Die ISMS-Pflicht nach ISO/IEC 27001 und ISO/IEC 27019 im Netzbetrieb

Problem in der Praxis

Die Pflicht wird häufig auf das Zertifikat verkürzt. Es entsteht ein ISMS, das ein generisches IT-Umfeld abdeckt, aber den eigentlichen Schutzgegenstand verfehlt: die für den sicheren Netzbetrieb notwendigen Systeme, also Leitstellen, Netzleittechnik, Fernwirktechnik und zugehörige Prozesssteuerung (OT).

Typische Schwächen sind ein zu eng oder unscharf gezogener Geltungsbereich, der kritische Steuerungssysteme nicht erfasst, sowie die Gleichbehandlung von OT und Office-IT trotz grundverschiedener Verfügbarkeit, Lebenszyklen und Patchbarkeit. Spätestens im Audit oder bei einer Störung zeigt sich der Unterschied zwischen einem ISMS, das die Netzleittechnik wirklich steuert, und einem, das vor allem dokumentiert.

CISO-Einordnung

Der CISO sollte die Pflicht entlang von drei Ebenen einordnen.

Pflichtenebene: Das EnWG begründet die Schutzpflicht und die Festlegungskompetenz der BNetzA; der Katalog konkretisiert sie und fordert das zertifizierte ISMS. EnWG und Katalog sind amtliche Werke und mit Quellenangabe zitierfähig. ISO/IEC 27001 und 27019 liefern dagegen das "Wie", also Umsetzungs- und Zertifizierungsschema; sie sind lizenzierte Normen und werden nur referenziert.

Geltungsbereichsebene: Maßgeblich ist der Schutz der TK- und EDV-Systeme, die für einen sicheren Netzbetrieb notwendig sind. Hier setzt ISO/IEC 27019 an, mit energiewirtschaftsspezifischen Anpassungen für Prozessleit- und Netzsteuerungstechnik, die ein rein 27001-orientiertes ISMS nicht ausreichend abbildet.

Abgrenzungsebene: Energie ist Sektor hoher Kritikalität nach NIS2, aber daraus folgt keine automatische Doppelbetroffenheit gegenüber dem BSIG. Maßgeblich ist dabei § 28 Absatz 5 BSIG: Besonders wichtige und wichtige Einrichtungen, die Energieversorgungsnetze, Energieanlagen oder digitale Energiedienste betreiben und den §§ 5c bis 5e EnWG unterliegen, sind von einem aufgezählten Katalog zentraler BSIG-Vorschriften ausgenommen, darunter Risikomanagement, Meldung, Geschäftsleitungspflichten und Nachweis. Die Freistellung ist enumeriert, nicht pauschal: Der Status als Einrichtung bleibt, und die Registrierungspflichten der §§ 33 und 34 BSIG werden nicht ausgeschlossen. Sie entfällt zudem bei weiteren kritischen Anlagen nach § 2 Nummer 22 BSIG, bei weiteren Tätigkeiten, die einer Einrichtungsart nach Anlage 1 oder 2 zuzuordnen sind, und bei bloßer Nebentätigkeit beim Betrieb einer Energieanlage nach § 28 Absatz 5 Satz 1 Nummer 2 BSIG. Wo sie nicht reicht, adressiert ein katalogkonform zertifiziertes ISMS viele, aber nicht zwingend alle Anforderungen; einen automatischen 1:1-Gleichlauf gibt es nicht.

Umsetzungsperspektive

Die Umsetzung beginnt mit der bewussten Definition des Geltungsbereichs. Leitfrage ist nicht "Welche IT haben wir?", sondern "Welche Systeme sind für einen sicheren Netzbetrieb notwendig?". Daraus leiten sich Asset-Inventar, Schutzbedarf und Risikobewertung ab.

Darauf setzt der ISMS-Kern auf: Rollen, Risikologik, Maßnahmen- und Nachweismanagement, Review-Taktung sowie Verbesserungs- und Abweichungsmanagement. Branchenspezifisch kommen die OT-Eigenheiten hinzu: lange Lebenszyklen, eingeschränkte Patchfenster, hohe Verfügbarkeitsanforderungen, Fernwartung und die Trennung von Netzleit- und Bürokommunikation.

Organisatorisch ist der BNetzA ein Ansprechpartner IT-Sicherheit zu benennen; der Nachweis erfolgt über das Zertifikat einer akkreditierten Zertifizierungsstelle nach dem besonderen Zertifizierungsverfahren des Katalogs, branchenüblich mit mehrjähriger Gültigkeit und jährlichen Überwachungsaudits. Da die EnWG-Pflichten im Zuge der NIS2-Umsetzung neu verortet und ergänzt wurden (u. a. um Systeme zur Angriffserkennung), sind Fristen, Verfahren, geforderte ISO/IEC-27019-Edition, Paragraphenstand und der Stand eines neuen, konsolidierten Katalogs am aktuellen EnWG und an der BNetzA zu verifizieren.

Typische Fehler

1. Geltungsbereich an der Office-IT statt am Netzbetrieb ausgerichtet, sodass Netzleit- und Fernwirktechnik nur am Rand erfasst sind.
2. ISO/IEC 27019 als formaler Zusatz behandelt statt als prozessleittechnischer Kern des ISMS.
3. OT mit IT-Annahmen bewertet (Patchbarkeit, Neustartbarkeit, Verfügbarkeit), was zu unrealistischen Maßnahmen führt.
4. ISMS als Zertifizierungsprojekt gefahren; nach dem Audit verliert der Regelbetrieb an Taktung.
5. Paragraphenstände und Katalogversionen aus älteren Quellen übernommen statt aktuell verifiziert.
6. EnWG- und BSIG-Pflichten gleichgesetzt oder additiv gedacht, ohne die Bereichsausnahme des § 28 Absatz 5 BSIG und ihre Rückausnahmen zu prüfen.

Risiken und Trade-offs

Ein zu eng gezogener Geltungsbereich senkt den Aufwand, lässt aber kritische Steuerungssysteme ungeschützt und gefährdet Versorgungssicherheit wie Auditbestätigung; ein zu weiter Bereich bindet Ressourcen und überfordert die Organisation.

Im OT-Umfeld besteht zudem ein dauerhafter Zielkonflikt zwischen Verfügbarkeit und Veränderung: Maßnahmen, die in der Office-IT selbstverständlich sind, können die Netzleittechnik gefährden; diese Abwägung muss bewusst getroffen und dokumentiert werden. Schließlich erzeugt die Gleichsetzung von EnWG-Katalog und BSIG Lücken, ein ungeprüftes Nebeneinander dagegen Doppelstrukturen für Pflichten, die § 28 Absatz 5 BSIG gerade ausnimmt.

Entscheidungspunkte

• Wie wird der Geltungsbereich entlang des sicheren Netzbetriebs gezogen, und welche OT-Systeme gehören zwingend hinein?
• Welche ISO/IEC-27019-Edition fordert der für uns geltende Katalog, und ist diese Angabe am aktuellen Katalog verifiziert?
• Gilt für uns die fortbestehende Bestandsregelung oder bereits ein neuer Stand des Katalogs?
• Wer ist Ansprechpartner IT-Sicherheit, und wie ist die Schnittstelle zur BNetzA organisiert?
• Für welche Einheiten greift § 28 Absatz 5 BSIG, und wie integrieren wir EnWG-Katalog und verbleibende BSIG-Pflichten, ohne sie gleichzusetzen und ohne Doppelstrukturen aufzubauen?

Praktische Empfehlungen

1. Definieren Sie den Geltungsbereich aus dem Netzbetrieb heraus und begründen Sie Ein- und Ausschlüsse nachvollziehbar.
2. Behandeln Sie OT als eigenständigen Steuerungsgegenstand mit eigener Risikologik, statt IT-Annahmen zu übertragen.
3. Verankern Sie die Anpassungen aus ISO/IEC 27019 im Kern des ISMS, nicht als Anhang.
4. Verifizieren Sie Paragraphenstand, geltenden Katalog und geforderte Normedition am aktuellen EnWG und an der BNetzA, bevor Sie verbindliche Aussagen treffen.
5. Klären Sie zuerst die Reichweite des § 28 Absatz 5 BSIG und bedienen Sie danach EnWG-Katalog und verbleibende BSIG-Pflichten über ein integriertes Nachweissystem, das Unterschiede sichtbar hält; halten Sie den Regelbetrieb nach dem Erstzertifikat in Taktung.

Relevante Normreferenzen

• EnWG: gesetzliche Grundlage der Schutzpflicht und der Festlegungskompetenz der BNetzA; amtliches Werk, mit Quellenangabe zitierfähig. Aktuellen Paragraphenstand prüfen.
• BNetzA IT-Sicherheitskatalog (Netzbetrieb): konkretisiert die Pflicht, fordert das zertifizierte ISMS; amtliche Verlautbarung, mit Quellenangabe zitierfähig. Aktuellen Versionsstand prüfen.
• ISO/IEC 27001: Referenz für ISMS-Anforderungen und Zertifizierung. Nur Referenz.
• ISO/IEC 27019: Referenz für energiewirtschaftsspezifische Sicherheitsvorgaben (Prozessleit- und Netzsteuerungstechnik). Nur Referenz; geforderte Edition versionsabhängig.
• ISO/IEC 27002: Referenz für ergänzende Sicherheitsmaßnahmen. Nur Referenz.