Der EnWG-Katalog im Zusammenspiel mit NIS-2, KRITIS-Dachgesetz und ISO 27001

Problem in der Praxis

In vielen Energieunternehmen sind die Regelwerke organisatorisch getrennt verankert. Der Netzbetrieb arbeitet am EnWG-Katalog, ein zentrales Security-Team an NIS2/BSIG, die physische Resilienz wird häufig erst durch das KRITIS-Dachgesetz aufgegriffen. So entstehen parallele Projekte, Nachweise und Ansprechpartner, ohne dass jemand die Schnittmengen steuert.

Das fällt spätestens auf, wenn Fristen, Meldewege und Geltungsbereiche nicht zusammenpassen. Dabei sind zwei Irrtümer verbreitet. Der erste: Drei Programme laufen nebeneinander und erzeugen dreifachen Aufwand und trotzdem Lücken, weil Abgrenzung und Mehrfachnutzung nicht bewusst entschieden werden. Der zweite ist teurer und seltener bemerkt: Es wird ein vollständiges BSIG-Programm für Risikomanagement, Meldung und Nachweis aufgebaut, obwohl § 28 Absatz 5 BSIG genau diese Pflichten für den energiewirtschaftlichen Kern ausnimmt.

Ein Energieanlagen- oder Netzbetreiber bleibt dabei besonders wichtige oder wichtige Einrichtung im Sinne des BSIG, und die Registrierungspflichten der §§ 33 und 34 BSIG werden durch die Ausnahme nicht ausgeschlossen. Die zentralen Betreiberpflichten laufen aber über das EnWG-Regime und die BNetzA, nicht doppelt zusätzlich über das BSIG.

CISO-Einordnung

Sinnvoll ist es, die drei Ebenen sauber zu trennen und dann gezielt zu verbinden:

• EnWG-Katalog (BNetzA): sektorale Cybersicherheit für Netz- und Anlagenbetrieb, mit ISMS-Zertifizierung als Nachweis.
• NIS2/BSIG: allgemeiner Cybersicherheits-Rahmen mit Risikomanagement-, Melde- und Governance-Pflichten. Für den energiewirtschaftlichen Kern sind die zentralen Vorschriften durch § 28 Absatz 5 BSIG gesetzlich ausgenommen; das Regime greift nur dort, wo die Ausnahme nicht reicht.
• KRITIS-Dachgesetz/CER: physische und organisatorische Resilienz kritischer Anlagen, also der nicht-IT-Teil.

Der Bezugspunkt der Grundpflicht ist im EnWG der angemessene Schutz nach dem Stand der Technik. Die BNetzA konkretisiert diesen Maßstab im Einvernehmen mit dem BSI über einen oder mehrere IT-Sicherheitskataloge; mit Einhaltung des Katalogs gilt der angemessene Schutz als gewährleistet. Das erklärt die Doppelaufsicht: Die BNetzA ist sektorspezifische Aufsicht für die energiewirtschaftlichen IT-Sicherheitspflichten, das BSI wirkt über das Einvernehmen mit und ist zugleich zentrale Cybersicherheitsbehörde nach BSIG.

Die IT-Sicherheitspflichten waren historisch in § 11 EnWG (alte Fassung) angesiedelt, für Netzbetreiber und für KRITIS-Energieanlagen. Mit der NIS2-Umsetzung wurden sie in neue Paragraphen (§§ 5c folgende EnWG) überführt. Die genaue Zuordnung einzelner Absätze und der aktuelle Paragraphenstand sind am amtlichen EnWG-Text zu verifizieren und nicht als feststehend zu behandeln.

Die Abgrenzung zum BSIG ist dabei keine offene Auslegungsfrage mehr, sondern gesetzlich geregelt. § 28 Absatz 5 BSIG stellt besonders wichtige und wichtige Einrichtungen frei, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste betreiben und den §§ 5c bis 5e EnWG unterliegen; Nummer 1 derselben Vorschrift enthält eine entsprechende Ausnahme für den Telekommunikationssektor. Drei Punkte sind für die Praxis entscheidend:

• Enumeriert, nicht pauschal: Freigestellt sind die im Gesetz aufgezählten Vorschriften, nicht das BSIG insgesamt und nicht der Status als besonders wichtige oder wichtige Einrichtung. Die Registrierungspflichten der §§ 33 und 34 BSIG werden durch die Ausnahme nicht ausgeschlossen.
• An das EnWG-Regime gekoppelt: Wer den §§ 5c bis 5e EnWG nicht unterliegt, ist auch nicht freigestellt. Allein die Eigenschaft, energiewirtschaftlich reguliert zu sein, genügt nicht.
• Mit Rückausnahmen versehen: Betreibt dieselbe Einrichtung darüber hinaus weitere kritische Anlagen nach § 2 Nummer 22 BSIG oder ist sie aufgrund weiterer Tätigkeiten einer der in Anlage 1 oder 2 des BSIG bestimmten Einrichtungsarten zuzuordnen, gilt die Freistellung insoweit nicht; sie entfällt dann für alle informationstechnischen Systeme, die für den Betrieb dieser weiteren kritischen Anlagen erforderlich sind. Sie entfällt zudem, wenn der Betrieb einer Energieanlage nach § 28 Absatz 5 Satz 1 Nummer 2 BSIG im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung eine Nebentätigkeit darstellt.

Der Anwendungsbereich ist deshalb je Einrichtung und Tätigkeit zu bestimmen, nicht pauschal je Konzern. Für Finanzunternehmen und für Akteure der Telematikinfrastruktur enthält § 28 Absatz 6 BSIG eine eigene, anders zugeschnittene Freistellung. Wortlaut, Absatzzuordnung und Fassungsstand sind am geltenden BSIG zu verifizieren.

Umsetzungsperspektive

Tragende Idee ist das ISO/IEC-27001-Zertifikat als gemeinsame Basis. Beide Bestandskataloge fordern Aufbau, Betrieb und Zertifizierung eines ISMS nach ISO/IEC 27001, ergänzt um die branchenspezifische ISO/IEC 27019 und unter Berücksichtigung von ISO/IEC 27002. ISO/IEC 27019 liefert energiewirtschaftsspezifische Zusatz- und Anpassungs-Controls, insbesondere für Prozessleit- und Netzsteuerungstechnik, also den OT-Bereich.

Ein praktikabler Weg für den CISO:

• Ein gemeinsames ISMS als Dach betreiben, dessen Geltungsbereich die für den Netz- und Anlagenbetrieb notwendigen Telekommunikations- und EDV-Systeme abdeckt.
• Das ISO-27001/27019-Zertifikat als primären Nachweis gegenüber der BNetzA führen. Dieselben Managementprozesse lassen sich für verbleibende oder bewusst freiwillig übernommene BSIG-Themen mitnutzen; das ist eine Effizienzentscheidung, keine zusätzlich zu erfüllende BSIG-Pflicht, soweit § 28 Absatz 5 BSIG greift.
• Die KRITIS-Dachgesetz-Anforderungen zur physischen Resilienz als eigenen, aber angekoppelten Strang führen, da sie nicht durch ein ISMS-Zertifikat abgedeckt werden.

Die Erwartungen sind ehrlich zu steuern, und zwar in beide Richtungen. Soweit § 28 Absatz 5 BSIG greift, ist die Frage nach dem Gleichlauf zwischen Katalog und den freigestellten BSIG-Vorschriften gegenstandslos; dort ist nichts abzudecken. Wo die Ausnahme nicht reicht, etwa bei weiteren kritischen Anlagen, bei weiteren Tätigkeiten, die einer Einrichtungsart nach Anlage 1 oder 2 zuzuordnen sind, oder bei bloßer Nebentätigkeit beim Betrieb einer Energieanlage nach § 28 Absatz 5 Satz 1 Nummer 2 BSIG, adressiert ein nach Katalog zertifiziertes ISMS viele, aber nicht zwingend alle BSIG-Einzelanforderungen; ein automatischer Eins-zu-eins-Gleichlauf besteht nicht. Mehrfachnutzung heißt, Nachweise und Prozesse so zu schneiden, dass sie mehrere Regelwerke bedienen, ohne dass spezifische Zusatzpflichten untergehen.

Typische Fehler

1. Ein vollständiges BSIG-Programm für Risikomanagement, Meldung und Nachweis aufbauen, ohne § 28 Absatz 5 BSIG überhaupt geprüft zu haben.
2. Umgekehrt annehmen, das EnWG-Zertifikat decke die nicht freigestellten BSIG-Pflichten automatisch vollständig ab.
3. Die Freistellung pauschal auf den ganzen Konzern ziehen, statt sie je Einrichtung und Tätigkeit zu prüfen, und dabei die Rückausnahmen übersehen.
4. Drei getrennte Programme ohne gemeinsame Geltungsbereichs- und Asset-Sicht.
5. Vermischung von Cybersicherheit (EnWG/NIS2) und physischer Resilienz (KRITIS-Dachgesetz) in einem einzigen Nachweis.
6. Paragraphen und Fristen aus Sekundärquellen als feststehend übernehmen, statt am aktuellen EnWG, am BSIG und am Katalog zu prüfen.
7. Meldewege nur einseitig denken, obwohl die energiewirtschaftliche Meldepflicht eigene Adressaten, Inhalte und Fristen hat.

Risiken und Trade-offs

Wer alles in ein einziges Programm presst, spart kurzfristig Aufwand, riskiert aber, dass spezifische Pflichten einzelner Regelwerke verschwimmen. Wer dagegen vollständig getrennte Silos betreibt, erzeugt doppelte Nachweise, widersprüchliche Aussagen gegenüber zwei Aufsichten und höhere Kosten.

Ein weiterer Trade-off betrifft die Aktualität. Die NIS2-Umsetzung im EnWG, die Konsolidierung der beiden Bestandskataloge und die genauen Melde- und Fristenregelungen befinden sich in Bewegung. Eine Aussage, die heute stimmt, kann durch einen neuen, konsolidierten Katalog oder eine Gesetzesnovelle überholt werden. Verbindliche Details müssen deshalb gegen den jeweils aktuellen BNetzA-Katalog und das geltende EnWG abgeglichen werden.

Entscheidungspunkte

• Welche Einrichtungen und Anlagen fallen unter welche Regelwerke, und wo überlappen sie sich konkret?
• Greift für welche unserer Einheiten die Ausnahme des § 28 Absatz 5 BSIG, und wo greifen die Rückausnahmen des Absatzes 5 (weitere kritische Anlagen nach § 2 Nummer 22 BSIG, weitere Tätigkeiten mit Zuordnung zu einer Einrichtungsart nach Anlage 1 oder 2, Energieanlagenbetrieb als bloße Nebentätigkeit nach Satz 1 Nummer 2)?
• Wird ein gemeinsames ISMS als Dach geführt, oder bleiben getrennte Managementsysteme bestehen?
• Welche Nachweise und Prozesse lassen sich mehrfach nutzen, und welche Zusatzpflichten bleiben regelwerksspezifisch?
• Wie werden die Meldewege gegenüber BNetzA und BSI organisiert, ohne Doppelmeldungen oder Lücken?
• Wer steuert zentral die Abgrenzung und hält den Paragraphen- und Katalogstand aktuell?

Praktische Empfehlungen

1. Erstellen Sie eine Betroffenheits- und Abgrenzungsmatrix: je Anlage/Einrichtung der Bezug zu EnWG-Katalog, BSIG und KRITIS-Dachgesetz, und dokumentieren Sie je Einheit ausdrücklich, ob § 28 Absatz 5 BSIG greift.
2. Prüfen Sie die Rückausnahmen gesondert und datiert, bevor Sie BSIG-Pflichten als entfallen behandeln; das Ergebnis gehört in die Betroffenheitsanalyse, nicht in eine E-Mail.
3. Führen Sie das ISO-27001/27019-Zertifikat als gemeinsame Basis und planen Sie die Mehrfachnutzung von Nachweisen bewusst ein.
4. Trennen Sie physische Resilienz (KRITIS-Dachgesetz) sichtbar vom ISMS, koppeln Sie beide aber über gemeinsame Risiko- und Asset-Sicht.
5. Benennen Sie den Ansprechpartner IT-Sicherheit gegenüber der BNetzA und klären Sie die verbleibenden BSIG-Berührungspunkte, insbesondere die Registrierung, gesondert.
6. Verifizieren Sie Paragraphenstand, Katalogversion und Fristen vor jeder verbindlichen Aussage am amtlichen EnWG, am BSIG und am aktuellen BNetzA-Katalog.

Relevante Normreferenzen

• EnWG (Energiewirtschaftsgesetz): amtliches Werk, frei zitierbar mit Quellenangabe; Rechtsgrundlage der IT-Sicherheitspflichten und der Katalog-Festlegungskompetenz der BNetzA.
• BSIG in der geltenden Fassung: § 28 regelt besonders wichtige und wichtige Einrichtungen; Absatz 5 enthält die Ausnahme für Telekommunikation sowie für Energieversorgungsnetze, Energieanlagen und digitale Energiedienste, die den §§ 5c bis 5e EnWG unterliegen, Absatz 6 die Ausnahme für Finanzunternehmen und Akteure der Telematikinfrastruktur. Amtliches Werk, frei zitierbar mit Quellenangabe; Umfang der Freistellung und Fassungsstand am Gesetzestext prüfen.
• BNetzA IT-Sicherheitskatalog (Netzbetreiber 2015; Energieanlagen 2018; Konsolidierung in Arbeit): amtliche Verlautbarung, frei zitierbar mit Quellenangabe.
• ISO/IEC 27001: Referenz für ISMS-Anforderungen und Zertifizierung (nur Verweis, kein Volltext).
• ISO/IEC 27019: Referenz für energiewirtschaftsspezifische Controls (nur Verweis; Editionsbezug versionsabhängig und am Katalog zu prüfen).