Kurz gesagt: Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz (NIS2UmsuCG). Für Energieversorger bringt es einen verbindlichen Pflichtenkatalog, eine Registrierungspflicht beim BSI und eine klare Verantwortung der Geschäftsleitung. Wer betroffen ist, was konkret zu tun ist und wie ein belastbarer Umsetzungsplan aussieht.

Wer ist betroffen

Die NIS-2-Richtlinie (Richtlinie EU 2022/2555) und das deutsche NIS2UmsuCG, das die Pflichten im neu gefassten BSI-Gesetz (BSIG) verankert, erfassen den Energiesektor als Sektor mit hoher Kritikalität (Anhang I). Das umfasst:

  • Elektrizitätsunternehmen, Stromerzeuger, Übertragungs- und Verteilnetzbetreiber
  • Erdgas- und Erdölversorger sowie Pipeline-Betreiber
  • Fernwärmeunternehmen
  • Wasserstoff-Produzenten und -Versorger (neu im Geltungsbereich)
  • Betreiber von Ladepunkten für Elektrofahrzeuge

Ausschlaggebend ist nicht nur die Tätigkeit, sondern auch die Unternehmensgröße (§ 28 BSIG, Größenklassen nach der KMU-Empfehlung der EU-Kommission 2003/361/EG). Besonders wichtige Einrichtungen (EU-Richtlinie: wesentliche Einrichtungen) sind im Energiesektor Unternehmen mit mindestens 250 Beschäftigten oder mit mehr als 50 Mio. Euro Jahresumsatz und mehr als 43 Mio. Euro Bilanzsumme. Betreiber kritischer Anlagen sind unabhängig von ihrer Größe besonders wichtige Einrichtungen. Wichtige Einrichtungen sind Unternehmen mit mindestens 50 Beschäftigten oder mit mehr als 10 Mio. Euro Jahresumsatz und mehr als 10 Mio. Euro Bilanzsumme. Betroffene Unternehmen müssen sich spätestens drei Monate, nachdem sie erstmals als Einrichtung gelten, beim BSI registrieren (§ 33 BSIG). Auch Zulieferer können indirekt betroffen sein, wenn sie sicherheitsrelevante Dienstleistungen für betroffene Energieunternehmen erbringen.

Was sich gegenüber NIS 1 ändert

NIS 1 hat im Energiesektor primär Übertragungsnetzbetreiber und Großkraftwerke erfasst. NIS 2 verbreitert den Anwendungsbereich substantiell:

  • Mehr Unternehmen durch niedrigere Schwellenwerte
  • Lieferkette explizit Teil der Risikobewertung
  • Verantwortung und Haftung der Geschäftsleitung (Artikel 20, § 38 BSIG) für die Umsetzung der Sicherheitsmaßnahmen
  • Bußgelder bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen, jeweils der höhere Betrag (§ 65 BSIG)
  • Meldepflichten mit harten Fristen, kein „so bald wie möglich“ mehr

Energieversorger, die unter NIS 1 nur am Rande betroffen waren, finden sich unter NIS 2 mit einem deutlich umfangreicheren Pflichtenkatalog wieder.

Der Pflichtenkatalog im Kern

Artikel 21 der Richtlinie definiert zehn technische und organisatorische Maßnahmen, die jedes betroffene Unternehmen umsetzen muss:

  1. Konzepte für Risikoanalysen und Sicherheitsmaßnahmen
  2. Bewältigung von Sicherheitsvorfällen (Incident Response)
  3. Aufrechterhaltung des Betriebs, Backup-Management, Krisenmanagement
  4. Sicherheit der Lieferkette, einschließlich Beziehungen zu Dienstleistern
  5. Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen
  6. Konzepte zur Bewertung der Wirksamkeit dieser Maßnahmen
  7. Cyber-Hygiene und Schulungen
  8. Kryptografie und Verschlüsselung
  9. Personalsicherheit, Zugriffskontrolle, Asset-Management
  10. Multi-Faktor-Authentifizierung, gesicherte Kommunikation, Notfallkommunikation

Diese zehn Punkte sind nicht optional. Sie sind keine unverbindliche Empfehlung. Sie sind gesetzlich geschuldet.

Meldepflichten: harte Fristen

Bei einem erheblichen Sicherheitsvorfall gilt (Artikel 23 NIS 2, § 32 BSIG):

  • 24 Stunden: Erste Frühwarnung an die zuständige Behörde (in Deutschland das BSI)
  • 72 Stunden: Meldung mit einer ersten Bewertung des Vorfalls
  • 1 Monat: Abschlussbericht mit Ursachenanalyse und ergriffenen Maßnahmen

Wer diese Fristen versäumt, riskiert Bußgelder und Fragen der Aufsicht an die Geschäftsleitung. In einer Branche, die historisch eher zurückhaltend kommuniziert hat, ist das eine Kulturänderung.

Verantwortung der Geschäftsleitung

Artikel 20 der Richtlinie und § 38 BSIG (neu gefasst durch das NIS2UmsuCG) verpflichten die Geschäftsleitung, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Verletzt sie diese Pflichten, haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln persönlich für den Schaden.

Die Richtlinie sieht zudem vor, dass Aufsichtsbehörden bei wesentlichen Einrichtungen als letztes Mittel Leitungspersonen vorübergehend untersagen können, Leitungsaufgaben wahrzunehmen (Artikel 32 Abs. 5 NIS 2). Cyber-Sicherheit ist damit endgültig kein IT-Thema mehr, sondern Vorstandsthema.

Checkliste: zehn Schritte zur NIS-2-Konformität

Wir empfehlen folgenden Umsetzungsplan, basierend auf ISO/IEC 27001:2022 als Fundament und NIS-2-spezifischen Ergänzungen:

  1. Betroffenheit klären und registrieren. Besonders wichtige oder wichtige Einrichtung? Welche Tochtergesellschaften sind betroffen? Welche Lieferanten? Registrierung beim BSI erledigt (§ 33 BSIG)?
  2. Risikomanagement etablieren. Schutzbedarfsanalyse, Asset-Inventar, Risikobewertung mit klaren Eigentümern.
  3. Maßnahmen-Katalog gegen Artikel 21 mappen. Lückenanalyse zwischen Ist-Zustand und gesetzlicher Pflicht.
  4. Vorstands-Beschluss zur Cyber-Sicherheitsstrategie. Schriftlich, mit Verantwortlichkeiten und Budget.
  5. Lieferkette absichern. Vertragsklauseln, Audit-Rechte, Sicherheits-Anforderungen an Dienstleister.
  6. Detection und Response aufbauen. SOC im Eigenbetrieb oder als Managed Service, mit 24/7-Abdeckung.
  7. Meldewege definieren. Wer informiert das BSI binnen 24 Stunden? Stellvertretung? Eskalation?
  8. Schulungen durchführen. Geschäftsleitung, Schlüsselpersonal, technische Teams, jeweils zielgruppengerecht.
  9. Dokumentation aufbauen. Audit-tauglich, mit Versionierung, regelmäßig aktualisiert.
  10. Wirksamkeit prüfen. Penetration Tests, Tabletop-Übungen, jährliche Management-Review.

Diese zehn Schritte führen nicht zu einem „NIS-2-Zertifikat“ (das gibt es nicht). Sie führen zur Nachweisbarkeit, dass die gesetzlich geforderten Maßnahmen umgesetzt sind.

Was viele Energieversorger unterschätzen

Drei Punkte, die in unserer Beratungspraxis regelmäßig zu spät angegangen werden:

  • Lieferkette. Wer 2026 keine vertraglichen Sicherheits-Anforderungen an seine IT-Dienstleister, Fernwartungs-Anbieter und Cloud-Plattformen stellt, hat eine offene Flanke. Aufsichtsbehörden werden hier gezielt prüfen.
  • OT-Sicherheit. Steuerungstechnik in Umspannwerken, Pumpstationen und Erzeugungsanlagen ist oft veraltet, lange Patch-Zyklen, schwache Authentifizierung. NIS 2 macht keine Ausnahme für OT.
  • Vorstandskompetenz. Die Pflicht zur Schulung der Geschäftsleitung ist nicht symbolisch. Bei einem Vorfall wird die Aufsichtsbehörde fragen, was die Geschäftsleitung wann gewusst und entschieden hat.

Wie GermanAI Defense unterstützt

Wir bauen NIS-2-Programme auf ISO/IEC 27001:2022 als Fundament auf, ergänzen mit den NIS-2-spezifischen Pflichten und liefern Audit-taugliche Dokumentation. Unser Geltungsbereich umfasst Lückenanalyse, Maßnahmen-Plan, technische Umsetzung (SOC, Penetration Testing, Schulung) und die fortlaufende Begleitung der Geschäftsleitung.

Selbst nach ISO/IEC 27001:2022 zertifiziert, dokumentiert und prüfbar. Aus Frankfurt, für die Energieinfrastruktur in Deutschland.

→ Betroffenheit, Pflichten und unser Vorgehen: NIS-2-Beratung

→ Mehr zu unserer GRC- und Compliance-Beratung: germanaidefense.de/grc