Energie ist Anhang I. Ihre Größe entscheidet, wie streng.

Wahrscheinlich ja, wenn Sie in den Energie-Untergruppen (Elektrizität, Fernwärme, Erdöl, Erdgas, Wasserstoff) tätig sind und mindestens 50 Mitarbeitende haben oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Dann sind Sie wichtige Einrichtung. Besonders wichtige Einrichtung sind Sie ab 250 Mitarbeitenden oder bei einem Jahresumsatz über 50 Millionen Euro und einer Jahresbilanzsumme über 43 Millionen Euro. NIS-2 setzt nicht auf KRITIS-Schwellen, sondern auf Unternehmensgröße und Sektor-Zugehörigkeit. Die rechtliche Bewertung bleibt einer Kanzlei vorbehalten. Wir liefern die fachliche Einordnung im Risiko-Check.

NIS-2 ist Sektor-breit angelegt (verschiedene Energie-Untergruppen), KRITIS-VO ist anlagen-orientiert (z. B. Versorgungs-Anlagen ab bestimmten Schwellen). Wer KRITIS-Betreiber ist, ist meist auch NIS-2-betroffen. Wer NIS-2-betroffen ist, ist nicht automatisch KRITIS. Die Pflichten überlappen, sind aber unterschiedlich detailliert. In OdySecure liegen KRITIS-Dachgesetz und IT-Sicherheitskatalog Energie im selben Katalog wie die NIS-2-Pflichten.

Ja, Smart-Meter-Gateways unterliegen zusätzlich der Schutzprofil-Pflicht nach § 22 MsbG in Verbindung mit den Schutzprofilen und Technischen Richtlinien des BSI. Das ist eine eigene Regulierungs-Schicht neben NIS-2 und KRITIS. Im NIS-2-Kontext sind Smart-Meter-Infrastrukturen Teil der Risiko-Analyse und brauchen dokumentierte Krypto-Konzepte.

Bei einem Cybersicherheits-Vorfall hängt die Rechtsgrundlage der Meldung vom Einrichtungstyp ab. Betreiber von Energieversorgungsnetzen und Energieanlagen nach § 5c EnWG melden erhebliche Sicherheitsvorfälle nach § 5d EnWG an die Meldestelle nach § 32 BSIG; das BSI trifft Maßnahmen dabei im Benehmen mit der Bundesnetzagentur und leitet relevante Hinweise an sie weiter. § 28 Abs. 5 BSIG nimmt diese Tätigkeiten von den BSIG-Meldepflichten aus. Für Einrichtungen, auf die die Ausnahme nicht zutrifft, gilt die gestufte Meldepflicht nach § 32 BSIG: 24 Stunden Erstmeldung an das BSI, 72 Stunden Folgemeldung, ein Monat Abschlussmeldung. Je nach Vorfall kommen weitere Meldepflichten hinzu, etwa an die Datenschutzaufsicht bei einer Datenpanne; ein Reporting-System sollte diese Wege dokumentiert abbilden.

NIS-2 macht die Sicherheit der Lieferkette zur Mindestmaßnahme: Artikel 21 Absatz 2 nennt ausdrücklich die Sicherheit der Lieferkette und die Sicherheit bei Erwerb, Entwicklung und Wartung von Netzwerk- und Informationssystemen, einschließlich der relevanten IT- und OT-Systeme; in Deutschland ist das über § 30 BSIG umgesetzt. Für Energieversorger heißt das konkret: Verträge mit IT-, OT- und Wartungsdienstleistern sollten Sicherheitsanforderungen, Informations- und Meldepflichten des Dienstleisters bei Vorfällen, Auditrechte, Regeln für den Einsatz von Subunternehmern sowie Ausstiegs- und Reintegrationsregelungen enthalten. Für Netzbetreiber kommt der IT-Sicherheitskatalog der Bundesnetzagentur hinzu. Wichtig ist, Bestandsverträge mitzudenken, nicht nur Neuabschlüsse: Eine Musterklausel allein belegt noch keinen dokumentierten, laufenden Lieferantenprozess.

Belastbar ist, was dokumentiert und aktuell ist: ein Verzeichnis der Dienstleister mit Kritikalitätsbewertung, die zugehörigen Verträge mit den sicherheitsrelevanten Klauseln, geprüfte Nachweise der Dienstleister (etwa ISO-27001-Zertifikate) und eine definierte Meldekette für Vorfälle beim Dienstleister. In OdySecure übernimmt das TPRM-Modul diese Dokumentation: Lieferantenbewertung, Vertragsregister mit sicherheitsrelevanten Pflichtfeldern und die Verknüpfung von Vorfällen und Risiken mit dem jeweiligen Dienstleister, sodass der Nachweis im laufenden Betrieb entsteht statt in einer Sammelmappe vor dem Prüftermin.

Bei Versorgern mit einer Erzeugungs- und einer Netz-Infrastruktur typisch 12 bis 16 Wochen für eine prüffähige NIS-2-Readiness, abhängig von OT-Komplexität und KRITIS-Status. Multi-Anlagen-Betreiber brauchen 20 bis 26 Wochen. Die genaue Aufwandsschätzung kommt aus dem Risiko-Check.