Regelwerk In Vorbereitung
EnWG und IT-Sicherheitskatalog
Gilt nur in Deutschland (deutsches Recht). Netzbetreiber, Betreiber von Energieanlagen und Betreiber digitaler Energiedienste setzen die IT-Sicherheit nach den §§ 5c bis 5e EnWG um, im Netz und in der Leittechnik. Complass führt von der Rollenklärung über den geltenden IT-Sicherheitskatalog bis zu Meldewesen, Nachweis und Leitungspflichten und ergänzt den neuen Katalog der Bundesnetzagentur, sobald er festgelegt ist.
In Vorbereitung Das Modul EnWG und IT-Sicherheitskatalog ist in Vorbereitung und noch nicht buchbar. Einen Starttermin und einen Preis nennen wir erst, wenn beides feststeht. Auf dieser Seite beschreiben wir, was das Modul abdecken soll. Gern zeigen wir Ihnen den aktuellen Stand in einer Vorführung. Demo anfragen · Anfrage stellen
Was ist der IT-Sicherheitskatalog nach EnWG?
Gilt nur in Deutschland (deutsches Recht). Seit dem 6. Dezember 2025 regeln die §§ 5c bis 5e des Energiewirtschaftsgesetzes die IT-Sicherheit im Energiesektor. Was Betreiber konkret umsetzen müssen, legt die Bundesnetzagentur im Einvernehmen mit dem BSI in einem IT-Sicherheitskatalog fest. Das Gesetz nennt zwölf Themen, die jeder Katalog mindestens enthält, von der Risikoanalyse über Angriffserkennung bis zur Multi-Faktor-Authentifizierung. Dazu kommen die Meldung erheblicher Sicherheitsvorfälle, Registrierung, Dokumentation und die Verantwortung der Geschäftsleitung.
Stand der Inhalte:
Bin ich betroffen?
Das EnWG unterscheidet drei Rollen. Für Netzbetreiber gilt es unabhängig von der Größe; Anlagenbetreiber und digitale Energiedienste sind erfasst, wenn sie nach dem BSI-Gesetz wichtige oder besonders wichtige Einrichtung sind.
| Rolle | Erfasst, wenn | Was heute gilt |
|---|---|---|
| Netzbetreiber Strom oder Gas | Sie betreiben ein Energieversorgungsnetz, ohne Größenschwelle | IT-Sicherheitskatalog Netzbetreiber, Stand August 2015 |
| Anlagenbetreiber, z. B. Erzeugung oder Speicher | Energieanlage am Netz und wichtige oder besonders wichtige Einrichtung nach § 28 BSIG | IT-Sicherheitskatalog Energieanlagen, Stand Dezember 2018 |
| Digitale Energiedienste, z. B. Aggregatoren | Dienst an einer Energieanlage am Netz und wichtige oder besonders wichtige Einrichtung nach § 28 BSIG | Noch kein Katalog der BNetzA. Aggregatoren, die bisher unter § 8a BSIG alte Fassung fielen, setzen weiter den „B3S Aggregatoren“ des BDEW um. |
Wer den §§ 5c bis 5e EnWG unterliegt, ist von den meisten Pflichten des BSI-Gesetzes ausgenommen; Einstufung und Registrierung bleiben. Betreiben Stadtwerke zusätzlich Wasser, Abwasser oder andere Sparten aus Anlage 1 oder 2 des BSI-Gesetzes (Querverbund), gilt dafür das BSI-Gesetz. In Complass führen Sie diese Sparten in einem NIS2-Projekt und verknüpfen gemeinsame Nachweise. Telekommunikationsangebote richten sich nach dem TKG.
Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.
Rechtsgrundlagen
- § 5c EnWG§ 5c EnWG IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz(1) Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten: - 1. der Betreiber eines Energieversorgungsnetzes für Telekommunikationssysteme und für elektronische Datenverarbeitungssysteme, die für den sicheren Betrieb des Energieversorgungsnetzes notwendig sind, - 2. der Betreiber einer Energieanlage, der eine besonders wichtige Einrichtung nach § 28 …Original öffnen (gesetze-im-internet.de) ↗IT-Sicherheit, Rollen, Katalog und seine zwölf Mindestthemen
- § 5d EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Original öffnen (gesetze-im-internet.de) ↗Dokumentation, Ansprechpartner, Meldung und Registrierung
- § 5e EnWG§ 5e EnWG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen(1) Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist verpflichtet, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. (2) Eine Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3, die ihre Pflichten nach Absatz 1 verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der …Original öffnen (gesetze-im-internet.de) ↗Pflichten der Geschäftsleitung
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Original öffnen (gesetze-im-internet.de) ↗Einstufung als wichtige oder besonders wichtige Einrichtung, Ausnahme nach Abs. 5
- § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Original öffnen (gesetze-im-internet.de) ↗Meldepflichten und Fristen
- § 11 Abs. 1a und 1b EnWG alte FassungGrundlage der beiden geltenden Kataloge (2015 und 2018)
Was heute gilt und was 2027 kommen kann
- §§ 5c bis 5e EnWG in Kraft (NIS2-Umsetzungsgesetz). § 11 Abs. 1a bis 1g EnWG alte Fassung sind weggefallen.
- Frist für die Registrierung beim BSI für Netzbetreiber, die keine wichtige oder besonders wichtige Einrichtung sind · § 5d Abs. 4 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Original öffnen (gesetze-im-internet.de) ↗
- Heute Bis ein neuer Katalog veröffentlicht ist, gelten die Kataloge von August 2015 (Netze) und Dezember 2018 (Energieanlagen) weiter. Bestehende Systeme zur Angriffserkennung sind weiter zu betreiben. Geprüft am 10.10.2026.
- 24 Stunden / 72 Stunden / ein Monat Erhebliche Sicherheitsvorfälle an die Meldestelle des BSI: frühe Erstmeldung, Meldung, Abschlussmeldung · § 5d Abs. 3 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Original öffnen (gesetze-im-internet.de) ↗ mit § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Original öffnen (gesetze-im-internet.de) ↗
- Unverzüglich Dokumentation an die Bundesnetzagentur übermitteln: Netzbetreiber immer, Anlagenbetreiber und digitale Energiedienste als besonders wichtige Einrichtung (fachliche Einschätzung, keine Rechtsberatung) · § 5d Abs. 1 Satz 2 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Original öffnen (gesetze-im-internet.de) ↗
- Herbst 2026 Konsultation eines gemeinsamen Katalogs für Netze, Energieanlagen und digitale Energiedienste, laut Bundesnetzagentur geplant
- 01.01.2027 (Entwurf) Geltungsbeginn laut Konsultationsentwurf. Der neue Katalog ist noch nicht festgelegt; die Bundesnetzagentur nennt auf ihrer Verfahrensseite keinen Termin.
Wir prüfen den Stand bei der Bundesnetzagentur vor jedem Release. Wird ein neuer Katalog festgelegt, ergänzt Complass ihn als neue Ausgabe; Ihre Bewertungen der zwölf Themen bleiben erhalten.
Was das Modul abdecken soll
- 10Phasen
- 30geführte Schritte
- 8Dokumentvorlagen
- 77Anforderungen im Katalog
Zwölf Themen, die bleiben
Sie bewerten die zwölf Themen aus § 5c Abs. 4 EnWG einmal. Die Anforderungen der Kataloge 2015 und 2018 hängen daran. Kommt der neue Katalog, ergänzt Complass ihn als neue Ausgabe, ohne dass Sie neu anfangen.
Der Katalog, der für Ihre Rolle gilt
Netzbetreiber arbeiten mit dem Katalog 2015, Anlagenbetreiber mit dem Katalog 2018, jeweils mit den Anforderungen im Wortlaut und der Quelle. Digitale Energiedienste nutzen die zwölf Themen als Grundlage.
Netzstrukturplan, Inventar und Leittechnik
Geltungsbereich, Netzstrukturplan und Systeme im Asset-Management, Zonen und Fernzugänge für Leit- und Prozesssysteme.
Angriffserkennung und Logging
Konzept für Systeme zur Angriffserkennung mit überwachten Systemen, Zuständigkeiten und Reaktion auf Alarme.
Meldungen an die BSI-Meldestelle
Meldeprozess mit den Fristen 24 Stunden, 72 Stunden und einem Monat, Vorfälle im Vorfallmodul mit Countdown, Abgrenzung zu Meldungen nach dem KRITIS-Dachgesetz.
Querverbund mit NIS2 in einem Portal
Weitere Sparten führen Sie im NIS2-Projekt. Gemeinsame Nachweise verknüpfen Sie, statt sie doppelt zu pflegen.
Geschäftsleitung und Schulung
Leitungspflichten nach § 5e EnWG mit Lernblöcken für Fachleute und für die Geschäftsleitung.
Die Phasen im Modul
- Betroffenheit und Rolle
- Geltungsbereich, Netzstrukturplan und Inventar
- ISMS-Gerüst
- Zusatzmaßnahmen für Leit- und Prozesssysteme
- Angriffserkennung und Logging
- Ansprechpartner und Registrierung
- Meldewesen
- Dokumentation, Zertifizierung und Nachweis
- Leitungsverantwortung und Schulung
- Lieferkette und kritische Funktionen
Katalog: Mindestinhalte des IT-Sicherheitskatalogs (§ 5c Abs. 4 EnWG)
Passende Bausteine
Asset-Management
IT- und OT-Assets an einem Ort, agentless erfasst, mit SBOM, Herstellerhinweisen, Support-Ende, Lizenzabgleich, Identitäten, Zusammenhängen und Zonen nach IEC 62443-3-2.
Mehr erfahrenIncident-Management
Vorfälle erfassen, Meldepflicht nach NIS2, CRA und DSGVO prüfen und die Meldefristen mit Countdown verfolgen.
Mehr erfahrenRisk-Management
Risikoregister mit qualitativer oder quantitativer Bewertung, Risikoappetit und Behandlungsplan, verzahnt mit Assets, Schwachstellen und Vorfällen.
Mehr erfahrenLieferantenmanagement
Lieferanten einstufen, Selbstauskunft und Nachweise direkt beim Lieferanten anfordern, prüfen und nachfordern. Mit Fragebögen für NIS2, DSGVO, ISO 27001, CRA und IEC 62443-2-4.
Mehr erfahrenHäufige Fragen
Ab wann ist das Modul buchbar?
Das Modul ist in Vorbereitung. Einen Termin nennen wir erst, wenn er feststeht. Sprechen Sie uns an: Wir zeigen Ihnen den Stand und wie Sie heute schon mit ISO/IEC 27001 oder NIS2 in Complass beginnen können.
Gilt für uns das EnWG oder das BSI-Gesetz?
Für den Netzbetrieb und für Energieanlagen von wichtigen oder besonders wichtigen Einrichtungen gelten die §§ 5c bis 5e EnWG; die meisten Pflichten des BSI-Gesetzes entfallen dafür. Einstufung und Registrierung nach dem BSI-Gesetz bleiben. Für weitere Sparten wie Wasser oder Abwasser gilt das BSI-Gesetz. Ist die Energieanlage im Verhältnis zur gesamten Geschäftstätigkeit nur eine Nebentätigkeit, gilt ebenfalls das BSI-Gesetz.
Welcher IT-Sicherheitskatalog gilt im Moment?
Für Netzbetreiber der Katalog von August 2015, für Anlagenbetreiber der Katalog von Dezember 2018. Beide gelten laut Bundesnetzagentur weiter, bis ein neuer Katalog veröffentlicht ist. Stand der Prüfung: 10.10.2026.
Was ändert sich 2027?
Die Bundesnetzagentur überarbeitet die Kataloge gemeinsam mit dem BSI zu einem Katalog, der auch für digitale Energiedienste gelten soll. Der Konsultationsentwurf nennt den 01.01.2027 als Geltungsbeginn. Festgelegt ist das noch nicht. Ihre Arbeit an den zwölf Themen aus § 5c Abs. 4 EnWG zählt in jedem Fall, weil jeder Katalog sie enthalten muss.
Wir sind Aggregator. Was tun wir bis zum neuen Katalog?
Fielen Sie bisher unter § 8a BSIG alte Fassung, setzen Sie den „B3S Aggregatoren“ des BDEW weiter um. Sonst bauen Sie ein ISMS nach ISO/IEC 27001 auf und orientieren sich an den zwölf Themen. In Complass bewerten Sie diese Themen und ergänzen den neuen Katalog, sobald er festgelegt ist.
An wen melden wir einen Sicherheitsvorfall?
An die Meldestelle des BSI: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat danach. Hat der Vorfall Bedeutung für die Energieversorgungssicherheit, leitet das BSI die Meldung an die Bundesnetzagentur weiter (§ 5d Abs. 5 EnWG).
Ersetzt Complass eine rechtliche Prüfung?
Nein. Complass strukturiert Betroffenheitsprüfung, Pflichten und Nachweise anhand des Gesetzestexts und der Kataloge; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.
Gilt das EnWG für Ihr Unternehmen?
Der kostenlose Betroffenheitscheck gibt in wenigen Minuten eine erste Einschätzung, ob Sie Netzbetreiber, Anlagenbetreiber oder digitaler Energiedienst sind und welche Regelwerke greifen.
Complass mit Ihren eigenen Daten testen
Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.