EnWG Sicherheitskataloge

Übersicht IT-Sicherheitskataloge

Die Bundesnetzagentur (BNetzA) hat für EnWG-regulierte Betreiber Mitte der 2010er-Jahre zwei Kataloge mit Sicherheits­anforderungen erstellt, die 1a und 1b Kataloge. Mit NIS2 und KRITIS-Dachgesetz wird es diverse neue Kataloge geben müssen – Entwürfe sind bisher nicht bekannt.

IT-Sicherheits­katalog Anlagen und Netze

Mit der NIS2-Umsetzung muss es ab 2026 einen oder mehrere neue IT-Sicherheitskataloge nach §5c EnWG geben, als Ersatz für die bestehenden Kataloge.

2025 hat die BNetzA eine turnusmäßige Überarbeitung und Konsolidierung der bestehenden §11 EnWG-Kataloge in einen Katalog angestoßen. Pflichten und Maßnahmen für Cybersicherheit (NIS2) und Resilienz (KRITIS-DachG) wurden in Teilen vorgegriffen, allerdings ohne inhaltliche Vollständigkeit.

Mit dem Wegfall von §11 ist die gesetzliche Grundlage für konsolidierten Katalog aus 2025 entfallen. Es ist denkbar, dass die BNetzA die neuen, nach NIS2/EnWG notwendigen IT-Sicherheitskataloge auf Basis des Konsultationspapiers aufbaut. Entwürfe sind bisher nicht bekannt.

Konsultationsverfahren

Das Konsultationsverfahren der §11 EnWG-Kataloge durch die Bundesnetzagentur wurde im Juni 2025 abgeschlossen. Zuvor wurde ein Konsultationspapier der BNetzA veröffentlicht. Eine neue verbindliche Fassung der vorherigen IT-Sicherheitskataloge wurde nach der Konsultation bislang nicht erlassen.

Aufbau

Das Eckpunkte-Papier der BNetzA von Mai 2025 ist wie folgt gegliedert:

• Eckpunkte (Festlegungen): Allgemeine Definitionen zu Anforderungen an regulierte Betreiber und Festlegungen zum Verfahren mit dem IT-Sicherheitskatalog
• Anlage 1 (Energienetze): Spezifische Vorgaben und Pflichten (Zertifizierung) für Betreiber regulierter Energienetze (§11 (1a) EnWG)
• Anlage 2 (Energieanlagen): Spezifische Vorgaben und Pflichten (Zertifizierung) für Betreiber regulierter Energieanlagen (§11 (1b) EnWG)
• Anlage 3 (Maßnahmen): Allgemeine Maßnahmen für Cybersecurity und Resilienz
• Anlage 4 (Begriffe): Definitionen und Begriffsbestimmungen, kritische Funktionen

Betroffenheit

Die Logik, nach der Betreiber (Einrichtungen) den IT-Sicherheitskatalog Energie umsetzen müssen, bleibt gleich: Betreiber bestimmter Energieanlagen und -netze, die in KRITIS (Schwellenwerte) und dem EnWG definiert sind, fallen unter das EnWG und müssen dessen Vorgaben und Kataloge umsetzen.

Dies wird sich mit der vollständigen NIS2-Umsetzung noch erweitern – der Scope von Einrichtungen im Energiesektor, die unter das EnWG und IT-Sicherheitskataloge fallen, wird sich deutlich erhöhen.

Verantwortung

Der neue IT-Sicherheitskatalog betrifft regulierte Energiebetreiber und deren Betriebsführer gleichermaßen. Die (Haupt-)Verantwortung für den den zuverlässigen Betrieb der Anlage bleibt beim Betreiber, auch wenn Betriebsführer den tatsächlichen Betrieb organisieren.

Nutzen Betreiber im Betrieb ihrer Anlagen und Netze Dritte für die operative oder technische Betriebsführung, brauchen beide (Betreiber und Betriebsführer) ein zertifizierungspflichtiges ISMS, außer in Konzernverbünden, wo gemeinsame ISMS gestattet sind.

Zertifizierung

Für regulierte Betreiber von Energienetzen und Energieanlagen besteht weiterhin die Pflicht einer Zertifizierung nach IT-Sicherheitskatalog ‐ inhaltlich ähnelt diese stark einer Zertifizierung nach ISO/IEC 27001, jedoch ist keine native ISO 27001-Zertifizierung ausreichend, da für den IT-Sicherheitskatalog ein eigenes Zertifizierungsschema vorgeschrieben ist. Der Nachweis muss von DAkkS-akkreditierten Zertifizierungsstelle erbracht werden.

Im zertifizierten ISMS müssen die Umsetzungsempfehlungen (Controls) der ISO/IEC 27002 und ISO/IEC 27019 berücksichtigt werden. Der Nachweis an die BNetzA umfasst das Zertifikat, das Statement of Applicability (SoA) und die Identifikation der kritischen Prozesse.

Die Zertifizierungspflicht betrifft Netze und Anlagen. Anlage 1 (B) Anlage 2 (B)

Geltungsbereich

Der neue IT-Sicherheitskatalog legt zwei verschiedene Geltungsbereiche bei EnWG-Betreibern fest:

1. Zertifizierter Bereich: Der von einem zertifizierten ISMS abgedeckte Bereich umfasst (mindestens) alle kritischen Systeme, die für die kritischen Prozesse im Netzbetrieb oder Anlagenbetrieb notwendig sind. Anlage 1 (B) Anlage 2 (B)
   Hier gelten die in Anlage 1 gefassten Vorgaben zu IT-Sicherheitsmaßnahmen und ISO 27001 pp.
2. Übrige Systeme: Für die Systeme, die sich außerhalb des Geltungsbereichs befinden oder nicht-kritische Systeme muss der Betreiber allgemein anerkannte, verhältnismäßige Maßnahmen nach dem Stand Technik umsetzen. Anlage 3

Die Methode zur Bestimmung der kritischen Systeme im Geltungsbereich ist im aktuellen Entwurf etwas unorthodox eher bottom-up skizziert:

• Sämtliche Systeme des Betreibers und Betriebsführers müssen auf Notwendigkeit für kritische Prozesse untersucht werden.
• Systeme sind für einen kritischen Prozess notwendig, wenn ihre Ausfalltoleranz (für diesen Prozess?) weniger als 24 Stunden ist.
• Die so identifizierten Systeme sind dann die kritischen Systeme im Geltungsbereich
• Schnittstellen zu Systeme, die nicht im Geltungsbereich sind, müssen identifiziert werden

Dieser Prozess läßt mithin außen vor, wie kritische Prozesse identifiziert werden, nach der Definition alle beim jeweiligen Betreiber etablierte Prozesse, die kritische Funktionen umsetzen oder anderweitig unmittelbar für den zuverlässigen Betrieb notwendig sind. Anlage 4

Cybersicherheit

Die im ISMS umgesetzten Maßnahmen müssen einen Mindestschutz bereitstellen, inhaltlich angemessen sein und allgemein anerkannten Stand der Technik entsprechen. Die Maßnahmen müssen aber auch wirtschaftlich angemessen sein mit Kosten, deren Umsetzung im Verhältnis zu mitigierten Risiken stehen. Anlage 1 (A) Anlage 2 (A)

Darüberhinaus müssen Betreiber im restlichen Geltungsbereich bzw. bei den übrigen Systeme allgemeine Maßnahmen zur Steigerung der Cybersicherheit umsetzen, verhältnismäßig und nach dem Stand Technik. Die Pflichten für eine Ansprechperson für IT-Sicherheit und Meldung von Sicherheitsvorfällen bleibt erhalten. Anlage 3

Resilienzmaßnahmen

Als neues Thema werden im neuen IT-Sicherheitskatalog (endlich) Maßnahmen zur Resilienz und Business Continuity verbindlich gefordert. Anlage 3

• Business Impact Analyse (BIA) für mindestens die kritischen Prozesse und Wiederanlaufzeiten
• Risikoanalyse basierend auf der Risikoabschätzung
• Notfallpläne und Wiederanlaufstrategien
• Krisenkommunikation und Notfallübungen

Risikomanagement

Im zertifizierten Bereich (ISMS) müssen Betreiber ein organisiertes Risikomanagement für Informationssicherheitsrisiken etablieren: Anlage 1 (B) Anlage 2 (B)

• Risikokriterien und Risikomatrix
• Allgefahren-Ansatz zur Identifikation von Risiken
• Analyse von Risiken für (alle) Systeme
• Risikotolerenz: nur mittlere Risiken dürfen toleriert werden, für kritische Systeme keine
• Risikobewertung basierend auf Risikokriterien, Einbezug von Aufgabenerfüllung der Versorgungssicherheit
• Identifikation von Mitigationsmaßnahmen und Verantwortungen
• Akzeptanz von Restrisiken
• Kontinuierliche Umsetzung der Maßnahmen
• Risikobehandlungsplan zur Dokumentation der Maßnahmen und Akzeptanz

Noch offen

Einige Themen aus der neuen NIS2- und KRITIS-Regulierung ab 2025 fanden im Konsultationspapier keine Berücksichtigung, unter anderem: Einkauf und Supply Chain Security, Krisenmanagement, konkretere NIS2-Maßnahmen und technische Maßnahmen, breiteres BCM und IT-Notfallmanagement. Und auch die Betreiber digitaler Energiedienste bleiben im Konsultationspapier unberücksichtigt.

Kritische Komponenten

Bestimmte Kritische Komponenten der KRITIS-Regulierung dürfen nur mit Zertifizierung oder Freigabe des BMI eingesetzt werden, mit NIS2 auch im Energiesektor. Seit 2025 gibt es ein Eckpunktepapier (Tenor 4.12.09/1) der Bundesnetzagentur mit einer Liste kritischer Funktionen, die durch kritische Komponenten realisiert werden.

Die Umsetzung erfolgt stufenweise:

• Ab Dezember 2025: Für Übertragungsnetzbetreiber (ÜNB) gelten die Funktionen der Netz- und Systemsteuerung (Steuerung, Leittechnik, Netzschutz) von Hochspannungs-Gleichstrom-Übertragungs- (HGÜ) Verbindungen als kritisch; für Betreiber von Offshore-Windenergieanlagen wird der gesamte Funktionskatalog als kritisch bestimmt.
• Ab NIS2-Umsetzung im BSIG von 2025: Der im Katalog aufgeführte Umfang gilt sektorenweit für KRITIS-Betreiber von Energieversorgungsnetzen und Energieanlagen.

IT-Sicherheits­katalog Netze (1a)

Der IT-Sicherheits­katalog, IT-SiKat, nach §11 (1a) EnWG a.F. gilt seit August 2015 für Betreiber von Energieversorgungsnetzen:

• Stromübertragungsnetze (Nr. 1.2.1 BSI-KritisV)
• Stromverteilnetze (Nr. 1.3.1 BSI-KritisV)
• Gasfernleitungsnetze (Nr. 2.2.1 BSI-KritisV)
• Gasgrenzübergabestellen (Nr. 2.2.2 BSI-KritisV)
• LNG-Anlagen (Nr. 2.2.4 BSI-KritisV. LNG-Anlagen gelten i.S.d. §3 Nr. 20 EnWG als Gasnetz. Auch die BNetzA stuft LNG-Anlagen rechtlich betrachtet als Gasnetz ein.)
• Gasverteilnetze (Nr. 2.3.1 BSI-KritisV)

IT-Sicherheits­katalog Anlagen (1b)

Der IT-Sicherheits­katalog, IT-SiKat, nach §11 (1b) EnWG a.F. gilt seit 2018 für Betreiber von Energieanlagen, die nach der BSI-KritisV als KRITIS bestimmt wurden und an ein Energieversorgungsnetz angeschlossen sind. Konkret im Katalog genannt werden:

• Erzeugungsanlagen: Anlagen i.S.d. §3 Nr. 18d oder Nr. 11 EnWG, z. B. Photovoltaikanlagen, Gaskraftwerke, Windkraftanlagen. Diese Kategorie umfasst auch Anlagen zur Speicherung von elektrischer Energie sowie dezentrale Energieerzeuungsanlagen. (Nr. 1.1.1 BSI-KritisV)
• Anlagen oder Systeme zur Steuerung/Bündelung elektrischer Leistung (Nr. 1.1.2 BSI-KritisV)†
• Gasförderanlagen (Nr. 2.1.1 BSI-KritisV)
• Anlagen zur zentralen standortübergreifenden Steuerung in der Gasversorgung (Nr. 2.1.2 BSI-KritisV)
• Gasspeicher (Nr. 2.2.3 BSI-KritisV)

Literatur

1. KRITIS-Sektor Energie, OpenKRITIS
2. Energie, EnWG und NIS2, OpenKRITIS

Quellen

1. Festlegung kritischer Funktionen, Tenor 4.12.09/1, 2025, Bundesnetzagentur
2. Festlegung - Erstellung eines IT-Sicherheitskataloges nach &11 (1a und 1b) EnWG Konsultationsverfahren, 07.05.2025, Bundesnetzagentur
3. Festlegung - Erstellung eines IT-Sicherheitskatalogs nach §5c Abs. 1–3 EnWG, 06.01.2026, Bundesnetzagentur
4. Übersichtsseite zum IT-Sicherheitskatalog für Strom- und Gasnetze gemäß §11 (1a) EnWG, Bundesnetzagentur (BNetzA), Stand August 2015
5. Übersichtsseite zum IT-Sicherheitskatalog für Energieanlagen gemäß §11 (1b) EnWG, Bundesnetzagentur (BNetzA), Stand Dezember 2018
6. Entwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie, Regierungsentwurf 25.07.2025, BMI
7. Regierungsentwurf des Bundesregierung: KRITIS-Dachgesetz (KRITISDachG) 10. September 2025, Bundesinnenministerium
8. Übersichtsseite zu LNG-Anlagen, Bundesnetzagentur (BNetzA), o.D.