IT-Sicherheit · Branchen-Briefing

(empty string)

Ab Oktober 2026 wird die aktualisierte ISO/IEC 27019 für Strom- und Gasnetzbetreiber sowie Energieanlagenanbieter verbindlich. Die Bundesnetzagentur hat den IT-Sicherheitskatalog nach EnWG erlassen, der ein zertifiziertes Informationssicherheits-Managementsystem (ISMS) nach ISO/IEC 27001 unter Berücksichtigung von ISO/IEC 27019 vorschreibt. Die Regelungen werden durch die NIS-2-Umsetzung am 6. Dezember 2025 in die §§ 5c bis 5e EnWG verschoben. Der Katalog stellt über die Standard-Norm hinausgehende Anforderungen: Benennung einer IT-Sicherheitsverantwortung gegenüber der Bundesnetzagentur vor Aufbau des ISMS, Erstellung eines Netzstrukturplans zur Trennung von Systemen nach unterschiedlichen Maßnahmenkatalogen, sowie eine Risikoanalyse mit Versorgungsbezug, die auch Auswirkungen auf vor- und nachgelagerte Netze berücksichtigt. Dienstleister, die Systeme für Betreiber führen, müssen ebenfalls ein eigenes ISMS zertifizieren lassen.

Der Gastkommentar von Florian Bieberbach, Chef der Stadtwerke München, thematisiert Regulierungsfragen im Bereich kritischer Infrastrukturen. Er kritisiert, dass europäische Vorgaben wie die Cybersicherheitsrichtlinie und die CER-Richtlinie (in Deutschland als Kritis-Dachgesetz umgesetzt) zu viel Fokus auf Dokumentation und rechtliche Absicherung legen statt auf wirksame Sicherheitsmaßnahmen, was zu Mehrfachregulierung führt. Bieberbach warnt zusätzlich vor Hürden durch die europäische KI-Verordnung, da moderne Überwachungssysteme kritischer Infrastrukturen zunehmend KI-Komponenten enthalten und dadurch in Konflikt mit neuen Regelwerken geraten.