Branchen · Energie, Wärme, Wasser
NIS2 für Energieversorger und Stadtwerke: BSIG, EnWG und OT
Stromversorgung, Fernwärme, Gas, Wasserstoff, Trinkwasser und Abwasser stehen in Anlage 1 des BSIG. Netzbetreiber setzen den IT-Sicherheitskatalog nach § 5c EnWG um, Wasserversorger die Maßnahmen nach § 30 BSIG. Wir helfen, beides so umzusetzen, dass Leitstellen und Fernwirktechnik abgedeckt sind und sich nachweisen lassen.
// Kurz gesagt
Zwei Rechtsgrundlagen für ein Stadtwerk
Wer ein Energieversorgungsnetz betreibt, folgt dem IT-Sicherheitskatalog der Bundesnetzagentur nach § 5c EnWG, ebenso Betreiber von Energieanlagen am Netz, die besonders wichtige oder wichtige Einrichtungen sind. Mehrere BSIG-Pflichten, darunter die §§ 30, 32, 38 und 39, gelten dafür nicht (§ 28 Abs. 5 BSIG). Für Trinkwasser, Abwasser und andere Tätigkeiten aus den Anlagen gilt dagegen das BSIG.
Stand: 24. September 2026. Quellen: § 5c EnWG, § 28 BSIG, Anlage 1 BSIG.
Welche Regeln für welchen Betrieb
| Betrieb | Was gilt | Grundlage |
|---|---|---|
| Betreiber eines Energieversorgungsnetzes | IT-Sicherheitskatalog der Bundesnetzagentur; die in § 28 Abs. 5 BSIG genannten BSIG-Pflichten entfallen | § 5c Abs. 1 Nr. 1 EnWG, § 28 Abs. 5 BSIG |
| Betreiber einer Energieanlage am Netz oder eines digitalen Energiedienstes, der besonders wichtige oder wichtige Einrichtung ist | IT-Sicherheitskatalog der Bundesnetzagentur | § 5c Abs. 1 Nr. 2 und 3 EnWG |
| Weitere Einrichtungsarten aus Anlage 1, etwa Stromlieferanten, Ladepunktbetreiber, Fernwärme- und Fernkälteversorgung, Wasserstoff | BSIG, Kategorie nach Größe | Anlage 1 Nr. 1, § 28 Abs. 1 und 2 |
| Trinkwasserversorgung und Abwasserbeseitigung | BSIG, außer die Tätigkeit ist nur ein nicht wesentlicher Teil der allgemeinen Tätigkeit | Anlage 1 Nr. 5 |
| Betreiber einer kritischen Anlage in der Wasserversorgung oder Abwasserbeseitigung | Besonders wichtige Einrichtung; Nachweis alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen | § 28 Abs. 1 Nr. 1, § 39 Abs. 1 BSIG |
Betreibt ein Netzbetreiber zusätzlich weitere kritische Anlagen oder übt er Tätigkeiten aus den Anlagen 1 oder 2 aus, gilt dafür wieder das BSIG (§ 28 Abs. 5 Satz 2). Ein Stadtwerk mit Strom, Gas und Wasser arbeitet deshalb meist mit beiden Regelwerken.
Quellen: § 5c EnWG, § 28 BSIG, § 39 BSIG, Anlage 1 BSIG.
Was der IT-Sicherheitskatalog mindestens regelt (§ 5c Abs. 4 EnWG)
Risikoanalyse, Vorfallbewältigung und Wirksamkeitsprüfung
Konzepte für Risikoanalyse und IT-Sicherheit, die Bewältigung von Sicherheitsvorfällen und Verfahren, mit denen Sie die Wirksamkeit der Maßnahmen bewerten. Nachweis: Risikoregister mit Verantwortlichen und ein Übungsprotokoll.
Betrieb aufrechterhalten
Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Nachweis: Ergebnis eines Wiederherstellungstests der Leittechnik mit Datum und Dauer.
Lieferkette und Beschaffung
Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement. Den angemessenen Schutz müssen Sie schon bei der Beschaffung von Anlagengütern und Dienstleistungen sicherstellen (§ 5c Abs. 1). Nachweis: Sicherheitsanforderungen in Ausschreibung und Vertrag.
Zugriff und Authentifizierung
Sicherheit des Personals, Zugriffskontrolle, Management der Anlagen und Multi-Faktor-Authentifizierung. Nachweis: Liste der Fernzugänge mit persönlichen Konten und MFA.
Angriffserkennung und Kryptografie
Der Einsatz von Systemen zur Angriffserkennung nach § 2 Nr. 41 BSIG, Konzepte für Verschlüsselung und Grundregeln der Cyberhygiene mit Schulungen. Nachweis: Alarme aus dem OT-Netz und wie sie bearbeitet wurden.
Einhaltung des Katalogs gilt als angemessener Schutz
Die Bundesnetzagentur legt den Katalog im Einvernehmen mit dem BSI fest und überprüft ihn alle zwei Jahre. Wer ihn einhält, gilt als angemessen geschützt (§ 5c Abs. 2 EnWG). Welche Nachweise zu welchem Bereich passen, zeigt die NIS2-Nachweismatrix.
// OT und Nachweise
Wo bei Energie und Wasser Nachweise fehlen
Die Prüfung fragt nicht nur nach der Richtlinie, sondern danach, wie der Zugang zu Umspannwerken, Pumpwerken und Leitstelle heute aussieht.
Fernwirktechnik am Büronetz
Umspannwerke, Pumpstationen und Hochbehälter hängen über Mobilfunkrouter und VPN-Tunnel am Netz, eingerichtet über Jahre von verschiedenen Dienstleistern. Eine vollständige Liste der Zugangspunkte hat niemand.
Fehlender Nachweis: Plan der Fernverbindungen und Firewall-Regeln mit Prüfdatum.
Fernwartung durch Integratoren und Hersteller
Ein Servicekonto für mehrere Personen beim Dienstleister, das Passwort seit der Inbetriebnahme unverändert.
Fehlender Nachweis: persönliche Konten, Freigabe je Sitzung und Sitzungsprotokoll.
Inventar ohne die Steuerungen im Feld
Das Verzeichnis kennt Server und Laptops, aber keine Steuerungen, Fernwirkstationen und Messgeräte mit Hersteller und Softwarestand. Ohne diese Angaben können Sie auch nicht prüfen, ob eine Komponente als kritische Komponente gilt.
Fehlender Nachweis: Inventar aus passiver Netzbeobachtung, mit Hersteller und Version.
Notbetrieb ohne Übung
Das Verfahren für den Handbetrieb existiert, wurde aber nie in einer Nachtschicht geübt.
Fehlender Nachweis: Ergebnis einer Übung mit Datum, Dauer und Liste der Korrekturen.
// So helfen wir
Leistungen für Energie und Wasser
01Katalog und BSIG
Gap-Analyse mit Leittechnik im Umfang
Gap-Analyse gegen den IT-Sicherheitskatalog oder § 30 BSIG, je nach Sparte, ein Pflichtenregister mit Verantwortlichen und eine Audit-Vorbereitung. Das ist ein Readiness-Assessment, keine Prüfung nach § 39.
NIS2-UmsetzungErster Schritt, 5 Wochen
Eine Sparte, von der Leitstelle bis zur Station
- Gap-Analyse mit Fernwirktechnik und Leittechnik
- Pflichtenregister mit Verantwortlichen
- Plan bis zum nächsten Nachweis
Zentrales Ergebnis: eine Kontrolle im OT-Netz umgesetzt, samt Nachweis, zum Beispiel Fernzugang mit Sitzungsprotokoll
02Architektur
IT und OT nach IEC 62443
Zonen und Conduits, Fernzugang und Sicherungen der Steuerungskonfiguration. Das Review endet mit einem Maßnahmenplan mit Verantwortlichen und Terminen.
IEC 62443 und OT03Tests
Penetrationstests von IT und Kundenportalen
Kundenportale, Apps zur Zählerstandserfassung, Fernzugang und Büronetz. Leittechnik nur passiv oder auf einer Testkopie.
Penetrationstests04Notbetrieb
Business Continuity mit Übung
Business-Impact-Analyse, Handbetrieb, Wiederherstellungstest der Leitsysteme und ein Ergebnis, das Sie der Prüfung vorlegen.
Business Continuity
// Umfang
Was wir tun und was nicht
Umfang und Termin vereinbaren wir vor dem Start schriftlich.
Wir machen
- Zuordnung: welche Sparte unter EnWG, welche unter BSIG fällt
- Maßnahmen und Nachweise, die Leittechnik und Fernwirktechnik abdecken
- Audit-Vorbereitung und Nachprüfung der Korrekturen
- Inventar der Anlagen mit Hersteller und Version
Wir machen nicht
- Aktive Tests an Leitsystemen im laufenden Betrieb
- Formale Prüfungen und Audits: Die führt eine unabhängige Stelle durch, nicht wir
- Ein „NIS2-Zertifikat“: So etwas gibt es nicht
Die FutureCode Evidence Box ist unter anderem für Energie und Wasser entwickelt: Sie läuft in Ihrem Netz ohne Internetzugang und testet aktiv nur auf einer Testkopie, nach unterschriebenen Einsatzregeln.
// FAQ
Fragen aus Energie und Wasser
Wir sind ein Stadtwerk mit Strom, Gas und Wasser. Welche Regeln gelten?
Für die Strom- und Gasnetze der IT-Sicherheitskatalog nach § 5c EnWG, für die Wasserversorgung und Abwasserbeseitigung das BSIG mit den Maßnahmen nach § 30 (§ 28 Abs. 5 Satz 2 BSIG). Betreiben Sie eine kritische Anlage in der Wasserversorgung, kommt der Nachweis alle drei Jahre nach § 39 hinzu. Stand: 24. September 2026.
Was verlangt der IT-Sicherheitskatalog?
§ 5c Abs. 4 EnWG nennt die Mindestinhalte, von der Risikoanalyse über Backup, Lieferkette und Multi-Faktor-Authentifizierung bis zu Systemen zur Angriffserkennung. Den genauen Wortlaut legt die Bundesnetzagentur im Einvernehmen mit dem BSI fest. Wer den Katalog einhält, gilt als angemessen geschützt.
Wasser liefern wir nur nebenbei. Fallen wir trotzdem unter Anlage 1?
Nicht zwingend. Anlage 1 nimmt Lieferanten aus, für die die Lieferung von Trinkwasser ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist, und beim Abwasser Unternehmen, für die Sammlung, Entsorgung oder Behandlung nur ein nicht wesentlicher Teil ist. Zusätzlich können vernachlässigbare Tätigkeiten bei der Zuordnung unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).
Können Sie unsere Leittechnik testen?
Im laufenden Betrieb nur passiv: Wir beobachten Datenverkehr, Konfiguration und Zugänge. Aktive Tests führen wir auf einer Testkopie oder an Ersatzhardware durch, nach unterschriebenen Testregeln. Die Versorgung hat Vorrang vor jedem Test.
Wir haben auch Anlagen in Polen. Was gilt dort?
Das polnische KSC-Gesetz. Energie, Wärme, Gas, Wasserstoff, Trinkwasser und Abwasser stehen dort in Anhang 1. Große Unternehmen sind besonders wichtige Einrichtungen (podmiot kluczowy). Wer das schon am 3. April 2026 war, muss das erste Audit bis zum 3. April 2028 durchführen lassen. Mehr: KSC für Standorte in Polen.
Aus dem Blog: Audit und Risiko
Beginnen wir mit einer Sparte
In 30 Minuten klären wir, welche Sparte unter EnWG und welche unter BSIG fällt, welche Nachweise zuerst fällig sind und mit welcher Anlage Sie anfangen.
30-Minuten-Gespräch vereinbarenLieber zuerst etwas Schriftliches?
Beschreiben Sie Ihr Unternehmen und die Anlagen, mit denen Sie beginnen möchten. Wir schicken Ihnen Umfang und Termin des ersten Schritts. Wir antworten innerhalb eines Arbeitstages.
Ersten Schritt anfragen