1. Regulatorischer Geltungsbereich und Abgrenzung

1.1 NIS2-Richtlinie (RL 2022/2555/EU)

Die am 16. Januar 2023 in Kraft getretene NIS2-Richtlinie etabliert über Art. 2 eine Pflicht zur Cybersicherheits-Risikomanagement für als „wesentlich" oder „wichtig" eingestufte Einheiten. Verteilnetzbetreiber (E-ONC, Betreiber von Elektrizitätsverteilernetzen gemäß Anhang I Sektor Energie) fallen unabhängig von der Unternehmensgröße unter den Anwendungsbereich, sofern sie kritische Infrastruktur im Sinne des Art. 3 lit. a i.V.m. Anhang I darstellen.

Art. 21 Abs. 2 NIS2 normiert explizit zehn Mindestanforderungen für das Cybersicherheits-Risikomanagement:

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme
• Vorfallsbehandlung
• Geschäftscontinuität und Krisenmanagement
• Lieferkettensicherheit
• Sicherheit bei Beschaffung, Entwicklung und Wartung
• Politiken und Verfahren zur Bewertung der Wirksamkeit
• Grundsätze der Cyberhygiene und Schulungen
• Politiken zu kryptografischen Verfahren (soweit angemessen und vorhanden)
• Menschliche Ressourcen-Sicherheit
• Multi-Faktor-Authentifizierung

1.2 Nationale Transformation durch BSI-KritisV 2.0 und EnWG

Die Umsetzung erfolgt national über das Energiewirtschaftsgesetz (EnWG) in Verbindung mit der BSI-KritisV (Verordnung zur Bestimmung kritischer Infrastrukturen nach § 2 Abs. 10 BSIG). Für Stromnetzbetreiber resultiert daraus eine Pflicht zur Anwendung des BSI-IT-Grundschutz-Profils B3S (Basisabsicherung Strom und Gas) sowie zur Einhaltung der ISO/IEC 27001:2022 als zertifizierbare Managementsystemgrundlage.

Die Regelungsstruktur ist dreischichtig:

1. NIS2 (Primärrecht, EU-Ebene)
2. EnWG §§ 4 ff. mit Anpassungsverordnungen (sektorspezifische Umsetzung durch Bundesnetzagentur)
3. BSI-KritisV mit B3S-Profil (betreiberspezifische Mindeststandards)

---

2. IT/OT-Abgrenzung und Resilienzanforderungen

2.1 Architekturzonierung nach IEC 62351 und B3S

Verteilnetzbetreiber betreiben hybride Infrastrukturen mit konvergierenden IT/OT-Systemen. Die B3S-Profilvorgaben fordern eine strenge Zonierung:

Zone	Typische Systeme	Schutzbedarf
Unternehmens-IT (Zone 0)	ERP, E-Mail, Bürokommunikation	Normal
DMZ / Zwischennetz (Zone 1)	Historian, SCADA-Front-End	Hoch
Produktionsnetz / OT (Zone 2)	RTU, IED, Fernwirkeinrichtungen	Sehr Hoch
Sicherheitszone (Zone 3)	Leitsysteme, EMS, Ausrüstungssteuerung	Sehr Hoch

Die Trennung muss über Firewall-Systeme mit Protokoll-Gateways erfolgen. Für die Fernwirkprotokolle IEC 60870-5-104, DNP3 und Modbus TCP sind Anwendungs-Firewalls mit Deep-Packet-Inspection (DPI) erforderlich, da reine Port-Filterung die IEC 62351-4-Anforderungen an Authenticity und Integrity nicht erfüllt.

2.2 Protokollsicherheit

Folgende Protokolle sind in Verteilnetzen mit NIS2-Relevanz zu adressieren:

• IEC 60870-5-104: TCP-basiert, unverschlüsselt. NIS2-konforme Betreiber müssen TLS-Tunnel (RFC 5246/8446) oder IEC 62351-3 Transport Layer Security nutzen. Die Prüfung auf Rekursion, Umleitung und ungültige APCI-Formate ist über DPI zu implementieren.
• DNP3 (IEEE 1815): Serial/TCP-Hybrid. DNP3-Secure Authentication (SAv5) gemäß IEEE 1815-2012 ist für Fernwirkstrecken obligatorisch. Asymmetrische Key-Erzeugung und Update-Mechanismen müssen nach IEC 62351-8 abgebildet werden.
• IEC 61850 (MMS/GOOSE/SV): Stationäre Kommunikation. GOOSE- und SV-Nachrichten nutzen VLAN-Priorisierung (IEEE 802.1Q) und müssen durch stationäre Firewalls auf Layer 2-Ebene gefiltert werden. MMS-Sessions sind über Access Control Lists (ACL) auf Applikationsebene zu beschränken.
• Modbus TCP: Keine native Sicherheitsfunktionalität. Einsatz nur in gekapselten OT-Zonen mit TLS-Wrapper (Modbus/TCP Security nach IEC 62351-8) oder durch Secure Modbus Gateways.

2.3 Netzsegmentierung und Monitoring

Art. 21 Abs. 2 lit. c NIS2 impliziert Netzwerksegmentierung als Teil der Risikobewertung. Für Verteilnetzbetreiber bedeutet dies:

• Implementierung von Unidirectional Security Gateways (Data Diodes) für die OT-zu-IT-Datenübertragung von Historian- und Phasormessungsdaten (PMU-Daten nach IEEE C37.118).
• Etablierung von SIEM-Systemen (Security Information and Event Management) mit OT-fähigen Parsing-Rules für DNP3- und IEC 104-Events.
• SOAR-Integration (Security Orchestration, Automation and Response) für automatisierte Isolierung kompromittierter RTU-Subnetze.

---

3. Nachweisdokumentation und Auditierbarkeit

3.1 Managementsystem-Dokumentation (ISO/IEC 27001:2022)

Die NIS2-konforme Implementierung erfordert ein dokumentiertes ISMS (Information Security Management System) nach ISO/IEC 27001:2022, Kapitel 4-10. Für Verteilnetzbetreiber sind folgende Teilmengen explizit vorzuhalten:

• Sicherheitsleitlinie (ISO 27001, 5.2): Geltungsbereich, Rollenmatrix, Eskalationsstufen
• Risikomanagement-Dokumentation (ISO 27001, 6.1.2): Risikokatalog mit Bedrohungen für OT-Komponenten (Stuxnet-artige PLC-Manipulation, Supply-Chain-Kompromittierung durch manipulierte Firmware in IEDs)
• Statement of Applicability (SoA): Beurteilung aller 93 Controls aus ISO/IEC 27002:2022 mit Begründung bei Ausschlüssen; OT-spezifische Erweiterungen durch IEC 62351 und NERC CIP-002 bis CIP-011 als Referenzrahmen
• ** interne Audits** (ISO 27001, 9.2): Halbjährliche Audits der OT-Zonen, jährliche Revision des ISMS durch die Geschäftsführung

3.2 Betreiberspezifische Nachweise nach B3S

Das BSI-IT-Grundschutz-Profil B3S fordert strukturierte Nachweise für sieben Schichten:

1. Sicherheitsmanagement (ORP): ISMS-Dokumentation, Rollendefinitionen, Sicherheitsbeauftragte(r) nach § 8 BSI-Gesetz
2. Organisation und Personal (OPS): Schulungsnachweise für OT-Personal, Zugangsberechtigungsmatrix nach dem Need-to-Know/Need-to-Access-Prinzip
3. Kommunikation (KOM): Netzpläne mit VLAN-Dokumentation, Firewall-Regelwerke, Verschlüsselungsnachweise (TLS-Zertifikatsketten, Key-Management-Dokumentation)
4. Identitäts- und Berechtigungsmanagement (IND): IAM-Konzepte für SCADA-Benutzer, separate Administratorkonten für OT- und IT-Systeme
5. Hardware und Software (SYS): Verzeichnis kritischer OT-Komponenten, Patch-Management-Logs, Firmware-Integritätsprüfsummen (SHA-256)
6. Notfallmanagement (DER): Incident-Response-Pläne mit Eskalationsmatrix zum BSI (Meldepflicht nach § 8b BSIG i.V.m. Art. 23 NIS2), Wiederanlaufpläne für Leitsysteme
7. Anwendungen (APP): Dokumentation der Fernwirkprotokoll-Konfigurationen, Backup- und Recovery-Verfahren für EMS-Datenbanken

3.3 Melde- und Nachweispflichten

Art. 23 NIS2 etabliert eine Meldepflicht für Vorfälle mit signifikanten Auswirkungen auf die Betriebsfortführung. National konkretisiert durch § 8b BSIG:

• Unverzügliche Meldung an das BSI innerhalb von 24 Stunden nach Feststellung (initial assessment)
• Zwischenbericht nach 72 Stunden mit technischer Einordnung
• Abschlussbericht nach Behebung

Die Nachweisdokumentation muss für jede Meldung folgende Entities enthalten:

• CVE-Identifier (falls bekannt)
• Betroffene CPEs (Common Platform Enumeration) der OT-Komponenten
• Betroffene ICS-CERT-Advisories
• Netzwerk-Topologie-Ausschnitt mit betroffener Zone
• Timeline der Erkennung, Containment, Eradication, Recovery

---

4. Rollen und Verantwortlichkeiten

Rolle	Rechtsgrundlage	Aufgaben im NIS2-Kontext
Geschäftsführung / Vorstand	Art. 20 NIS2, D&O-Versicherung	Gesamtverantwortung für Risikomanagement, Genehmigung des Sicherheitsbudgets, Bestellung der CISO-Rolle
Chief Information Security Officer (CISO)	ISO 27001, 5.3; B3S ORP.1.A1	ISMS-Betrieb, Meldung an BSI, Schnittstelle zu Regulatoren
OT Security Officer	B3S ORP.4	Zonierungskonzept, Firewall-Regelwerke, Incident Response in OT
ICS-CERT-Koordinator	§ 8b BSIG	Koordination der externen Kommunikation bei OT-Vorfällen, Abgleich mit BSI-Lagebild
Datenschutzbeauftragter	DSGVO Art. 37	Schnittstelle bei Incidents mit personenbezogenen Daten (Smart-Metering-Infrastruktur)

---

5. Fazit und operativer Handlungsbedarf

Die NIS2-Richtlinie transformiert die bisherige KritisV-Logik von einer reinen Melde- in eine umfassende Pflichtenordnung mit ex ante-Risikomanagement. Für Verteilnetzbetreiber resultiert daraus ein konkreter Umsetzungsbedarf in vier Feldern:

1. Zertifizierung: ISO/IEC 27001:2022-Zertifizierung mit OT-Scope-Erweiterung (Auditor-Qualifikation nach ISO/IEC 27006 mit ICS-Erfahrung)
2. Technische Segmentierung: Vollständige Abgrenzung der OT-Zonen nach IEC 62351 mit DPI-Firewalls für IEC 104, DNP3 und IEC 61850
3. Dokumentationslücke: Aufbau einer revisionssicheren Dokumentation für alle 93 ISO 27002-Controls plus B3S-Erweiterungen, einschließlich Firmware-Inventur und Patch-Trail
4. Meldeinfrastruktur: Etablierung eines 24/7-fähigen SOC (Security Operations Center) mit OT-fähigen Analysten zur Einhaltung der 24-Stunden-Meldeverpflichtung

Die regulatorische Frist zur vollständigen nationalen Umsetzung der NIS2-Richtlinie endet am 17. Oktober 2024 (Art. 40 NIS2). Betreiber, die zum Stichtag keine ISO 27001-Zertifizierung mit B3S-Profil vorweisen können, unterliegen den Sanktionsregimen des Art. 34 NIS2, die im deutschen Implementierungsgesetz durch Bußgeldvorschriften im Bereich bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes (Art. 34 Abs. 4 lit. a) konkretisiert werden.