NIS2-Richtlinie und Prozessverantwortlichkeit im Verteilnetzbetrieb

1. Executive Summary

Die Richtlinie (EU) 2022/2555 (NIS2-Richtlinie) stellt die erste sektorübergreifende Harmonisierung der Cybersicherheitsanforderungen für den europäischen Energiesektor dar. Für kommunale Verteilnetzbetreiber (VNB) und Stadtwerke ergibt sich daraus ein transformierter Compliance-Rahmen: Weg vom reinen KRITIS-Meldesystem nach dem Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-SiG 2.0) hin zu einer umfassenden, prozessorientierten Risikosteuerungspflicht mit staatlicher Aufsicht durch die Bundesnetzagentur (BNetzA).

Kern dieser Analyse ist die Frage der Prozessverantwortlichkeit: NIS2 verpflichtet die Leitungsorgane in wichtigen Einrichtungen dazu, Cybersicherheit als Managementaufgabe zu institutionalisieren, durchgängige Verantwortlichkeitsstrukturen zu dokumentieren und diese der Aufsichtsbehörde nachweisbar zur Verfügung zu stellen. Für den Netzbetrieb bedeutet dies eine Verschärfung insbesondere im Spannungsfeld von OT-Leittechnik (SCADA, Netzleitsysteme), IT-Infrastruktur und Lieferkettenintegrität.

2. Rechtlicher Rahmen und Geltungsbereich

2.1 Europäische Vorgaben

Die NIS2-Richtlinie ersetzt die Richtlinie (EU) 2016/1148 (NIS1) und trat am 16. Januar 2023 in Kraft. Die Umsetzungsfrist in nationales Recht endete am 17. Oktober 2024. Die Richtlinie unterscheidet zwischen „wichtigen Einrichtungen“ (Anhang I) und „relevanten Einrichtungen“ (Anhang II). Unternehmen des Energiesektors – einschließlich Elektrizitätsversorgung, Erdgas, Wasserstoff, Fernwärme und Kraftstoffe – fallen zwingend unter die Kategorie der wichtigen Einrichtungen (Art. 3 i.V.m. Anhang I NIS2).

2.2 Nationale Umsetzung in Deutschland

Die Umsetzung erfolgt durch das Gesetz zur Umsetzung der Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS2-Umsetzungsgesetz – NIS2UmsuCG). Das Gesetz ersetzt das bisherige IT-SiG 2.0 vollständig und überführt dessen Melderegelungen in den erweiterten Pflichtenkatalog der NIS2.

Die BNetzA ist gemäß Art. 8 NIS2 als einheitliche nationale Anlaufstelle für den Energiesektor benannt und fungiert als zuständige Aufsichtsbehörde für die Überwachung der Einhaltung der Richtlinie durch alle unterfallenen Energieunternehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) behält die Funktion der nationalen Cybersecurity-Behörde und betreibt das zentrale Meldesystem.

2.3 Abgrenzung zum bestehenden regulatorischen Umfeld

Neben der NIS2 bleiben sektorspezifische Regulierungsinstrumente bestehen:

• Energiewirtschaftsgesetz (EnWG): Reguliert Systemverantwortung und technische Sicherheit der Netze (§§ 4 ff. EnWG, § 11 EnWG).
• Anreizregulierungsverordnung (ARegV): Kostenvoranschlag für notwendige IT-Sicherheitsinvestitionen im Regulierungskontext.
• BSI-Kritisverordnung (BSI-KritisV): Regelt weiterhin die Meldung kritischer Infrastrukturen an das BSI; diese Pflichten bestehen parallel zur NIS2-Meldung fort, sind jedoch inhaltlich teilweise überlagert.

3. Prozessverantwortlichkeit nach Art. 21 NIS2

3.1 Verpflichtung zur Risikosteuerung

Art. 21 Abs. 1 NIS2 verpflichtet wichtige Einrichtungen zur Umsetzung von Cybersicherheitsmaßnahmen auf der Grundlage einer umfassenden Risikoanalyse. Dies umfasst insbesondere:

• Risikoanalysen und Informationssicherheitsmanagementsysteme;
• Incident-Handling (Erkennung, Reaktion, Wiederherstellung);
• Geschäftsfortführungsmanagement (Back-up-Management, Notfallpläne);
• Lieferkettensicherheit (Security by Design, Sicherheitsprüfungen bei Drittanbietern);
• Sicherheit bei Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen;
• Schulungs- und Sensibilisierungsmaßnahmen für Personal;
• Verwendung von Verschlüsselung und Multi-Faktor-Authentifizierung;
• Sicherheitskonzepte für den Fernzugriff.

3.2 Expliziter Verantwortlichkeitskatalog

Art. 21 Abs. 2 NIS2 konkretisiert die Prozessverantwortlichkeit: Die Mitgliedstaaten stellen sicher, dass Einrichtungen die genannten Maßnahmen „auf der Grundlage eines ausdrücklich definierten, dokumentiert und transparent zur Verfügung gestellten Verantwortlichkeitskatalogs“ umsetzen und diese regelmäßig evaluieren.

Im deutschen Netzbetrieb ist diese Pflicht strukturell neu: Es genügt nicht mehr, ein abstraktes ISMS nach ISO/IEC 27001 zu führen. Vielmehr muss nachweisbar sein, welche Person oder Organisationseinheit für welchen Teilprozess der Risikosteuerung zuständig ist. Die BNetzA kann bei Überwachungsmaßnahmen die Vorlage dieses Katalogs verlangen.

3.3 Management-Haftung und Leitungsorgan-Pflichten

Art. 20 NIS2 adressiert explizit die Leitungsorgane. Diese sind verpflichtet, Cybersicherheitsrisiken bei ihren Entscheidungen zu berücksichtigen und Mitarbeiter mit ausreichenden Kenntnissen in der Lage zu versetzen, diese Risiken zu erkennen. Für den Verteilnetzbetrieb bedeutet dies:

• Die technische Geschäftsführung trägt die unmittelbare Sorgfaltspflicht für die Absicherung der Betriebsführungssysteme.
• Sollte es zu einem schwerwiegenden Sicherheitsvorfall kommen, kann eine Pflichtverletzung des Managements geltend gemacht werden, die sowohl zivilrechtliche Haftungsrisiken (D&O) als auch aufsichtsrechtliche Konsequenzen nach sich zieht.

4. Meldepflichten und Incident-Response (Art. 23 NIS2)

4.1 Frühwarn- und Melderegelungen

Wichtige Einrichtungen im Energiesektor sind verpflichtet, erhebliche Vorfälle (incidents) ohne schuldhaftes Verzögern an die BNetzA zu melden. Der Meldekatalog gliedert sich in drei Stufen:

1. Frühwarnung (24 Stunden): Unverzügliche Meldung bei einer ersten Einschätzung der erheblichen Auswirkungen.
2. Zwischenmeldung: Bei Anfrage der BNetzA oder bei relevanten neuen Erkenntnissen.
3. Abschlussmeldung: Binnen eines Monats nach Aufklärung des Vorfalls mit Details zu Schweregrad, Ursachen und Gegenmaßnahmen.

4.2 Kreuzmeldungen an das BSI

Erfolgt ein Angriff auf kritische Infrastrukturen (KRITIS) i.S.d. BSI-KritisV, besteht die doppelte Meldepflicht: sowohl an die BNetzA nach NIS2 als auch an das BSI nach § 8b BSI-Gesetz. Die BNetzA und das BSI sind verpflichtet, diese Meldungen koordiniert zu verarbeiten (Art. 13 NIS2).

4.3 Definition „erheblicher Vorfall“

Nach Art. 23 Abs. 3 NIS2 ist ein Vorfall erheblich, wenn er tatsächliche oder potenzielle schwerwiegende Auswirkungen auf die Sicherheit und Resilienz der Netz- und Informationssysteme oder auf die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten hat. Für den Energiesektor sind regelmäßig erheblich:

• Ausfälle von Leitsystemen (SCADA/EMS/DMS) mit Beeinträchtigung der Netzsteuerung;
• Ransomware-Angriffe auf OT-Netzwerke;
• Manipulation von Schutz- und Leiteinrichtungen;
• Langandauernde Denial-of-Service-Angriffe auf Netzkommunikationssysteme.

5. BNetzA-Aufsicht und Durchsetzung

5.1 Überwachungsbefugnisse

Die BNetzA ist als sektoral zuständige Behörde ermächtigt, Einrichtungen des Energiesektors einer Risikobewertung zu unterziehen. Dies umfasst gemäß Art. 32 NIS2:

• Auskunftsverlangen gegenüber Unternehmen;
• Durchführung von Audits und Inspektionen vor Ort;
• Anordnung bestimmter Risikomanagementmaßnahmen;
• Einholung von Beweisen einschließlich der Aufforderung zur Vorlage des Verantwortlichkeitskatalogs.

5.2 Bußgeld- und Strafrahmen

Die NIS2-Richtlinie verpflichtet die Mitgliedstaaten zu effektiven, verhältnismäßigen und abschreckenden Sanktionen. Art. 34 NIS2 sieht für wichtige Einrichtungen vor, dass die Obergrenze für administrative Geldbußen mindestens 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres beträgt.

Das NIS2UmsuCG hat diesen Rahmen in deutsches Recht übernommen. Die BNetzA kann als zuständige Behörde Bußgelder gegenüber Rechtsträgern des Energiesektors verhängen. Bei vorsätzlichem oder fahrlässigem Verhalten können darüber hinaus strafrechtliche Sanktionen gemäß §§ 303a, 303b StGB (Computersabotage) oder § 202a StGB (Ausspähen von Daten) greifen.

6. Spezifische Anforderungen an kommunale Verteilnetzbetreiber

6.1 Abgrenzung Übertragungsnetz / Verteilnetz

Während Betreiber von Übertragungsnetzen (ÜNB) bereits unter das IT-SiG 2.0 fielen und etablierte Security-Operation-Center sowie ISMS-Strukturen vorhalten, trifft NIS2 nun explizit auch kleine und mittlere kommunale Verteilnetzbetreiber. Diese sind regelmäßig als wichtige Einrichtungen einzustufen, sofern sie Netze auf der Spannungsebene 110 kV oder darunter betreiben und mehr als 50 Betriebsmittel besitzen oder eine bestimmte Kundenzahl versorgen.

6.2 OT/IT-Schnittstelle im Fokus

Die zentrale Herausforderung für kommunale Stadtwerke liegt in der Absicherung der OT/IT-Schnittstelle. Netzleitsysteme (NMS/SCADA) sind zunehmend IP-basiert und somit exponiert. NIS2 fordert hier:

• Segmentierung von OT- und IT-Netzen;
• Absicherung des Fernwartungszugangs (VPN, MFA, Jump-Server);
• Patch-Management für eingebettete Systeme und industrielle Steuerungen;
• Dokumentation der Lieferkette für Steuerungs- und Schutztechnik.

6.3 Prozessverantwortlichkeit in der Praxis

Für kommunale Strukturen empfiehlt sich eine dreigeteilte Verantwortlichkeitsmatrix:

Prozessebene	Verantwortliche Einheit	Regulatorischer Bezug
Strategisches IS-Risikomanagement	Geschäftsführung / Vorstand	Art. 20 NIS2
Operatives Informationssicherheitsmanagement	IT-Leitung / CISO	Art. 21 Abs. 1 NIS2
Technische Umsetzung OT-Sicherheit	Netzbetrieb / Asset Management	Art. 21 Abs. 2 NIS2, Anhang

Diese Matrix ist explizit zu dokumentieren und bei Anforderung an die BNetzA evidenzbasiert vorzulegen.

7. Lieferketten- und Drittanbietersicherheit

Art. 21 Abs. 1 lit. g NIS2 verpflichtet zur Berücksichtigung der Sicherheit der Lieferkette und der Beziehungen zu direkten Lieferanten und Dienstleistern. Für Netzbetreiber bedeutet dies:

• Sicherheitsanforderungen müssen vertraglich in Beschaffungsprozesse für Netzkomponenten (z. B. Schutzrelais, RTUs, Router) integriert werden;
• Für Smart Meter Gateway-Administratoren (SMGW) und Messstellenbetreiber (MSB) gelten ergänzend die Vorgaben der BSI-Technischen Richtlinie TR-03109;
• Cloud-Dienstleister, die für Netzbetriebsdaten genutzt werden, sind als „direkte Lieferanten“ zu qualifizieren und einem Sicherheitsdue-Diligence-Prozess zu unterziehen.

8. Schnittstelle zur Regulierung nach Anreizregulierung

Nach §§ 4 ff. Anreizregulierungsverordnung (ARegV) sind Betriebskosten im Verteilnetz einer Kostenvoranschlagsprüfung unterworfen. Cybersicherheitsinvestitionen, die der Erfüllung von NIS2-Pflichten dienen, sind grundsätzlich als notwendige Betriebskosten anzuerkennen, sofern sie marktgängig und angemessen sind. Die BNetzA hat in ihrer Praxisbestätigung wiederholt darauf hingewiesen, dass Sicherheitsausgaben keine „goldene Brücke“ zur Kostenvoranschlagsüberhöhung darstellen dürfen, angemessene Maßnahmen gemäß dem Stand der Technik jedoch überwiegend anerkannt werden.

Empfohlen wird daher eine frühzeitige technisch-wirtschaftliche Dokumentation der NIS2-Konformitätsprojekte im Kostenvoranschlag (Kostenstelle 132 „IT-Sicherheit“).

9. Handlungsempfehlungen

1. Verantwortlichkeitskatalog erstellen: Dokumentation aller Risikomanagementprozesse mit Benennung der zuständigen Personen und Eskalationspfade.
2. Gap-Analyse durchführen: Ist-Zustand des ISMS gegen die Art. 21 NIS2-Anforderungen prüfen, insbesondere OT-Security.
3. Incident-Response-Plan anpassen: Sicherstellung der 24-Stunden-Meldefähigkeit an die BNetzA definieren.
4. Lieferanten screenen: Integration von Sicherheitsklauseln in Beschaffungsverträge für Netzkomponenten und IT-Dienstleistungen.
5. D&O-Deckung prüfen: Absicherung der Geschäftsführung gegen zivilrechtliche Haftungsrisiken aus NIS2-Verstößen.
6. ARegV-Reporting vorbereiten: Klassifizierung der Sicherheitsinvestitionen als notwendige Betriebskosten für die nächste Regulierungsperiode.

10. Fazit

Die NIS2-Richtlinie stellt für kommunale Energieversorger und Verteilnetzbetreiber keinen inkrementellen, sondern einen strukturellen Regulierungsschritt dar. Die zentrale Neuerung liegt in der Pflicht zur expliziten Prozessverantwortlichkeit: Cybersicherheit darf nicht mehr als reine IT-Teilaufgabe delegiert werden, sondern muss als unternehmerische Steuerungsgröße in den Geschäftsführungs- und Netzbetriebsprozessen verankert sein. Die BNetzA besitzt als Aufsichtsbehörde effektive Durchsetzungsinstrumente, die bei Nichtbefolgung Bußgelder von bis zu 2 Prozent des Jahresumsatzes vorsehen.

Für Stadtwerke ist die rechtzeitige Implementierung durchgängiger Verantwortlichkeitsstrukturen, die Einbindung der OT-Sicherheit und die Anpassung der Beschaffungs- und Lieferkettenprozesse unmittelbare betriebswirtschaftliche und regulatorische Notwendigkeit. Die Synthese aus NIS2, EnWG und Anreizregulierung erfordert einen ganzheitlichen Governance-Ansatz, der IT, Netzbetrieb und Unternehmensführung integriert.