NIS2 in Energieversorgung: Stadtwerke, Netzbetreiber

Hauptartikel: NIS2-Umsetzung Deutschland — Anwendungsbereich, Maßnahmen nach § 30 BSIG, Geschäftsleitungshaftung nach § 38 BSIG, Meldepflichten und Bußgelder im Überblick.

1. Wer ist betroffen?

Betroffen ist in Deutschland, wer einer Einrichtungsart des Sektors Energie nach Anlage 1 BSIG zuzuordnen ist und die Größenschwellen des § 28 BSIG erreicht — und größenunabhängig jeder Betreiber einer kritischen Anlage (§ 28 Abs. 1 Nr. 1 BSIG). Die Bindung an die Anlage ist dabei kein Beiwerk: § 28 Abs. 1 Nr. 4 BSIG erfasst ausschließlich Arten der Anlage 1 (hochkritische Sektoren, dazu zählt Energie), § 28 Abs. 2 Satz 1 Nr. 3 BSIG Arten der Anlage 1 oder Anlage 2.

Die Größenschwellen sind alternativ, nicht kumulativ: Ein Energieversorger ist wichtige Einrichtung, wenn er mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR aufweist (§ 28 Abs. 2 Satz 1 Nr. 3 Buchst. a und b BSIG). Als besonders wichtige Einrichtung gilt er ab mindestens 250 Mitarbeitern oder einem Jahresumsatz von über 50 Mio. EUR und zudem einer Jahresbilanzsumme von über 43 Mio. EUR (§ 28 Abs. 1 Nr. 4 BSIG). Ein Versorger mit 60 Beschäftigten und kleinem Umsatz ist also erfasst — die Mitarbeiterschwelle allein genügt. Bei Netzbetreibern entscheidet dabei nicht die Bezeichnung, sondern die Anlage: Wer eine kritische Anlage betreibt, ist größenunabhängig besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG); wer keine betreibt, wird über die genannten Größenschwellen eingeordnet. Zur zusätzlichen BSI-Zertifizierung der Smart-Meter-Gateway-Administratoren (SMGA) siehe Abschnitt 4.

Zwei Fallstricke bleiben in der Einordnung. Erstens genügt der Umsatz allein nie: § 28 Abs. 1 Nr. 4 Buchst. b BSIG verlangt über 50 Mio. EUR Umsatz und zusätzlich über 43 Mio. EUR Bilanzsumme; eigenständig wirkt nur die Mitarbeiterzahl ab 250. Zweitens kennt die Kategorie der wichtigen Einrichtung keine Obergrenze — auch ein großes Unternehmen bleibt wichtige Einrichtung, wenn es keiner Anlage-1-Art zuzuordnen ist; für den Sektor Energie greift das nicht, da Energie zu den Anlage-1-Arten zählt, relevant wird der Fall nur bei zusätzlichen Tätigkeiten in Anlage-2-Sektoren. Für die Berechnung von Mitarbeiterzahl, Jahresumsatz und Bilanzsumme gilt die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs (§ 28 Abs. 4 BSIG); Konzernzugehörigkeit kann verbundene Unternehmen einbeziehen. Praxisempfehlung: die Einstufung je Gesellschaft schriftlich festhalten, mit Stichtag, Zahlenbasis und der herangezogenen Nummer des § 28 BSIG.

2. Triple-Regulation NIS2 + EnWG + KRITIS (Deutschland)

Für deutsche Energieversorger entscheidet § 28 Abs. 5 BSIG, welches Pflichtenprogramm greift. Für den Energiesektor verweist das BSIG 2025 auf die §§ 5c bis 5e des Energiewirtschaftsgesetzes als maßgebliche Cybersicherheits-Regelungen.

Vier Fragen entscheiden, welches Regime für Ihre Gesellschaft läuft — in dieser Reihenfolge zu prüfen:

1. Betreiben Sie Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste nach dem EnWG und unterliegen Sie den §§ 5c bis 5e EnWG? Ja: Die §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG gelten für diesen Bereich nicht (§ 28 Abs. 5 Satz 1 Nr. 2 BSIG); Risikomanagement, Meldung und Nachweis richten sich nach dem EnWG.
2. Ist der Betrieb der Energieanlage gemessen an der gesamten Geschäftstätigkeit nur eine Nebentätigkeit? Ja: Die Ausnahme findet insgesamt keine Anwendung — es gilt das volle BSIG (§ 28 Abs. 5 Satz 4 BSIG).
3. Betreiben Sie darüber hinaus weitere kritische Anlagen nach § 2 Nr. 22 BSIG oder sind Sie aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 BSIG bestimmten Einrichtungsarten zuzuordnen? Ja: Für alle IT-Systeme, die für den Betrieb dieser weiteren kritischen Anlagen erforderlich sind, greifen die BSIG-Pflichten — Risikomanagement nach §§ 30 und 31 BSIG, Meldung nach § 32 BSIG und die Nachweispflicht nach § 39 BSIG (§ 28 Abs. 5 Sätze 2 und 3 BSIG; Fristen in Abschnitt 7).
4. Unabhängig vom Ergebnis: Die Registrierung nach § 33 BSIG steht nicht auf der Ausnahmeliste des § 28 Abs. 5 Satz 1 Nr. 2 BSIG — sie läuft in jeder Konstellation. Auch § 65 BSIG steht nicht auf der Liste, knüpft aber an Verstöße gegen die jeweils geltenden Pflichten an (Einzelheiten am Ende dieses Abschnitts).

Das dritte Bein ist das KRITIS-Recht: Wer eine kritische Anlage nach § 2 Nr. 22 BSIG betreibt, ist größenunabhängig besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG) und registriert sich abweichend nach § 8 KRITIS-Dachgesetz statt über die allgemeine Registrierung des § 33 Abs. 1 BSIG (§ 33 Abs. 2 BSIG), soweit § 33 Abs. 2 BSIG bereits anzuwenden ist (§ 66 BSIG: erst mit Geltung der Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz). Hinzu kommen die KRITIS-Verordnung und sektorale Vorgaben — das Zusammenspiel ist komplex.

Für Stadtwerke im Querverbund entscheidet die Zuordnung je Sparte, welches Regime läuft:

Maßgeblich ist immer die konkrete Einrichtungsart der Anlage 1 oder 2 BSIG, nicht die betriebsinterne Spartenbezeichnung — die Zuordnung ist je Gesellschaft zu prüfen. Die erste Zeile entfällt zudem, wenn der Betrieb der Energieanlage nur Nebentätigkeit ist (Schritt 2 des Prüfwegs). Welche Maßnahmen, Meldewege und Nachweise die §§ 5c bis 5e EnWG im Einzelnen verlangen, führt dieser Artikel nicht aus; maßgeblich ist der Gesetzestext (Quellenblock).

Praxisempfehlung: diese Abgrenzung in einem versionierten Dokument mit Anlagen- und Tätigkeitsliste führen und bei jeder Änderung des Anlagenbestands nachziehen — sie bestimmt, welche Pflichtenkette für welchen Anlagenteil überhaupt läuft.

Der Bußgeldrahmen reicht in Deutschland bis 10 Mio. EUR gegen besonders wichtige und bis 7 Mio. EUR gegen wichtige Einrichtungen (§ 65 Abs. 5 Satz 1 Nr. 1 BSIG) — er knüpft allerdings an Verstöße gegen die dort bezeichneten Pflichten an, unter anderem gegen die Risikomanagement- und Meldepflichten, die in den Konstellationen des § 28 Abs. 5 Satz 1 Nr. 2 BSIG gerade nicht gelten. Die Umsatzvariante von 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes greift erst ab einem Gesamtumsatz über 500 Mio. EUR und nur für die in § 65 Abs. 6 und 7 BSIG bezeichneten Verstöße. Gesamtumsatz ist dabei die Summe aller weltweiten Umsatzerlöse des Unternehmens, dem die Einrichtung angehört, im Geschäftsjahr vor der Behördenentscheidung (§ 65 Abs. 8 BSIG). Hat eine Datenschutzaufsichtsbehörde für dasselbe Verhalten bereits ein DSGVO-Bußgeld verhängt, ist eine zusätzliche Geldbuße nach dem BSIG ausgeschlossen (§ 65 Abs. 11 BSIG). Die persönliche Innenhaftung der Geschäftsleitung nach § 38 Abs. 2 BSIG steht dagegen auf dieser Ausnahmeliste und greift nur, soweit die Ausnahme nicht eingreift.

3. SCADA-Sicherheit

Soweit das BSIG-Regime greift (Prüfweg Abschnitt 2), gilt für die Leittechnik derselbe Maßnahmenkatalog wie für die Büro-IT — einen gesonderten SCADA-Katalog enthält § 30 Abs. 2 BSIG nicht, die zehn Bereiche gelten sektorneutral. Soweit die §§ 30 f. BSIG greifen, erfassen die Maßnahmen alle IT-Systeme, die für den Betrieb der weiteren kritischen Anlagen erforderlich sind (Schritt 3 des Prüfwegs in Abschnitt 2).

Industrielle Steuerungssysteme sind dabei nicht getrennt von der Büro-IT zu betrachten (OT/IT-Konvergenz). Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen; als Standards im Leittechnik-Umfeld gelten IEC 62443 und NIST 800-82. Praxisempfehlung: festhalten, welche Normen herangezogen wurden und warum — das Gesetz gibt die Berücksichtigung als Soll-Vorgabe vor, ihre Dokumentation macht sie prüfbar.

Fünf der zehn Bereiche des § 30 Abs. 2 BSIG lassen sich unmittelbar auf die Leitebene übersetzen; die übrigen fünf stehen im verlinkten Hauptartikel. Nr. 3 verlangt die Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement — für die Leitwarte ist damit der Wiederanlauf nach einem Ausfall gemeint, nicht nur ein Backup-Konzept. Praktisch umgesetzt wird das über einen Business-Continuity-Plan mit RTO und RPO je Geschäftsprozess, ein Backup nach dem 3-2-1-Prinzip oder gleichwertig, eine getestete Wiederherstellungsroutine und einen Krisenmanagement-Plan. Nr. 4 betrifft die Sicherheit der Lieferkette, auf der Leitebene praktisch vor allem die Fernwartungszugänge der Leittechnik-Hersteller (Abschnitt 5). Nr. 7 verlangt grundlegende Schulungen und Sensibilisierung — hier trägt die sektorspezifische Vertiefung. Nr. 9 verlangt Personalsicherheit und Zugriffskontrolle, Nr. 10 Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung sowie gesicherte Kommunikation; welche Zugänge im Einzelnen erfasst sind, legt das Gesetz nicht fest — nach unserer Praxiseinschätzung ist Multi-Faktor-Authentifizierung für alle Administrations- und externen Zugänge (VPN, Cloud) der Mindestmaßstab, reine Office-Nutzung ist risikobasiert begründbar. Praxisempfehlung: eine eigene SCADA-Schulung für alle Beschäftigten mit Zugriff auf Leitsysteme, die Trennung von Büro-IT und Prozessnetz dokumentieren und den Wiederanlauf der Leitwarte mindestens einmal jährlich üben. Für Nr. 7: Schulungsinhalte für Leitwartenpersonal gegenüber Büro-IT-Schulung abgegrenzt, Teilnahmenachweis. Für Nr. 9: personalisierte Konten statt Sammel-Login in der Leitwarte, dokumentierter Entzug bei Rollenwechsel/Austritt, turnusmäßiger Berechtigungsreview für Leitsystem-Zugänge. In Österreich steht der gleichlaufende Katalog in § 32 Abs. 4 lit. a bis j NISG 2026.

4. Smart-Meter-Gateway-Sicherheit

Für Smart-Meter-Gateways gilt zusätzlich die Technische Richtlinie BSI TR-03109; eine BSI-Zertifizierungspflicht trifft die Smart-Meter-Gateway-Administratoren (SMGA), nicht jedes Stadtwerk. Daneben laufen die BSIG-Pflichten und, sobald personenbezogene Daten betroffen sind, das Datenschutzrecht — drei Regelungsstränge, die getrennt zu führen sind.

Zweiter Strang sind die BSIG-Pflichten: Welche davon für den Betrieb der Gateways greifen, entscheidet der Prüfweg aus Abschnitt 2. Greift die EnWG-Ausnahme des § 28 Abs. 5 Satz 1 Nr. 2 BSIG, entfallen auch für diesen Anlagenteil das Risikomanagement nach § 30 BSIG, die Meldung nach § 32 BSIG und die Nachweispflicht nach § 39 BSIG. Von der Zertifizierung des ersten Strangs zu trennen ist dabei der Nachweis nach § 39 Abs. 1 BSIG: Er trifft Betreiber kritischer Anlagen und lässt Sicherheitsaudit, Prüfung oder Zertifizierung als drei gleichwertige Wege zu (Abschnitt 7).

Dritter Strang ist das Datenschutzrecht; praktisch relevant ist dort die doppelte Meldelage. Soweit ein Sicherheitsvorfall zugleich eine Verletzung des Schutzes personenbezogener Daten ist, läuft neben der NIS2-Meldung nach § 32 BSIG (Fristen und Adressat in Abschnitt 7; nur soweit das BSIG-Regime greift, Prüfweg Abschnitt 2) die Meldung an die zuständige Datenschutz-Aufsichtsbehörde: unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, ein Risiko für die Rechte und Freiheiten natürlicher Personen ist unwahrscheinlich (Art. 33 Abs. 1 DSGVO). Erfolgt die Meldung später, ist ihr eine Begründung für die Verzögerung beizufügen. Bei voraussichtlich hohem Risiko kommt die unverzügliche Benachrichtigung der betroffenen Personen hinzu (Art. 34 Abs. 1 DSGVO); sie entfällt unter anderem, wenn geeignete technische Schutzmaßnahmen wie Verschlüsselung angewandt wurden (Art. 34 Abs. 3 DSGVO). Zur Sanktionsseite bei Doppelverstößen siehe Abschnitt 2. Praxisempfehlung: beide Meldewege in einem gemeinsamen Playbook führen, damit die kürzere 24-Stunden-Frist die datenschutzrechtliche Bewertung nicht überholt.

5. Lieferanten-Audit-Spezifika

Maßstab für Lieferanten ist in Deutschland — soweit das BSIG-Regime greift (Prüfweg Abschnitt 2) — § 30 Abs. 2 Nr. 4 BSIG (Sicherheit der Lieferkette); nach unserer Praxiseinschätzung fehlen gerade in diesem Bereich häufig Cybersecurity-Klauseln in den Verträgen. In Österreich steht der gleichlaufende Bereich in § 32 Abs. 4 lit. d NISG 2026.

Vier Bausteine gehören in das Lieferantenprogramm:

• Lieferanten-Bewertung mit Risikoklassifizierung — die Klassifizierung entscheidet, welche Lieferanten überhaupt vertieft geprüft werden; das Kriterium mit der größten Wirkung ist der Zugriff auf Leitsysteme und der Fernwartungszugang.
• Cybersecurity-Klauseln in den Standard-Verträgen statt Einzelverhandlung je Vertrag.
• Right-to-Audit für kritische Lieferanten — ohne vertragliche Grundlage bleibt jede Prüfung Bitte statt Recht.
• Vorfallsmeldung des Lieferanten an Sie, üblich binnen 24 Stunden. Das ist eine Vertragsklausel, keine gesetzliche Meldefrist des Lieferanten Ihnen gegenüber; sie schafft erst die Grundlage dafür, die eigene 24-Stunden-Meldung fristgerecht abgeben zu können.

Praxisempfehlung: die Lieferanten in drei Klassen einteilen und die Vertragsarbeit daran ausrichten — Klasse 1: Fernwartungs- oder Leitsystemzugriff, dort Right-to-Audit und 24-Stunden-Meldeklausel vertraglich vereinbaren und den Fernwartungszugang in prüfbare Punkte zerlegen — Zugangsverfahren, Protokollierung, Freischaltung, Kontenführung; Klasse 2: Zugriff auf Büro-IT oder Daten ohne Leitsystemzugang, dort Fragebogen und Standardklausel; Klasse 3: kein Systemzugriff, dort Standardklausel. Die Klassengrenzen gibt kein Gesetz vor — sie müssen zum eigenen Risikobild passen und begründet sein.

Eine ISO-27001-Zertifizierung nimmt diese Arbeit nicht ab: Im Mapping der zehn Bereiche des § 30 BSIG (soweit anwendbar, vgl. Prüfweg Abschnitt 2) auf Annex A tragen gerade die Lieferanten-Controls die hohe Lückenwahrscheinlichkeit, weil die Cybersecurity-Klauseln dort typischerweise fehlen. Praxisempfehlung: Bestandsverträge mit Leittechnik- und Messtechnik-Lieferanten — den SCADA-Herstellern wie Siemens, ABB oder Schneider und den Smart-Meter-Herstellern — nach diesen Klassen abarbeiten, nicht alphabetisch.

6. Österreich: Energieversorger unter dem NISG 2026

Österreichische Energieversorger sind ab dem 01.10.2026 wesentliche oder wichtige Einrichtungen nach dem NISG 2026 (BGBl. I Nr. 94/2025); zuständig ist die Cybersicherheitsbehörde, Meldeadressat ist das zuständige CSIRT. Die konkreten Instrumente oben (§§ 5c bis 5e EnWG, KRITIS-Recht, BSI-Zertifizierung von Smart-Meter-Gateways nach BSI TR-03109, Registrierung beim BSI) sind dagegen deutsches Recht und gelten nur in Deutschland. Energie ist auch in Österreich ein hochkritischer Sektor (Anlage 1, § 2 NISG 2026). Für österreichische Energieversorger gilt:

• Risikomanagement: geeignete, verhältnismäßige Maßnahmen nach § 32 NISG 2026 (all-hazards-Ansatz, Katalog lit. a–j).
• Meldung erheblicher Vorfälle: an das zuständige CSIRT (§ 34 NISG 2026), nicht an das BSI — Fristen 24 Stunden / 72 Stunden / 1 Monat, siehe Abschnitt 7.
• Registrierung: binnen 3 Monaten bei der Cybersicherheitsbehörde (§ 29 NISG 2026), nicht beim BSI.
• Bußgeldrahmen: wie EU-Vorgabe — wesentliche Einrichtungen bis 10 Mio. EUR / 2 %, wichtige bis 7 Mio. EUR / 1,4 % des weltweiten Jahresumsatzes (§ 45 NISG 2026); Verhängung durch die Bezirksverwaltungsbehörde.

Der Zeitpunkt ist der wesentliche Unterschied zu Deutschland: Das NISG 2026 wurde am 23.12.2025 kundgemacht und wird am 01.10.2026 anwendbar — neun Monate nach der Kundmachung, mit dem nächstfolgenden Monatsersten (§ 51 Abs. 1 und 2). Erst ab diesem Tag greifen die Risikomanagement-Pflichten des § 32 NISG 2026; die daran anschließenden Fristen für Registrierung, Selbstdeklaration und Nachweis stehen in Abschnitt 7.

Die Einstufung folgt § 25 Abs. 2 und 3 NISG 2026: großes Unternehmen bei zumindest 250 Mitarbeitern oder einem Jahresumsatz über 50 Mio. EUR bei zugleich über 43 Mio. EUR Bilanzsumme; mittleres Unternehmen bei zumindest 50 Mitarbeitern oder einem Jahresumsatz über 10 Mio. EUR bei zugleich über 10 Mio. EUR Bilanzsumme. Große Unternehmen einer Anlage-1-Art — dazu zählt Energie — sind wesentliche Einrichtungen (§ 24 Abs. 1 Z 3); Einrichtungen der Anlage-1- und Anlage-2-Arten, die ein großes oder mittleres Unternehmen betreiben, sind wichtige Einrichtungen, soweit sie nicht bereits wesentliche Einrichtung sind (§ 24 Abs. 2 Z 1). Die Cybersicherheitsbehörde ist das Bundesamt für Cybersicherheit, eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde mit Sitz in Wien (§ 3a Abs. 1 und 2, § 3b Abs. 3 NISG 2026); Aufsicht und Durchsetzung liegen bei ihr (§§ 38 und 39), die Verwaltungsstrafen verhängt die Bezirksverwaltungsbehörde (§ 44 Abs. 1). Die Leitungsorgane müssen die Einhaltung der Maßnahmen sicherstellen, beaufsichtigen und an Cybersicherheitsschulungen teilnehmen (§ 31 Abs. 1 und 2 NISG 2026) — eine ausdrückliche Innenhaftungs-Regel wie § 38 Abs. 2 BSIG enthält § 31 NISG 2026 nicht.

Österreich kennt eigene sektorale Regelungen; eine wörtliche Übertragung der deutschen KRITIS-/EnWG-Vorgaben ist nicht möglich.

7. Fristen und Nachweise im Überblick (DE und AT)

Die folgende Übersicht enthält ausschließlich gesetzliche Fristen und Meldepflichten — jede Zeile nennt die Norm, aus der sie folgt, und die Einrichtungen, für die sie gilt. Praxisempfehlungen stehen nur im Fließtext und sind dort gekennzeichnet. Für deutsche Energieversorger ist die Spalte „Gilt für" entscheidend: Wo § 28 Abs. 5 Satz 1 Nr. 2 BSIG eingreift, richten sich Risikomanagement, Meldung und Nachweis nach dem EnWG (Prüfweg Abschnitt 2) — die Melde- und Nachweiszeilen für Deutschland gelten dann nicht, die Registrierungszeile sehr wohl.

Die Melde-Uhr läuft erst, wenn der Vorfall erheblich ist. Erheblich ist ein Sicherheitsvorfall nach § 2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann, oder wenn er andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Quantitative Schwellen dazu enthält die EU-Durchführungsverordnung 2024/2690, allerdings nur für bestimmte digitale Einrichtungsarten wie DNS-Diensteanbieter, Cloud- und Rechenzentrumsdienste oder Managed (Security) Service Provider — nicht für Energieversorger. Für alle übrigen Einrichtungen gilt bis zu einer Rechtsverordnung nach § 56 Abs. 5 BSIG allein die Definition des § 2 Nr. 11 BSIG. In Österreich steht die gleichlautende Schwelle in § 35 Abs. 1 NISG 2026.