NIS2 gilt für Betreiber im Energiesektor, deren Einrichtungsart in Anhang I aufgeführt ist und die mindestens mittlere Unternehmen sind. Die Teilsektoren sind Elektrizität, Fernwärme und Fernkälte, Erdöl, Erdgas und Wasserstoff. Mittleres Unternehmen heißt: 50 oder mehr Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR. Große Betreiber sind wesentliche Einrichtungen, mittlere sind wichtige Einrichtungen, und kritische Einrichtungen nach CER sind unabhängig von ihrer Größe wesentlich.
Dieser Leitfaden behandelt den Anwendungsbereich je Teilsektor, Öl und Gas, den Status als wesentliche oder wichtige Einrichtung, die Anforderungen von NIS2, den Netzkodex für den Stromsektor, die CER-Richtlinie, die Kernenergie, die Betriebstechnik (OT) in der Praxis und eine Checkliste.
| Teilsektor | Einrichtungsarten in Anhang I NIS2 | Unter NIS1? |
|---|---|---|
| Elektrizität | Elektrizitätsunternehmen, die die Funktion der Versorgung wahrnehmen; Verteilernetzbetreiber (VNB); Übertragungsnetzbetreiber (ÜNB); Erzeuger; nominierte Strommarktbetreiber (NEMOs); Marktteilnehmer, die Aggregierungs-, Laststeuerungs- oder Energiespeicherungsdienste erbringen; Betreiber von Ladepunkten, die Endnutzern einen Ladedienst erbringen | Nur Versorgung, VNB und ÜNB |
| Fernwärme und Fernkälte | Betreiber von Fernwärme oder Fernkälte | Nein |
| Erdöl | Betreiber von Erdöl-Fernleitungen; Betreiber von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl sowie von Erdöllagern und Erdöl-Fernleitungen; zentrale Bevorratungsstellen | Ja, außer zentrale Bevorratungsstellen |
| Erdgas | Versorgungsunternehmen; Verteilernetzbetreiber und Fernleitungsnetzbetreiber; Betreiber von Speicheranlagen; Betreiber von LNG-Anlagen; Erdgasunternehmen; Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas | Ja |
| Wasserstoff | Betreiber im Bereich Wasserstofferzeugung, -speicherung und -fernleitung | Nein |
Welche Energieunternehmen sind von NIS2 betroffen?
Zwei Prüfungen entscheiden: zuerst die Art der Einrichtung, dann die Größe. Der Anwendungsbereich knüpft an die juristische Person an, nicht an einen Standort oder eine Anlage.
Art. Die meisten Energieeinträge in Anhang I verweisen auf eine Begriffsbestimmung im EU-Energierecht, und diese Begriffe sind weit gefasst. Ein Erzeuger ist eine natürliche oder juristische Person, die Elektrizität erzeugt (Richtlinie (EU) 2019/944, Artikel 2(38)), ohne Leistungsuntergrenze. Aggregatoren, Anbieter von Laststeuerung und Speicherbetreiber fallen als Marktteilnehmer darunter. Fernwärme und Fernkälte, Wasserstoff und Ladepunkte sind neu: NIS1 erfasste nur Strom, Öl und Gas.
Größe. NIS2 gilt für Einrichtungen, die nach der Empfehlung 2003/361/EG mindestens mittlere Unternehmen sind: 50 oder mehr Beschäftigte oder Umsatz und Bilanzsumme jeweils über 10 Mio. EUR. Die Daten von Partner- und verbundenen Unternehmen werden hinzugerechnet. Artikel 2(1) schaltet die Regel der Empfehlung zur Kontrolle durch öffentliche Stellen ab, sodass ein Stadtwerk nicht allein deshalb groß ist, weil es einer Kommune gehört.
Unabhängig von der Größe. Ein kleinerer Betreiber fällt unter NIS2, wenn er eine kritische Einrichtung nach CER ist (Artikel 2(3)). Er fällt auch darunter, wenn sein Mitgliedstaat ihn bestimmt, etwa als einzigen Anbieter eines wesentlichen Dienstes (Artikel 2(2)). Für einen kleinen örtlichen Netzbetreiber ist das die Frage, die er der Behörde stellen sollte.
Die Methode steht im Leitfaden zum NIS2-Anwendungsbereich, und der NIS2-Betroffenheitscheck liefert eine erste Antwort anhand von Sektor, Beschäftigtenzahl und Umsatz.
Was der Vorschlag vom Januar 2026 ändern würde
Am 20. Januar 2026 hat die Kommission gezielte Änderungen an NIS2 vorgeschlagen, COM(2026) 13. Danach wären Stromerzeuger mit einer Gesamterzeugungskapazität von 1 MW oder weniger ausgenommen. Außerdem würden die Wasserstoffeinträge unter Verweis auf die Richtlinie (EU) 2024/1788 neu definiert. Es handelt sich um einen Vorschlag, nicht um geltendes Recht: Heute fällt jeder Erzeuger unter NIS2, der die Größenschwelle erreicht.
Gilt NIS2 für Öl- und Gasunternehmen?
Ja, für die aufgeführten Arten, die mindestens mittlere Unternehmen sind.
Öl. Die Einträge folgen der Infrastruktur, von Fernleitungen und Produktion über Raffination bis zu Lagerung und Transport, dazu kommen die zentralen Bevorratungsstellen, die Notvorräte und spezifische Vorräte an Erdöl verwalten. Reiner Handel ist keine aufgeführte Tätigkeit.
Gas. Der weit gefasste Eintrag ist der der Erdgasunternehmen. NIS2 verweist auf die Begriffsbestimmung der Richtlinie 2009/73/EG, inzwischen neu gefasst durch die Richtlinie (EU) 2024/1788. Danach ist ein Erdgasunternehmen eine Person, die mindestens eine der Funktionen „Gewinnung, Fernleitung, Verteilung, Lieferung, Kauf oder Speicherung von Erdgas, einschließlich verflüssigtem Erdgas“ wahrnimmt, mit Ausnahme der Endkunden. Ein Gasproduzent oder ein Großhändler, der Gas kauft und verkauft, kann darunter fallen.
Bei einem Öl- und Gaskonzern ist die Prüfung für jede juristische Person gesondert durchzuführen. Die Pipelinegesellschaft, die Speichergesellschaft und die Handelssparte können unterschiedlich eingestuft werden.
Ist ein Energieunternehmen eine wesentliche oder wichtige Einrichtung?
| Energieeinrichtung | Status nach NIS2 | Richtlinie |
|---|---|---|
| Energieart nach Anhang I, groß: 250 oder mehr Beschäftigte oder Umsatz über 50 Mio. EUR und Bilanzsumme über 43 Mio. EUR | Wesentlich | Art. 3(1)(a) |
| Energieart nach Anhang I, mittleres Unternehmen | Wichtig | Art. 3(2) |
| Klein- oder Kleinstunternehmen | Nicht erfasst, außer es liegt ein größenunabhängiger Fall vor | Art. 2(1) bis 2(3) |
| Kritische Einrichtung nach der CER-Richtlinie, jede Größe | Wesentlich | Art. 2(3), 3(1)(f) |
| Vom Mitgliedstaat bestimmt | Wesentlich oder wichtig, je nach Bestimmung | Art. 2(2)(b) bis (e), 3(1)(e) |
| Betreiber wesentlicher Dienste nach NIS1, vor dem 16. Januar 2023 ermittelt | Wesentlich, wenn der Mitgliedstaat dies vorsieht | Art. 3(1)(g) |
Beide Kategorien haben dieselben Pflichten. Die Aufsicht ist bei wesentlichen Einrichtungen proaktiv (Artikel 32) und bei wichtigen Einrichtungen nachträglich (Artikel 33). Die Höchstbeträge der Geldbußen liegen bei mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und bei mindestens 7 Mio. EUR oder 1,4 % für wichtige, je nachdem, welcher Betrag höher ist (Artikel 34). Einzelheiten unter wesentliche und wichtige Einrichtungen im Vergleich.
Was verlangt NIS2 von Energieunternehmen?
Die Richtlinie enthält kein eigenes Kapitel zur Energie. Energieunternehmen haben dieselben Kernpflichten wie jede andere Einrichtung:
- Leitungsorgan: billigt die Maßnahmen nach Artikel 21, überwacht sie, und seine Mitglieder nehmen an Schulungen teil (Artikel 20).
- Risikomanagement: mindestens die zehn Maßnahmen nach Artikel 21(2), auf Grundlage eines gefahrenübergreifenden Ansatzes. Siehe die zehn Maßnahmen nach Artikel 21.
- Meldung von Sicherheitsvorfällen: Frühwarnung innerhalb von 24 Stunden, Meldung über den Sicherheitsvorfall innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats (Artikel 23).
- Registrierung: Übermitteln Sie Ihre Angaben an die Behörde und melden Sie Änderungen innerhalb von zwei Wochen (Artikel 3(4)).
Die Durchführungsverordnung (EU) 2024/2690 betrifft digitale Anbieter, nicht Energieunternehmen. Für den Stromsektor kommen die sektorspezifischen Einzelheiten aus einem eigenen Rechtsakt, siehe unten.
In der Praxis wiegt die Sicherheit der Lieferkette im Energiesektor schwer: Hersteller von Steuerungssystemen, Integratoren und Wartungsdienstleister haben oft Fernzugriff auf betriebliche Systeme. Siehe Sicherheit der Lieferkette nach NIS2.
Die nationalen Vorschriften mussten ab dem 18. Oktober 2024 gelten. Nicht alle Mitgliedstaaten haben fristgerecht umgesetzt. Prüfen Sie daher, ob Ihr nationales Gesetz in Kraft ist.
Wie hängen NIS2 und der Netzkodex für Cybersicherheit im Stromsektor zusammen?
Die Delegierte Verordnung (EU) 2024/1366 der Kommission, der Netzkodex für Cybersicherheit, legt sektorspezifische Vorschriften für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse fest. Sie wurde am 11. März 2024 auf Grundlage der Verordnung (EU) 2019/943 über den Elektrizitätsbinnenmarkt erlassen und trat am 13. Juni 2024 in Kraft.
Sie ersetzt NIS2 nicht. Nach Erwägungsgrund 3 ergänzt sie „die Bestimmungen der Richtlinie (EU) 2022/2555 in Bezug auf den Elektrizitätssektor, soweit grenzüberschreitende Stromflüsse betroffen sind“. Erwägungsgrund 15 fordert die NIS2-Behörden und die für den Netzkodex zuständigen Behörden zur Zusammenarbeit auf, um Lücken und Überschneidungen zu vermeiden.
- Wer: nur Einrichtungen, die die zuständigen Behörden nach Artikel 24 als Einrichtungen mit erheblichen oder mit kritischen Auswirkungen ermitteln. Artikel 2 nennt Elektrizitätsunternehmen, NEMOs, organisierte Marktplätze, Bilanzkreisverantwortliche, Betreiber von Ladepunkten, regionale Koordinierungszentren, ENTSO-E und die EU-VNBO. Er nennt außerdem Anbieter kritischer IKT-Dienste und Anbieter verwalteter Sicherheitsdienste.
- Was: Bewertungen des Cybersicherheitsrisikos auf Unions-, Mitgliedstaats- und regionaler Ebene (Artikel 19 bis 21), Mindest- und erweiterte Cybersicherheitskontrollen (Artikel 29) und Maßnahmen für die Lieferkette (Artikel 33).
- Wann: Die Mitgliedstaaten mussten bis zum 13. Dezember 2024 eine zuständige Behörde benennen (Artikel 4(1)). Die Pflichten der Einrichtungen folgen einem gestaffelten Zyklus aus Risikobewertungen und Ermittlung. Fragen Sie daher Ihre Behörde, ob Ihre Einrichtung ermittelt wurde.
Der Punkt zu den Anbietern ist wichtig: Ein Softwareanbieter oder ein Anbieter verwalteter Sicherheitsdienste kann erfasst sein, ohne ein Energieunternehmen zu sein.
Wie hängen NIS2 und die CER-Richtlinie zusammen?
Die CER-Richtlinie, (EU) 2022/2557, betrifft die Resilienz kritischer Einrichtungen gegenüber allen Risiken, nicht nur gegenüber Cyberrisiken. Die Mitgliedstaaten mussten ihre kritischen Einrichtungen bis zum 17. Juli 2026 ermitteln und sie innerhalb eines Monats darüber unterrichten.
- Eine kritische Einrichtung nach CER ist unabhängig von ihrer Größe eine wesentliche Einrichtung nach NIS2 (Artikel 2(3) und 3(1)(f) NIS2).
- CER gilt nicht für Angelegenheiten, die unter NIS2 fallen (Artikel 1(2) CER). Ihre Resilienzpflichten entfallen nur in den Sektoren Bankwesen, Finanzmarktinfrastruktur und digitale Infrastruktur (Artikel 8). Kritische Einrichtungen im Energiesektor unterliegen daher beiden Regelwerken.
- Eine kritische Einrichtung bewertet ihre Risiken innerhalb von neun Monaten nach der Mitteilung und danach mindestens alle vier Jahre (Artikel 12) und trifft Resilienzmaßnahmen einschließlich physischen Schutzes (Artikel 13).
- Sie meldet der CER-Behörde Sicherheitsvorfälle, die die Erbringung wesentlicher Dienste erheblich stören oder stören könnten, mit einer ersten Meldung innerhalb von 24 Stunden, es sei denn, sie ist dazu operativ nicht in der Lage (Artikel 15). Ein einziger Cyberangriff auf eine Leitstelle kann diese Meldung und Artikel 23 NIS2 auslösen.
Die physische Seite von NIS2 behandelt der gefahrenübergreifende Ansatz. Sinnvoll ist ein Datensatz pro juristischer Person, der zeigt, welche Regelwerke gelten:
REGELWERKSÜBERSICHT ENERGIEEINRICHTUNG (eine pro juristischer Person)
Juristische Person: [Name, Registernummer]
Einträge Anhang I: [z. B. Elektrizität: VNB; Gas: Versorgungsunternehmen]
Größe, Jahresabschluss: Beschäftigte (JAE) [ ] Umsatz [ ] Bilanzsumme [ ]
NIS2-Status: [nicht erfasst / wichtig / wesentlich], Basis [Art. 3]
Kritisch nach CER: [nein / ja, mitgeteilt am (Datum)]
Netzkodex: [nicht ermittelt / erhebliche / kritische Auswirkungen]
Behörden: NIS2 [ ] CER [ ] Netzkodex [ ]
Meldewege: NIS2-CSIRT oder -Behörde [ ] CER-Behörde [ ]
OT-Standorte im Scope: [Anlagen, Leitstellen, entfernte Anlagen]
Risikobewertung: [Referenz, abgedeckte Regelwerke, nächste Überprüfung]
Registriert bei: [Behörde, Datum, Referenz]Gilt NIS2 für Kernkraftwerke?
Ja. Nach Erwägungsgrund 10 gilt die Richtlinie für Einrichtungen, die Strom in Kernkraftwerken erzeugen, doch einige dieser Tätigkeiten können mit der nationalen Sicherheit zusammenhängen. In diesen Fällen, auch innerhalb der nuklearen Wertschöpfungskette, sollte ein Mitgliedstaat seine Verantwortung für die nationale Sicherheit wahrnehmen können. Die Abgrenzung erfolgt national: Fragen Sie Ihre Behörde.
Was NIS2 bei der Betriebstechnik (OT) offenlässt
Artikel 21 ist technologieneutral. Er erwähnt keine Steuerungssysteme. Er verlangt Maßnahmen, die den Stand der Technik und gegebenenfalls europäische und internationale Normen berücksichtigen.
Die Empfehlung der Kommission von 2019 zur Cybersicherheit im Energiesektor benennt, was OT schwierig macht. Einige Komponenten müssen innerhalb weniger Millisekunden auf Befehle reagieren. Netze und Pipelines sind miteinander verbunden, sodass sich eine Störung kaskadenartig ausbreiten kann. Anlagen mit einer Lebensdauer von 30 bis 60 Jahren, entwickelt, bevor Cybersicherheit eine Rolle spielte, laufen neben modernen Systemen.
In der Praxis sieht das Schließen der Lücke so aus:
- Ein Asset-Inventar, das OT einschließt, aufgebaut mit passiver Erkennung, wo aktives Scannen Steuerungen stören könnte.
- Segmentierung zwischen IT und OT sowie zwischen OT-Zonen. Erwägungsgrund 89 nennt die Netzsegmentierung als Teil der Cyberhygiene. Die Normenreihe IEC 62443, geschrieben für industrielle Automatisierungs- und Steuerungssysteme, ist die übliche Referenz.
- Ein einziger kontrollierter Weg für den Fernzugriff, für Beschäftigte und Anbieter, mit Multi-Faktor-Authentifizierung (MFA) und Sitzungsprotokollierung. MFA gilt dort, wo es angemessen ist, und dass der Zugriff eines Anbieters auf ein Steuerungssystem nicht darunter fällt, lässt sich kaum begründen.
- Dokumentierte kompensierende Maßnahmen, wo Sie nicht patchen können, mit einem Risiko, das ein namentlich benannter Risikoeigentümer akzeptiert hat.
- Backups der Steuerungslogik und der Konfigurationen, eine getestete Wiederherstellung und ein eingeübter manueller Rückfallbetrieb.
- Ein Prozess für Sicherheitsvorfälle, an dem Betrieb und Anlagensicherheit beteiligt sind, der innerhalb von 24 Stunden entscheiden kann, ob ein OT-Ereignis erheblich ist.
Die Nachweise liegen in Firewalls, Fernzugriffs-Gateways, Historian-Systemen und Asset-Tools, nicht in Richtliniendokumenten. Einmal im Jahr von Hand gesammelt, beschreiben sie die Anlage des Vorjahres. Laufend gesammelt, mit einer Person, die die Ausnahmen prüft, zeigen sie, was jetzt läuft. So arbeitet die CloudSoul-Plattform: automatisiert, mit Human-in-the-Loop-Expertise. Die Sektorsicht finden Sie auf der Energieseite, das umfassende Programm auf der Seite zur NIS2-Compliance.
Checkliste NIS2 für den Energiesektor
- Ordnen Sie jede juristische Person ihrem Eintrag in Anhang I und der zugrunde liegenden Begriffsbestimmung des Energierechts zu.
- Berechnen Sie die Größe anhand des letzten festgestellten Jahresabschlusses, einschließlich Partner- und verbundener Unternehmen.
- Fragen Sie nach, ob Ihre Einrichtung ermittelt oder bestimmt wurde: als kritische Einrichtung nach CER, als Einrichtung nach dem Netzkodex oder durch nationale Bestimmung.
- Registrieren Sie sich bei Ihrer NIS2-Behörde und melden Sie Änderungen innerhalb von zwei Wochen.
- Führen Sie eine einzige Risikobewertung für IT, OT und physische Standorte durch, die jedem geltenden Regelwerk zugeordnet ist.
- Leiten Sie jeden Fernzugriff von Anbietern auf OT über einen einzigen kontrollierten und protokollierten Weg.
- Testen Sie die Behandlung von Sicherheitsvorfällen anhand der Fristen von 24 und 72 Stunden, mit dem Betrieb am Tisch.
- Dokumentieren Sie die Billigung der Maßnahmen durch das Leitungsorgan und die Schulung seiner Mitglieder.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 20, 21, 23 und 32 bis 34, Erwägungsgründe 10 und 89, Anhang I, EUR-Lex.
- Richtlinie (EU) 2016/1148 (NIS1), Anhang II, EUR-Lex.
- Delegierte Verordnung (EU) 2024/1366 der Kommission, Netzkodex für Cybersicherheitsaspekte grenzüberschreitender Stromflüsse, Erwägungsgründe 3 und 15, Artikel 2, 4, 19 bis 21, 24, 29 und 33, EUR-Lex.
- Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER), Artikel 1, 6, 8, 12, 13 und 15, EUR-Lex.
- Delegierte Verordnung (EU) 2023/2450 der Kommission, Liste wesentlicher Dienste nach CER, Anhang, EUR-Lex.
- Richtlinie (EU) 2019/944, Artikel 2, und Richtlinie 2009/73/EG, Artikel 2, EUR-Lex und EUR-Lex; Richtlinie (EU) 2024/1788, Neufassung der Richtlinie 2009/73/EG, EUR-Lex.
- Empfehlung (EU) 2019/553 der Kommission zur Cybersicherheit im Energiesektor, EUR-Lex.
- Vorschlag COM(2026) 13, gezielte Änderungen der Richtlinie (EU) 2022/2555, EUR-Lex.
- Europäische Kommission, Kritische Infrastruktur und Cybersicherheit im Energiesektor.
- IEC, IEC 62443 verstehen.
Häufige Fragen
Gilt NIS2 für den Energiesektor?
Ja. Energie ist ein Sektor mit hoher Kritikalität nach Anhang I mit fünf Teilsektoren: Elektrizität, Fernwärme und Fernkälte, Erdöl, Erdgas und Wasserstoff. NIS2 gilt für die aufgeführten Einrichtungsarten, die mindestens mittlere Unternehmen sind, und für einige kleinere, etwa kritische Einrichtungen nach der CER-Richtlinie.
Gilt NIS2 für Öl- und Gasunternehmen?
Ja, für die aufgeführten Arten, die mindestens mittlere Unternehmen sind: Erdöl-Fernleitungen, Produktion, Raffination und Aufbereitung, Lagerung und Fernleitung, zentrale Bevorratungsstellen sowie beim Gas Versorgungsunternehmen, Netz-, Speicher- und LNG-Anlagenbetreiber, Anlagen zur Raffination und Aufbereitung und Erdgasunternehmen. Zu den Erdgasunternehmen zählen Unternehmen, die Gas gewinnen, liefern, kaufen oder speichern, nicht aber Endkunden.
Ist ein Energieunternehmen nach NIS2 eine wesentliche oder wichtige Einrichtung?
Ein Energiebetreiber oberhalb der Schwellenwerte für mittlere Unternehmen, also mit 250 oder mehr Beschäftigten oder mit einem Umsatz über 50 Mio. EUR und einer Bilanzsumme über 43 Mio. EUR, ist eine wesentliche Einrichtung. Ein mittleres Unternehmen ist eine wichtige Einrichtung. Eine kritische Einrichtung nach der CER-Richtlinie ist unabhängig von ihrer Größe wesentlich.
Wie hängen NIS2 und der Netzkodex für Cybersicherheit im Stromsektor zusammen?
Die Delegierte Verordnung (EU) 2024/1366 ergänzt NIS2 für die Cybersicherheitsaspekte grenzüberschreitender Stromflüsse. Sie gilt für Einrichtungen, die als Einrichtungen mit erheblichen oder mit kritischen Auswirkungen ermittelt wurden, darunter bestimmte IKT-Dienstleister und Anbieter verwalteter Sicherheitsdienste. Sie ersetzt NIS2 nicht.
Fallen Betreiber von Ladepunkten für Elektrofahrzeuge unter NIS2?
Ja. Betreiber von Ladepunkten, die Endnutzern einen Ladedienst erbringen, sind im Teilsektor Elektrizität von Anhang I aufgeführt. Wie andere Energieeinrichtungen fallen sie unter NIS2, wenn sie mindestens mittlere Unternehmen sind oder ein größenunabhängiger Fall vorliegt.
