Auch mit der NIS2-Umsetzung bleibt im Energiesektor ab 2024 Mehrfach-Regulierung erhalten. Betreiber bestimmter Energieanlagen fallen in einigen Betriebsteilen weiterhin unter separate Regulierung im Energiesektor mit dem EnWG, parallel zu NIS2 und KRITIS. Der Dezember-Entwurf der NIS2-Umsetzung passt das EnWG in vielen Teilen an.
NIS2-Einrichtungen, die Betreiber von Energieversorgungsnetzen und Energieanlagen im Sinne des EnWG sind, müssen nach §28 (4) BSIG-E (NIS2UmsuCG) wahrscheinlich keine NIS2-Maßnahmen nach §§31, 32, 35, 39 umsetzen. Es gelten dann die Anforderungen §5c EnWG:
Energieversorgungsnetze und Energieanlagen müssen ihre IT im Anlagen- und Netzbetrieb schützen mit neuen BNetzA IT-Sicherheitskatalogen. Diese Kataloge müssen mindestens §30-Maßnahmen aus BSIG-E (NIS2UmsuCG) und Angriffserkennung umfassen
Maßnahmen müssen dokumentiert, Mängel beseitigt werden, das BNetzA darf die Umsetzung überprüfen und Maßnahmen vornehmen.
Sicherheitsvorfälle müssen ans BSI gemeldet werden, weiterhin diverser Austausch mit der BNetzA und weitere Informationspflichten. Betreiber müssen sich beim BSI registrieren, das dann an die BNetzA übermittelt.
Weiterhin wird es für Energiebetreiber verschiedene Sicherheitskataloge der BNetzA geben.
Katalog gültig Betreiber und Anlagen
IT-Sicherheitskatalog §11 Abs. 1a EnWG 2015 Betreiber von Energieversorgungsnetzen
Stromübertragungs- und -verteilnetze
Gasübertragungs- und -verteilnetze
IT--Sicherheitskatalog §11 Abs. 1b EnWG 2018 Betreiber von Energieanlagen nach KRITIS-Verordnung
Erzeugungsanlagen
Steuerung/Bündelung elektrischer Leistung
Zentrale standortübergreifende Steuerung Gas
IT-Sicherheitskatalog neu EnWG 2024? Betreiber von Energieversorgungsnetzen
ersetzt Katalog §11 Abs. 1a für NIS2UmsuCG
IT-Sicherheitskatalog neu EnWG 2024? Betreiber von Energieanlagen
ersetzt Katalog §11 Abs. 1b für NIS2UmsuCG