NIS2 in der Energiewirtschaft: Was gilt, was jetzt zu tun ist

Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Deutschland scharf — ohne Übergangsfrist. Rund 29.500 Unternehmen sind neu in der Pflicht. Für die Energiewirtschaft bedeutet das eine dreifache Regulierungslinie aus NIS2, EnWG § 5c und dem im Frühjahr 2026 wirksamen KRITIS-Dachgesetz. Und die verlängerte BSI-Registrierungs-Frist läuft in wenigen Tagen aus.

Rechtslage

Was NIS2 rechtlich ist — und wo Deutschland heute steht

Die NIS2-Richtlinie (EU 2022/2555) hätte von den EU-Mitgliedsstaaten bis 17. Oktober 2024 in nationales Recht umgesetzt werden müssen. Deutschland hat diese Frist um über ein Jahr gerissen. Der Bundestag hat das NIS2UmsuCG am 13. November 2025 beschlossen, der Bundesrat am 20. November 2025 zugestimmt, und das Gesetz ist am 6. Dezember 2025 mit Verkündung im Bundesgesetzblatt sofort in Kraft getreten. Kein Übergangsjahr, keine sanfte Landung — die Pflichten gelten ab Tag eins.

Das NIS2UmsuCG ändert im Wesentlichen das BSI-Gesetz (BSIG) und erweitert dessen Geltungsbereich erheblich. Statt der bisherigen KRITIS-Regulierung, die vor allem auf große Betreiber kritischer Infrastrukturen zielte, adressiert das neue BSIG rund 29.500 Unternehmen quer durch 18 Sektoren.

Wer ist betroffen — und wie streng

Das Gesetz unterscheidet zwei Kategorien:

• Besonders wichtige Einrichtungen — u.a. Energie, Verkehr, Gesundheit, digitale Infrastruktur — ab 250 Mitarbeitern oder 50 Mio. Euro Jahresumsatz. Für sie ist die BSI-Aufsicht proaktiv, Bußgelder bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (jeweils der höhere Wert).
• Wichtige Einrichtungen — größerer Sektor-Katalog inklusive Post, Abfallwirtschaft, Chemie, Lebensmittel, Forschung — ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz. BSI-Aufsicht reaktiv, Bußgelder bis 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.

Für die Energiewirtschaft heißt das: Energieversorger, Netzbetreiber (Übertragung wie Verteilung), Betreiber von Erzeugungsanlagen, Fernwärme, Wasserstoff, Erdöl-Infrastruktur, Erdgas-Infrastruktur — und auch Direktvermarkter mit entsprechender Größe — fallen in die schärfere der beiden Kategorien. Stadtwerke ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz sind ebenfalls betroffen; größere Häuser fallen in die besonders-wichtige Kategorie.

Pflichten

Die 10 Pflicht-Maßnahmen nach § 30 BSIG

Das inhaltliche Herzstück des Gesetzes sind zehn Risikomanagement-Maßnahmen, die betroffene Unternehmen für alle IT-Systeme, Komponenten und Prozesse umsetzen müssen, die sie zur Erbringung ihrer Dienste einsetzen. Sie sind bewusst technologie-offen formuliert, aber prüfbar:

1. Risikoanalyse-Konzepte und Konzepte für die Sicherheit von Informationssystemen
2. Bewältigung von Sicherheitsvorfällen (Incident Response)
3. Aufrechterhaltung des Betriebs (Business Continuity, Backup-Management, Krisenmanagement)
4. Sicherheit der Lieferkette — inklusive sicherheitsbezogener Aspekte der Beziehung zu Dienstleistern
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IT-Systemen
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen
7. Grundlegende Cyber-Hygiene und Schulungen im Bereich Cybersicherheit
8. Konzepte und Verfahren für Kryptographie und Verschlüsselung
9. Sicherheit des Personals, Konzepte für Zugriffskontrolle und Asset-Management
10. Multi-Faktor-Authentifizierung, gesicherte Sprach-/Video-/Text-Kommunikation, gesicherte Notfallkommunikation

Ein Unternehmen, das bereits ein ISMS nach ISO/IEC 27001 betreibt, deckt erfahrungsgemäß 70–80 % dieser Anforderungen strukturell ab. Die Lücken liegen dann meist in Lieferkettensicherheit, Krypto-Konzepten und der operativen Vorfall-Reaktion.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Für erhebliche Sicherheitsvorfälle gilt ein gestaffeltes Melde-Regime:

• 24 Stunden — Frühwarnung an das BSI mit erster Einschätzung des Vorfalls und ob eine grenzüberschreitende Wirkung wahrscheinlich ist.
• 72 Stunden — vollständige Vorfallmeldung mit aktualisierter Bewertung, Auswirkungen und ersten Ergebnissen der Analyse.
• Ein Monat — Abschlussmeldung mit Ursache, Auswirkungen und ergriffenen Gegenmaßnahmen.

Was ein „erheblicher Sicherheitsvorfall" ist, definiert das BSIG über objektive Schwellenwerte — u.a. schwere Betriebsstörung, wirtschaftliche Schäden, Betroffenheit anderer Personen. Für Energieversorger sind diese Schwellen typischerweise schneller erreicht als in weniger regulierten Sektoren.

§ 38 BSIG: Persönliche Haftung der Geschäftsleitung

Ein Bruch mit der bisherigen Regulierungslogik: § 38 BSIG verpflichtet die Geschäftsleitung besonders wichtiger und wichtiger Einrichtungen persönlich. Konkret:

• Die Geschäftsleitung muss die Risikomanagement-Maßnahmen nach § 30 billigen.
• Sie muss deren Umsetzung überwachen.
• Sie muss regelmäßig an Schulungen zur Cybersicherheit teilnehmen — und diese Schulungen dokumentieren.

Bei Verstößen haftet die Geschäftsleitung persönlich mit dem Privatvermögen. Diese Haftung ist auch nicht durch eine D&O-Versicherung abgesetzt in dem Sinne, dass Fahrlässigkeit klar geregelt haftet. Für die Praxis heißt das: Cybersicherheit ist keine reine IT-Angelegenheit mehr, sondern eine dokumentierte Vorstands-Verantwortung mit Nachweispflicht.

Energiewirtschaft

Dreifach-Regulierung: NIS2, EnWG § 5c, KRITIS-Dachgesetz

Was den Energiesektor besonders macht, ist die Überlagerung mehrerer Regulierungsregime. Ein Energieversorger muss 2026 gleichzeitig:

• NIS2 über das BSIG-neu erfüllen (Risikomanagement, Meldepflicht, Registrierung, Geschäftsleitungs-Haftung),
• die Anforderungen aus § 5c EnWG beachten (IT-Sicherheitskatalog der Bundesnetzagentur für Netzbetreiber und Erzeugungsanlagen),
• und — soweit als KRITIS-Betreiber eingestuft — die Regelungen des KRITIS-Dachgesetzes zur physischen Resilienz umsetzen.

Der Gesetzgeber hat mit § 28 Abs. 5 S. 4 BSIG explizit versucht, echte Doppelregulierung zu vermeiden — dort wo eine sektor-spezifische Norm dieselbe Anforderung sauber abdeckt, gilt sie vorrangig. In der Praxis heißt das aber nicht, dass Energieversorger sich ein Regime aussuchen dürfen: Sie müssen für jede einzelne Pflicht bewerten, welche Norm greift und wie die Erfüllung dokumentiert wird. Das ist keine akademische Übung — Aufsichtsbehörden sind BSI, BNetzA und je nach Konstellation weitere; ihre Prüfungslinien laufen nicht immer synchron.

Für Mehrsparten-Stadtwerke (Strom, Gas, Wärme, teils Wasser) potenziert sich das: verschiedene Sparten, verschiedene Größen-Schwellen, verschiedene Aufsichten. Die saubere Zuordnung ist eine Vorstands-Aufgabe, keine reine Compliance-Fingerübung.

Was jetzt konkret zu tun ist

1. Registrierung beim BSI

Wenn nicht bereits erledigt: sofort. Die verlängerte Frist läuft am 31. Juli 2026 aus. Verspätung ist bereits ein Bußgeld-Tatbestand — unabhängig davon, ob inhaltlich alles andere passt. Das BSI-Portal fragt Unternehmensdaten (Größe, Rechtsform), NIS2-Kontaktpunkt und Sektor-Zuordnung ab. Änderungen sind innerhalb von zwei Wochen nachzupflegen.

2. Gap-Assessment gegen § 30 BSIG

Die 10 Maßnahmen sind der Bewertungsraster. Ein ehrlicher Ist-Soll-Abgleich — welche der zehn Punkte sind heute belastbar dokumentiert und implementiert, wo gibt es Lücken. Für Häuser mit ISO/IEC 27001 typischerweise ein Fein-Assessment; für Häuser ohne ISMS eine grundlegende Bestandsaufnahme.

3. Melde-Prozess einrichten

Ein Sicherheitsvorfall am Freitagabend darf am Montagmorgen keine 24-Stunden-Rückmeldung mehr wert sein. Meldekette, Rufbereitschaft, Vorlagen für die BSI-Meldung, klare Entscheidungswege — das muss operativ tragen. Wer das nicht geübt hat, wird es im Ernstfall nicht können.

4. Lieferketten-Sicherheit

Die häufigste Gap in der Praxis. § 30 verlangt eine strukturierte Betrachtung der IT-Dienstleister und Softwarelieferanten — bis hinunter zu SaaS-Diensten für scheinbare Neben-Prozesse. Die formale Anforderung: eine dokumentierte Bewertung und laufende Prüfung. Die praktische Anforderung: eine belastbare Übersicht, welche externen Systeme in welche eigenen Prozesse eingebunden sind.

5. Geschäftsleitungs-Schulung

§ 38 verlangt regelmäßige Teilnahme an Cybersicherheits-Schulungen — mit Nachweis. Die Größenordnung liegt in mehreren Stunden pro Jahr. Für den Ernstfall ist der Nachweis mindestens so wichtig wie der Lerneffekt.

6. Governance-Klärung im Mehrsparten-Kontext

Wer betreibt was, welche Sparte fällt in welche NIS2/EnWG/KRITIS-Kategorie, welche Aufsicht ist zuständig, wie werden Nachweise gebündelt. Für Stadtwerke und integrierte Versorger ist das die Vorarbeit für alle folgenden Schritte.

Was zu beobachten ist

BSI-Prüfpraxis

Wie die BSI-Aufsicht in den ersten Kalenderquartalen praktisch prüft — anlassbezogen, anlasslos, wie tief — wird die Kalibrierung für alle betroffenen Häuser prägen. Erste Berichte aus 2026 werden hier Erfahrungswerte liefern.

KRITIS-DachG-Konkretisierung

Das KRITIS-Dachgesetz zielt auf die physische Resilienz kritischer Infrastruktur — Zutrittssicherheit, Redundanzen, Notfallpläne. Die Abstimmung mit NIS2 (IT-Resilienz) ist in Teilen noch im Fluss.

Sektor-spezifische Präzisierungen

Der IT-Sicherheitskatalog der BNetzA wird voraussichtlich in einer NIS2-kompatiblen Fassung nachgezogen. Wer heute Investitionen in Sicherheitsarchitektur plant, sollte diese Fassung im Blick behalten, um Doppelaufwand zu vermeiden.

Ein abschließender Gedanke

NIS2 ist in der öffentlichen Wahrnehmung oft als reine Compliance-Übung angekommen — noch eine Melde-Norm, noch ein BSI-Formular. Das greift zu kurz. Der eigentliche Bruch liegt in drei Stellen: die persönliche Haftung der Geschäftsleitung, die operativ ernst gemeinte Meldepflicht in Stunden statt Tagen, und die Ausdehnung von wenigen KRITIS-Betreibern auf 29.500 Unternehmen.

Für die Energiewirtschaft ist das keine neue Welt — das Thema Cybersicherheit war hier schon vor NIS2 präsent, IT-Sicherheitskatalog der BNetzA gilt seit Jahren, KRITIS-Betreiber haben Prüfrunden hinter sich. Was neu ist: der Kreis wird breiter, die Meldezeiten werden kürzer, die Vorstands-Haftung wird explizit, und die Regulierungslinien überlagern sich stärker als je zuvor. Häuser, die Cybersicherheit als isoliertes IT-Projekt behandeln, werden das in den kommenden Prüfungsrunden bemerken. Häuser, die es als Governance-Thema angehen — mit sauberer Zuordnung, dokumentierter Verantwortung und geübter Notfall-Praxis — sind für die nächsten Jahre belastbar aufgestellt.