb regelt §5e EnWG die Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitung.

Netz- und Anlagenbetreiber dokumentieren, wie sie die Anforderungen des IT-Sicherheitskatalogs einhalten (§5d Abs. 1 EnWG). Netzbetreiber sowie Anlagenbetreiber, die besonders wichtige Einrichtungen sind, übermitteln diese Dokumentation unverzüglich nach der Erstellung an die BNetzA. Die BNetzA kann einen Mängelbeseitigungsplan verlangen, Fristen zur Beseitigung von Sicherheitsmängeln setzen und Geschäfts- und Betriebsräume zur Prüfung betreten. Auch Netzbetreiber, die weder wichtige noch besonders wichtige Einrichtung sind, mussten sich bis zum 6. März 2026 beim BSI registrieren (§5d Abs. 4 EnWG).

Der angemessene Schutz ist nach §5c Abs. 1 Satz 2 EnWG schon bei der Beschaffung von Anlagengütern und Dienstleistungen sicherzustellen. Für Stadtwerke heißt das: Sicherheitsanforderungen gehören in Ausschreibungen, Lastenhefte und Rahmenverträge für Leit- und Fernwirktechnik sowie für Wartungsdienstleister. Weil solche Systeme meist viele Jahre im Einsatz bleiben, wirken Lücken in der Beschaffung lange nach. Prüfen Sie deshalb laufende Ausschreibungen und anstehende Vertragsverlängerungen zuerst.

Betreibt Ihr Stadtwerk außerhalb des Energiebereichs eine kritische Anlage, etwa in der Trinkwasserversorgung, weisen Sie die Maßnahmen für diese Anlage dem BSI alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nach (§39 Abs. 1 BSIG). Den ersten Termin legt das BSI fest. Für den Netz- und Anlagenbetrieb im Energiebereich gilt §39 BSIG nach §28 Abs. 5 BSIG nicht. Dort prüft die BNetzA auf Grundlage von §5d EnWG.