Energie
Wenn bei Ihnen der Strom ausfällt, fällt er bei anderen aus.
Energieversorger, Netzbetreiber, Stadtwerke und Betreiber von Ladeinfrastruktur stehen im Sektor mit der höchsten Erwartungshaltung: Hier trifft klassische Leittechnik auf moderne IT — und beides muss laufen.
Fallen Sie darunter?
Anlage 1 · Sektor 1
Sektor Energie
Strom-, Fernwärme-, Gas- und Kraftstoffversorgung — von Verteilernetz- und Übertragungsnetzbetreibern über Erzeugungs- und Speicheranlagen bis zu Ladepunktbetreibern und Wasserstoff.
Besonders wichtige Einrichtung
mindestens 250 Mitarbeitende — oder über 50 Mio. € Jahresumsatz und zugleich über 43 Mio. € Jahresbilanzsumme
Gilt für Einrichtungsarten aus Anlage 1 · § 28 Abs. 1, 2 BSIG
Wichtige Einrichtung
mindestens 50 Mitarbeitende — oder über 10 Mio. € Jahresumsatz und Jahresbilanzsumme
Gilt für Einrichtungsarten aus Anlage 1 und 2 · § 28 Abs. 1, 2 BSIG
Wichtig für Sie: Achtung Sonderweg: Für Betreiber von Energieversorgungsnetzen und Energieanlagen, die den §§ 5c bis 5e EnWG unterliegen, gelten zentrale BSIG-Pflichten nach § 28 Abs. 5 BSIG teilweise nicht — welcher Rahmen bei Ihnen greift, gehört anwaltlich geklärt.
Ohne jede Größenschwelle betroffen sind Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1, 2 BSIG); Vertrauensdiensteanbieter gelten stets als wichtige Einrichtung (§ 28 Abs. 2 Nr. 1 BSIG). Mitarbeiterzahl und Finanzkennzahlen stehen zueinander im Oder-Verhältnis; bei den Finanzkennzahlen müssen beide Werte überschritten sein. Ob Ihr konkretes Unternehmen darunterfällt, ist eine Einzelfallfrage — dafür gibt es Anwältinnen und Anwälte.
Was in diesem Sektor typischerweise im Register steht
Diese Pflichten entscheiden bei Ihnen.
§ 30 Abs. 2 Nr. 3 BSIG
Betrieb aufrechterhalten — auch nach dem Ernstfall
Backup-Management, Wiederherstellung und Krisenmanagement sind hier keine IT-Übung: Sie entscheiden, wie schnell Netzführung und Abrechnung nach einem Vorfall wieder stehen.
§ 30 Abs. 2 Nr. 10 BSIG
Fernzugänge absichern
Multi-Faktor-Authentifizierung und gesicherte Kommunikation treffen genau die Stelle, an der Wartungsfirmen und Dienstleister auf Ihre Anlagen zugreifen.
§ 30 Abs. 2 Nr. 4 BSIG
Die Lieferkette mitdenken
Ihr Leittechnik-Hersteller, Ihr Messstellenbetreiber, Ihr Wartungsdienstleister: Sicherheitsbezogene Aspekte dieser Beziehungen gehören geregelt und dokumentiert.
Fallbeispiel (fiktiv): Das Stadtwerk und der Wartungslaptop
Ein kommunales Stadtwerk lässt seine Leittechnik von einem externen Dienstleister warten. Dessen Techniker verbindet sich mit einem Laptop über einen Fernwartungszugang, der seit Jahren mit demselben Passwort läuft — ohne zweiten Faktor. Der Laptop fängt sich in einem anderen Kundenprojekt Schadsoftware ein.
Was das Stadtwerk rettet, ist keine Firewall, sondern eine Entscheidung von vor sechs Monaten: Fernzugänge nur noch mit zweitem Faktor, Dienstleisterzugänge zeitlich begrenzt, jeder Zugriff protokolliert. Der Angriff endet an der Anmeldung — und weil der Vorfall trotzdem dokumentiert wird, ist die Meldefrage in Minuten geklärt statt in Krisensitzungen.
Frei erfundenes Beispiel zur Veranschaulichung — kein realer Kunde, kein Rechtsrat
So nimmt Compliverse Ihnen das ab.
- 1
Ihre Anlagen und Leitsysteme landen als Assets mit Kritikalität im Register — die Grundlage jeder Risikoentscheidung.
- 2
Der Meldeassistent rechnet die Fristen mit: Erstmeldung und Meldung ab Kenntnis, die Abschlussmeldung einen Monat nach der Meldung (§ 32 BSIG).
- 3
Die Richtlinien-Vorlagen für Zugriff, Fernwartung und Betrieb kommen fertig — Sie passen an, geben frei, holen Lesebestätigungen ein.
Häufige Fragen zu NIS2 in der Branche Energie
Ist mein Unternehmen aus der Branche Energie von NIS2 betroffen?
Ihre Branche ist im BSI-Gesetz erfasst: Anlage 1 · Sektor 1, Sektor Energie. Automatisch betroffen sind Sie damit nicht — dazu muss zusätzlich eine Größenschwelle erreicht sein (§ 28 Abs. 1, 2 BSIG). Einen Bescheid gibt es nicht: Sie prüfen die Einstufung selbst und registrieren sich, wenn sie zutrifft (§ 33 BSIG). Für Ihren Sektor gilt außerdem ein Sonderweg — er steht auf dieser Seite unter „Fallen Sie darunter?“. Die Würdigung Ihres Einzelfalls gehört zur Anwältin.
Ab welcher Größe gilt NIS2 für uns?
Als besonders wichtige Einrichtung gelten Sie ab mindestens 250 Mitarbeitende — oder über 50 Mio. € Jahresumsatz und zugleich über 43 Mio. € Jahresbilanzsumme; als wichtige Einrichtung ab mindestens 50 Mitarbeitende — oder über 10 Mio. € Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 1, 2 BSIG). Mitarbeiterzahl und Finanzkennzahlen stehen im Oder-Verhältnis — bei den Finanzkennzahlen müssen aber beide Werte überschritten sein. Einige Einrichtungsarten sind ohne jede Größenschwelle betroffen, etwa Betreiber kritischer Anlagen und qualifizierte Vertrauensdiensteanbieter.
Welche Behörde ist in Deutschland für uns zuständig?
Für Registrierung und Aufsicht ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig (§ 33 BSIG). Sicherheitsvorfälle melden Sie aber nicht dorthin, sondern an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) — mit Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht (§ 32 BSIG). Das ist der häufigste Irrtum in diesem Gesetz: Aufsichtsstelle und Meldestelle sind nicht dieselbe Stelle.
Was passiert, wenn wir NIS2 nicht umsetzen?
Die Pflichten verschwinden nicht: Die Registrierung bleibt fällig (§ 33 BSIG), die Risikomanagementmaßnahmen ebenso (§ 30 Abs. 2 BSIG), und Meldefristen laufen ab dem ersten erheblichen Vorfall (§ 32 BSIG). Hinzu kommt § 38 BSIG: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen — persönlich. „Wusste ich nicht“ trägt an dieser Stelle nicht.
Klären Sie in dreißig Sekunden, was für Sie gilt.
Vier Fragen, eine ehrliche Ersteinschätzung — danach wissen Sie, mit welchem Modul Sie starten und was es kostet.
Was als Nächstes wichtig wird
Weitere Branchen
Rechtsstand geprüft am 01.09.2026 · Jede Aussage mit Fundstelle · Kein Rechtsrat