Wesentliche Einrichtung mit proaktiver Aufsicht
Anhang I bedeutet höchste Sanktionsstufe, aktive BSI-Aufsicht und schnellere Eingriffsrechte. Bei Mängeln wird das BSI nicht nur informiert, es kommt vor Ort.
Anhang I des NIS2UmsuCG erfasst Energie (Elektrizität, Fernwärme, Erdöl, Erdgas, Wasserstoff) als wesentliche Einrichtung. Ab 250 Mitarbeitenden oder 50 Millionen Euro Umsatz greifen die Pflichten. Für KRITIS-Betreiber kommen Schwellen-VO und BSIG-Pflichten hinzu. Die Cybervize-Plattform deckt ISMS, OT-Assessment und KRITIS-Reporting in einer Lösung ab.
NIS-2-Risiko-Check buchen
Strom-, Gas-, Wärme- und Wasserstoff-Versorger gehören grundsätzlich zu NIS-2-Anhang I als „besonders wichtige Einrichtung"; zusätzlich greift häufig die KRITIS-Verordnung, sobald anlagen-bezogene Schwellen überschritten werden. Vier Konsequenzen aus dieser Klassifikation für den typischen Energieversorger. Sektor allein reicht nicht: KRITIS-Eigenschaft und NIS-2-Klassifikation hängen zusätzlich von Größenwerten und konkretem Versorgungsumfang ab. Die rechtliche Bewertung bleibt einer spezialisierten Kanzlei vorbehalten.
Anhang I bedeutet höchste Sanktionsstufe, aktive BSI-Aufsicht und schnellere Eingriffsrechte. Bei Mängeln wird das BSI nicht nur informiert, es kommt vor Ort.
Wer KRITIS-Schwellen überschreitet (etwa 500.000 versorgte Personen bei Strom), wird zusätzlich KRITIS-Betreiber. Die Pflichten überlappen sich, sind aber nicht identisch. NIS-2 ist breiter im Sektor-Scope, KRITIS-VO tiefer bei den Anlagen-Anforderungen.
Bei wesentlichen Einrichtungen verkürzen sich teilweise die Reaktionsfristen, und der Inhalt der Meldungen wird stärker reguliert. Erstmeldung 24 Stunden, Folgemeldung 72 Stunden, Abschlussbericht spätestens nach einem Monat plus mögliche Unterrichtungs-Pflichten gegenüber Kundinnen.
Operational Technology ist im Energie-Sektor der dominierende Angriffspunkt. Leitwarten, SCADA-Anbindungen, Smart-Meter-Gateway-Infrastruktur und Wartungs-Zugänge brauchen segmentierte Architektur und kontinuierliches Monitoring.
Fünf der zehn Mindestmaßnahmen nach §30 NIS2UmsuCG, übersetzt in Energie-Praxis.
OT- und IT-Risiken integriert bewertet, mit Smart-Grid-Anbindungen, Leitwarten und Erzeugungs-Anlagen. Smart Metering und Marktkommunikation kommen als eigenständige Risikolandschaft hinzu.
BSI-konforme Krypto-Konzepte für Smart-Meter-Gateways, Steuerungs-Kommunikation und Fernwartungs-Tunnel. Schlüsselmanagement zentral und auditierbar.
Lieferanten-Audits für SCADA-Hersteller und Wartungs-Dienstleister. Fernwartungs-Zugänge dokumentiert, Patch-Management für Steuerungen mit Wartungsfenstern abgestimmt.
MFA für Leitwarten-Zugänge, privilegierte Konten gesondert, Rollen-Modell für OT separat vom Office-IT-RBAC. Notfall-Zugänge dokumentiert.
BCM-Pläne für Erzeugungs-Ausfälle, Netz-Wiederaufbau-Übungen, Schwarzstart-Fähigkeit. Plus Krisenkommunikation an Regulator und Endkundinnen.
Die Cybervize-Plattform deckt ISMS, BCM, Assessment und Lieferantenrisiko in einer Lösung ab. Für Energie-Versorger zusätzlich KRITIS-Reporting und OT-Module relevant.
Kostenloses 30-Minuten-Erstgespräch mit indikativer NIS-2-Einordnung, Top-5-Lücken und Pfad-Empfehlung.
Mehr erfahren Service 02ISMS, Compliance und Nachweisführung aus einer Plattform. Multi-Entity, Multi-Country, KI-gestützt.
Mehr erfahren Service 03Plattform plus dauerhafte CISO-Funktion. Für Häuser ohne eigenen CISO.
Mehr erfahren Service 04Gap-Assessment, Roadmap, Implementierung über die Plattform. Festpreis ab 4.500 Euro.
Mehr erfahrenSelbst-Check verfügbar
Kostenfrei, ohne Anmeldung, etwa 5 Minuten. Detail-Auswertung optional per Email.
Branchen-Erfahrung in Energie und KRITIS aus 25 Jahren ISMS-Praxis bei PwC, Deloitte und KPMG. ISO 27001 Lead Auditor seit 2006, BSI IT-Grundschutz Auditor. Methodik vorrangig auf auditfähige Nachweisführung gegenüber BSI ausgelegt.
Kostenloser Risiko-Check mit indikativer NIS-2-Einordnung, KRITIS-Schwellen-Indikator, Top-5-Lücken und Pfad-Empfehlung. Idealerweise dabei: CISO oder IT-Sicherheits-Leitung plus Geschäftsführung.
NIS-2-Risiko-Check buchenMitgliedschaften, Programme und Partnerschaften
Strukturierte NIS-2-Compliance: Gap-Assessment, Roadmap und Implementierung in 12 Wochen.
Mehr erfahrenKostenfreier Selbst-Check: Wo stehen Sie bei den zehn Pflichtbereichen aus §30 BSIG? 30 Fragen, Sofort-Ampel.
Mehr erfahrenDie zehn regulierten Sektoren, in denen die Cybervize-Plattform läuft.
Mehr erfahrenViele Unternehmen koennen nicht beantworten, wo ihre kritischen Daten liegen. Was das fuer NIS-2 bedeutet und wie ein Workshop-Tag Klarheit schafft.
Viele Unternehmen behandeln NIS2 wie ein Häkchen-Projekt. Doch Compliance ist nicht dasselbe wie Resilienz. Die Cross-Border Cybersecurity Tour #2 in Saarbrücken machte deutlich: Eine funktionierende Sicherheitsoperation schlägt jede Toolsammlung.