Was NIS2 und KRITIS von Energieversorgern verlangen

1Was NIS2 und KRITIS voneinander unterscheiden

NIS2 und KRITIS werden in der Praxis oft als ein Thema behandelt. Sie bestimmen aber nach unterschiedlichen Kriterien, wer verpflichtet ist. Ein Versorger kann von dem einen erfasst sein und von dem anderen nicht.

1.1Woran sich die Betroffenheit bemisst

Bei NIS2 zählt das Unternehmen. Geprüft wird, ob es zu einem geregelten Sektor gehört und ob es eine bestimmte Größe erreicht. Trifft beides zu, gelten die Pflichten für das gesamte Unternehmen, unabhängig von der Größe der einzelnen Anlagen.

Bei KRITIS zählt die einzelne Anlage. Maßgeblich ist ihre Versorgungsleistung, gemessen an installierter Leistung, ausgeleiteter Energiemenge oder angeschlossenen Haushalten. Überschreitet sie den Schwellenwert, gilt sie als kritische Anlage, und ihr Betreiber bekommt zusätzliche Pflichten für genau diese Anlage.

Ein Unternehmen kann deshalb vollständig unter NIS2 fallen, ohne eine einzige kritische Anlage zu betreiben. Bei kleineren Versorgern ist das der Regelfall.

1.2Wer im Energiesektor betroffen ist

Der Sektor Energie ist breit gefasst: Stromlieferanten, Verteil- und Übertragungsnetzbetreiber, Betreiber von Erzeugungsanlagen, Speichern und Ladepunkten, die gesamte Gasversorgung sowie Fernwärme und Fernkälte. Innerhalb des Sektors entscheidet die Größe über die Einordnung. Die Schwellen stehen in § 28 des BSI-Gesetzes, die Anlagenschwellen in der BSI-Kritisverordnung.

Ein Versorger mit 80 Beschäftigten und einem Heizwerk von 30 MW liegt weit unterhalb der KRITIS-Schwellen und ist trotzdem wichtige Einrichtung nach NIS2. Für Betreiber kritischer Anlagen entfällt die Größenschwelle ganz.

1.3Wenn die Steuerung selbst zur kritischen Anlage wird

Neben den Erzeugungsanlagen kennt die BSI-Kritisverordnung eine eigene Kategorie: Anlagen und Systeme, die elektrische Leistung standortübergreifend steuern oder bündeln. Also Leitwarten von Betriebsführern, Systeme von Direktvermarktern und virtuelle Kraftwerke. Die Schwelle liegt auch hier bei 104 MW. Gezählt wird die gebündelte Nettonennleistung aller Anlagen am System.

Entscheidend ist, ob tatsächlich gesteuert wird. Ein System, das Anlagen nur ausliest und darstellt, fällt nicht darunter. Sobald Sollwerte gesetzt, Fahrpläne ausgerollt oder Anlagen geschaltet werden, liegt steuernder Einfluss vor.

Für die meisten kommunalen Portfolios ist diese Schwelle weit entfernt. Vierzig Anlagen mit je 500 Kilowatt ergeben 20 MW. Relevant wird die Rechnung bei Betriebsführung für Dritte, in der Direktvermarktung und bei großen Portfolios. Wer zwanzig BHKW mit je sechs Megawatt über eine gemeinsame Leitstelle fährt, kommt auf 120 MW und liegt darüber, auch wenn keine der Anlagen für sich kritisch wäre.

Das ist kein Grund, um auf eine Steuerung zu verzichten. Die Maßnahmen nach § 30 BSIG gelten für einen pflichtigen Versorger ohnehin. Für eine kritische Anlage kommen ein System zur Angriffserkennung (§ 31 BSIG), die Registrierung und der Nachweis alle drei Jahre hinzu. Wichtig ist, die Einordnung einmal geprüft und schriftlich festgehalten zu haben.

Wie beides zusammenspielt, lässt sich an einem wachsenden Bestand nachvollziehen:

1.4Seit wann es gilt

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Für die Risikomanagementmaßnahmen gibt es keine Übergangsfrist. Die Registrierung beim BSI ist innerhalb von drei Monaten ab Betroffenheit fällig (§ 33 BSIG). Betreiber kritischer Anlagen weisen die Umsetzung alle drei Jahre nach, den ersten Termin legt das BSI fest (§ 39 BSIG).

Für Netzbetreiber kommt der IT-Sicherheitskatalog der Bundesnetzagentur nach § 11 EnWG hinzu, üblicherweise erfüllt über eine Zertifizierung nach ISO 27001 mit ISO 27019.

Nicht verwechseln sollte man das mit dem KRITIS-Dachgesetz. Es betrifft die physische Widerstandsfähigkeit kritischer Anlagen, also Zutritt, Ausfallsicherheit und bauliche Maßnahmen. Mit den IT-Anforderungen aus diesem Beitrag hat es nichts zu tun.

2Welche Pflichten daraus im Betrieb entstehen

2.1Risikomanagement als Dauerpflicht

§ 30 BSIG setzt Artikel 21 der Richtlinie um. Absatz 2 nennt zehn Bereiche, die jede betroffene Einrichtung abdecken muss:

• Risikoanalyse und Sicherheitskonzepte
• Bewältigung von Sicherheitsvorfällen
• Backup und Wiederanlauf
• Sicherheit in der Lieferkette
• Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Schwachstellenmanagement
• Verfahren zur Bewertung der Wirksamkeit
• Cyberhygiene und Schulungen
• Kryptografie
• Personalsicherheit und Zugriffskontrolle
• Mehr-Faktor-Authentifizierung

Die Maßnahmen müssen verhältnismäßig sein. § 30 Absatz 1 nennt dafür die Kriterien: Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle. Ein Versorger mit 80 Beschäftigten wird also anders gemessen als ein Übertragungsnetzbetreiber. Darlegen muss er zu jedem Bereich trotzdem, wie er ihn umsetzt.

2.2Die Meldekette

Meldepflichtig ist ein erheblicher Sicherheitsvorfall. Die Frist nach § 32 BSIG startet, sobald Sie davon Kenntnis haben. Die Ursache muss dafür noch nicht geklärt sein.

1. 1

   Erstmeldung binnen 24 Stunden

   Kurze Meldung an das BSI, sobald der Vorfall bekannt ist. Sie enthält nur, was zu diesem Zeitpunkt bekannt ist, und ob ein rechtswidriges Handeln vermutet wird.

2. 2

   Folgemeldung binnen 72 Stunden

   Bewertung des Vorfalls, Schweregrad, Auswirkungen und, soweit verfügbar, Kompromittierungsindikatoren.

3. 3

   Zwischenmeldung auf Ersuchen

   Das BSI kann bei laufenden Vorfällen einen Zwischenstand verlangen.

4. 4

   Abschlussmeldung binnen eines Monats

   Beschreibung des Vorfalls, Ursache, ergriffene Maßnahmen und, falls zutreffend, grenzüberschreitende Auswirkungen.

Wichtig für den Betreiber: Auch die personellen Zuständigkeiten müssen konkret festgelegt werden. Sonst bleibt die Frage: Wer entscheidet am Freitagabend, dass gemeldet wird, und wer setzt die Meldung ab?

2.3Verantwortung der Geschäftsleitung

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflicht, haftet sie der Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des jeweiligen Gesellschaftsrechts.

3Die Anforderungen an die Lieferkette

§ 30 Absatz 2 Nummer 4 BSIG verlangt die Sicherheit der Lieferkette, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern. In der Anlagentechnik zählen dazu auch die Dienstleister, die technischen Zugang zu den eigenen Anlagen haben.

3.1Die Bestandsaufnahme

Verantwortlich ist die Geschäftsleitung. Die Arbeit übernimmt meist eine benannte Person: der Informationssicherheitsbeauftragte, die technische Leitung oder in kleineren Unternehmen die Geschäftsführung selbst. Der erste Schritt ist eine Übersicht darüber, welche Anlagen betrieben werden, wer von außen darauf zugreift und welche Dienstleister daran hängen. In einem mittleren Versorgungsgebiet ist das schnell eine zweistellige Anzahl an Zugängen: Wartungszugänge von Anlagenherstellern, Cloudportale von Wechselrichtern und Wärmepumpen, Fernwartungssoftware auf einem Leitstandsrechner, ein VPN-Zugang aus einem abgeschlossenen Projekt, eine Mobilfunkverbindung im Zählerschrank, der Zugriff des Gebäudeautomatisierers.

Fünf grundlegende Angaben je Zugang genügen für den Anfang:

• Wer greift zu, welches Unternehmen und welche Person
• Über welchen technischen Weg, also VPN, Portal, Mobilfunk oder Direkteinwahl
• Mit welchem Konto, persönlich oder als Sammelkonto
• Wer hat den Zugang eingerichtet und auf welcher vertraglichen Grundlage
• Wer beendet ihn, wenn der Vertrag oder das Projekt endet

Die letzten beiden Punkte sind die unangenehmen. Viele Zugänge in der Anlagentechnik entstehen im Projekt oder werden nur für die Einrichtung genutzt und haben anschließend keine weitere Vertragsgrundlage.

Ein Beispiel aus dem Contracting: Ein BHKW in einem Wohnquartier wird vom Hersteller fernkonfiguriert. Der Zugang wurde bei der Inbetriebnahme 2019 vom Servicetechniker eingerichtet und läuft über ein Sammelkonto des Herstellers. Technisch führt er direkt auf die Steuerung der Anlage. Nach der Inbetriebnahme besteht keine weitere vertragliche Grundlage für diesen Zugang.

Aus der fertigen Übersicht ergibt sich, welche Anbieter zu bewerten sind. Sie ist die Grundlage für alles Weitere.

3.2Welche Unterlagen Sie anfordern müssen

Steht die Übersicht, wird je Anbieter angefordert, was für die Bewertung gebraucht wird. In der Praxis sind das immer wieder dieselben Unterlagen:

• eine Kurzbeschreibung der Sicherheitsmaßnahmen, meist Sicherheitskonzept genannt
• das Verzeichnis der Unterauftragsverarbeiter mit Verarbeitungsort je Dienst
• eine Beschreibung der Zugangswege in die Anlage
• die Darstellung, wie Daten und Zugriffe verschiedener Kunden getrennt werden
• das Rollen- und Berechtigungskonzept
• die Beschreibung des Updateprozesses
• der Schwachstellenprozess mit Meldeweg und zugesagten Reaktionszeiten
• vorhandene Nachweise und Zertifikate, dazu die datenschutzrechtlichen Unterlagen

Das summiert sich. Bei fünfzehn Anbietern sind es fünfzehn Anfragen, und jede Rückmeldung, die drei Wochen braucht, verzögert die eigene Nachweisführung.

Für sektoreins liegen diese Unterlagen vor. In Kurzform:

4Wie sektoreins das umsetzt

4.1Zugang zur Anlage

Das Gateway baut alle Verbindungen zur Plattform selbst auf und ist aus dem Internet nicht erreichbar. Für den Betrieb braucht es keine Portfreigabe im Kundennetz und keine VPN-Einwahl.

Die Verbindung ist beidseitig authentifiziert. Auch das Gateway weist sich mit einem eigenen Zertifikat aus, mit kurzer Laufzeit und automatischer Rotation. Ein entwendetes oder ausgebautes Gateway lässt sich zentral sperren.

4.2Trennung von Daten und Zugriffen

Die Mandantentrennung ist in der Datenbank verankert. Jeder Datensatz trägt die Zuordnung zu seinem Mandanten, die Isolation wird dort zentral durchgesetzt und nicht in jeder einzelnen Abfrage.

Für Nutzer gilt ein rollenbasiertes Modell mit getrennten Rechten für Verwaltung, Steuerung und Ansicht, Zwei-Faktor-Authentifizierung steht zur Verfügung. Anlagen- und Messdaten werden ausschließlich in deutschen Rechenzentren verarbeitet und gespeichert. Das Verzeichnis der Unterauftragsverarbeiter stellen wir auf Anfrage bereit.

4.3Steuerung ohne freie Codeausführung

Auf dem Gateway läuft kein frei programmierbarer Code. Regellogik wird in der Plattform erstellt, dort validiert und als geprüfte Zwischendarstellung ausgeliefert. Wer Zugriff auf die Oberfläche hat, kann Regeln ändern, aber keine beliebigen Programme auf der Anlage ausführen.

Jeder Eingang, auf dem eine Regelung basiert, hat außerdem eine eigene Zeitgrenze. Bleibt ein Messwert aus oder ist er zu alt, wechselt die Regelung auf einen konfigurierten Ersatzwert, statt mit einem toten Signal weiterzurechnen.

4.4Updates

Updates für das Gateway stellen wir als geprüfte Images bereit. Das Gateway holt sie in festen Abständen selbst ab und prüft sie vor der Installation. Ein Zugriff von außen ist dafür nicht nötig, und für den Betreiber entsteht kein Wartungsfenster, das er selbst planen muss.

4.5Nachvollziehbarkeit von Änderungen

Zugriffskontrolle reicht alleine nicht aus. Es muss auch nachvollziehbar sein, was verändert wurde: Konfigurationen, Parameter und aktivierte oder deaktivierte Regelungen.

Änderungen werden deshalb nicht überschrieben, sondern einzeln festgehalten. Jeder Eintrag nennt Benutzer, Zeitpunkt, Feld sowie alten und neuen Wert. Aus dieser Kette lässt sich der Zustand des Systems zu jedem zurückliegenden Zeitpunkt rekonstruieren. Regelungen werden zusätzlich vor der Aktivierung validiert und als abgegrenzter Stand ausgerollt, eine deaktivierte Regelung bleibt erhalten.

Nach einer Störung lässt sich damit zurückverfolgen, wer wann welchen Parameter gesetzt hat und mit welcher Fassung der Regelung die Anlage lief.

4.6Meldeweg und Reaktionszeiten

Schwachstellen können ohne Kundenkonto an security@sektoreins.de gemeldet werden, maschinenlesbar unter /.well-known/security.txt nach RFC 9116. Zugesagt sind eine Eingangsbestätigung binnen zwei Werktagen, eine Ersteinschätzung binnen zehn Werktagen und danach mindestens alle 14 Tage eine Statusmeldung.

Diese Fristen sind freiwillig, gesetzlich vorgeschrieben sind nur Fristen gegenüber den Behörden. Für eine Lieferantenbewertung braucht ein Betreiber aber eine belastbare Zeitangabe, die er eintragen kann. Sie stehen in den Sicherheitshinweisen.

5Was sich kurzfristig tun lässt

Vier Schritte, die sich ohne externe Unterstützung anfangen lassen:

1. 1

   Betroffenheit feststellen

   Sektor und Größe prüfen und das Ergebnis schriftlich festhalten, einschließlich der Frage, ob eine Anlage oder eine Steuerung über mehrere Anlagen hinweg die KRITIS-Schwellen erreicht.

2. 2

   Übersicht erstellen

   Anlagen, Zugriffe von außen und beteiligte Dienstleister erfassen, mit den fünf Angaben je Zugang. Häufig tauchen dabei Zugänge auf, die seit Jahren nicht mehr genutzt, aber nie geschlossen wurden.

3. 3

   Anbieter bewerten

   Aus der Übersicht ergibt sich, wer zu bewerten ist und welche Unterlagen dafür anzufordern sind. Die Tabelle weiter oben ist die Kurzfassung unserer Antworten. Die ausführlichen Unterlagen mit Sicherheitskonzept, Verzeichnis der Unterauftragsverarbeiter und Beschreibung der Zugangswege stellen wir auf Anfrage über security@sektoreins.de bereit.

4. 4

   Meldekette durchspielen

   Einen angenommenen Vorfall an einem Freitagabend durchgehen und festhalten, wer entscheidet, wer meldet und wo die Zugangsdaten zur Meldeplattform liegen.

Alle vier Schritte lassen sich intern erledigen. Sie sind die Grundlage für jede Bewertung, die danach ansteht.

Security by Design, nicht nachgerüstet

Ihre Haustür lassen Sie auch nicht offen

Wir schließen immer doppelt ab: sektoreins kommuniziert vollständig verschlüsselt und erfüllt höchste Sicherheitsanforderungen.

IT-Security Sicherheitshinweise

Dieser Artikel gibt unsere Einschätzung als sektoreins wieder und erhebt keinen Anspruch auf Vollständigkeit. Er ersetzt keine rechtliche Beratung. Für die verbindliche Beurteilung wenden Sie sich bitte an eine fachkundige Rechtsanwaltschaft oder Ihren Informationssicherheitsbeauftragten.