framework In preparazione
EnWG e catalogo di sicurezza IT
Vale solo in Germania (diritto tedesco). I gestori di rete, i gestori di impianti energetici e i gestori di servizi energetici digitali attuano la sicurezza IT ai sensi dei §§ da 5c a 5e EnWG, nella rete e nella tecnologia di controllo. Complass guida dal chiarimento del ruolo, passando per il catalogo di sicurezza IT vigente, fino a sistema di notifica, evidenza e obblighi della direzione e integra il nuovo catalogo dell’Agenzia federale delle reti non appena sarà stabilito.
In preparazione Il modulo EnWG e catalogo di sicurezza IT è in preparazione e non può ancora essere prenotato. Indicheremo una data di avvio e un prezzo solo quando entrambi saranno definiti. In questa pagina descriviamo che cosa il modulo dovrà coprire. Siamo lieti di mostrarvi lo stato attuale in una dimostrazione. Richiedere una demo · Inviare la richiesta
Che cos’è il catalogo di sicurezza IT ai sensi dell’EnWG?
Vale solo in Germania (diritto tedesco). Dal 6 dicembre 2025 i §§ da 5c a 5e della legge sull’economia energetica (EnWG) disciplinano la sicurezza IT nel settore energetico. Che cosa i gestori debbano attuare in concreto è stabilito dall’Agenzia federale delle reti d’intesa con il BSI in un catalogo di sicurezza IT. La legge indica dodici temi che ogni catalogo contiene almeno, dall’analisi dei rischi al rilevamento degli attacchi fino all’autenticazione a più fattori. A ciò si aggiungono la notifica degli incidenti di sicurezza significativi, la registrazione, la documentazione e la responsabilità della direzione.
Aggiornamento dei contenuti:
Vale anche per me?
L’EnWG distingue tre ruoli. Per i gestori di rete si applica indipendentemente dalle dimensioni; i gestori di impianti e i servizi energetici digitali sono coinvolti se sono soggetti importanti o essenziali ai sensi della legge sul BSI.
| Ruolo | Coinvolto se | Che cosa vale oggi |
|---|---|---|
| Gestore di rete elettrica o del gas | Gestisce una rete di approvvigionamento energetico, senza soglia dimensionale | Catalogo di sicurezza IT per gestori di rete, edizione agosto 2015 |
| Gestore di impianti, ad es. generazione o accumulo | Impianto energetico collegato alla rete e soggetto importante o essenziale ai sensi del § 28 BSIG | Catalogo di sicurezza IT per impianti energetici, edizione dicembre 2018 |
| Servizi energetici digitali, ad es. aggregatori | Servizio su un impianto energetico collegato alla rete e soggetto importante o essenziale ai sensi del § 28 BSIG | Non esiste ancora un catalogo della BNetzA. Gli aggregatori che finora rientravano nel § 8a BSIG nella vecchia versione continuano ad attuare il “B3S Aggregatoren” del BDEW. |
Chi è soggetto ai §§ da 5c a 5e EnWG è esonerato dalla maggior parte degli obblighi della legge sul BSI; classificazione e registrazione restano. Se le aziende municipalizzate gestiscono inoltre acqua, acque reflue o altri settori di cui all’allegato 1 o 2 della legge sul BSI (gestione multiservizio), per questi si applica la legge sul BSI. In Complass questi settori vengono gestiti in un progetto NIS2 e le evidenze comuni vengono collegate. Le offerte di telecomunicazione sono disciplinate dal TKG.
Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.
Base giuridica
- § 5c EnWG§ 5c EnWG IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz(1) Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten: - 1. der Betreiber eines Energieversorgungsnetzes für Telekommunikationssysteme und für elektronische Datenverarbeitungssysteme, die für den sicheren Betrieb des Energieversorgungsnetzes notwendig sind, - 2. der Betreiber einer Energieanlage, der eine besonders wichtige Einrichtung nach § 28 …Apri l’originale (gesetze-im-internet.de) ↗Sicurezza IT, ruoli, catalogo e i suoi dodici temi minimi
- § 5d EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗Documentazione, referente, notifica e registrazione
- § 5e EnWG§ 5e EnWG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen(1) Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist verpflichtet, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. (2) Eine Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3, die ihre Pflichten nach Absatz 1 verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der …Apri l’originale (gesetze-im-internet.de) ↗Obblighi della direzione
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Apri l’originale (gesetze-im-internet.de) ↗Classificazione come soggetto importante o essenziale, eccezione ai sensi del comma 5
- § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Apri l’originale (gesetze-im-internet.de) ↗Obblighi di notifica e termini
- § 11, commi 1a e 1b, EnWG nella vecchia versioneBase dei due cataloghi vigenti (2015 e 2018)
Che cosa vale oggi e che cosa può arrivare nel 2027
- §§ da 5c a 5e EnWG in vigore (legge di recepimento della NIS2). § 11, commi da 1a a 1g, EnWG nella vecchia versione sono venuti meno.
- Termine per la registrazione presso il BSI per i gestori di rete che non sono soggetti importanti o essenziali · § 5d Abs. 4 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗
- Oggi Finché non sarà pubblicato un nuovo catalogo, restano validi i cataloghi di agosto 2015 (reti) e dicembre 2018 (impianti energetici). I sistemi di rilevamento degli attacchi esistenti devono continuare a essere gestiti. Verificato il 10.10.2026.
- 24 ore / 72 ore / un mese Incidenti di sicurezza significativi al punto di segnalazione del BSI: preallarme, notifica, notifica finale · § 5d Abs. 3 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗ con § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Apri l’originale (gesetze-im-internet.de) ↗
- Senza ritardo Trasmettere la documentazione all’Agenzia federale delle reti: gestori di rete sempre, gestori di impianti e servizi energetici digitali come soggetti essenziali (valutazione tecnica, non consulenza legale) · § 5d Abs. 1 Satz 2 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗
- Autunno 2026 Consultazione di un catalogo comune per reti, impianti energetici e servizi energetici digitali, prevista secondo l’Agenzia federale delle reti
- 01.01.2027 (bozza) Data di applicazione secondo la bozza di consultazione. Il nuovo catalogo non è ancora stato stabilito; l’Agenzia federale delle reti non indica alcuna data sulla propria pagina del procedimento.
Verifichiamo lo stato presso l’Agenzia federale delle reti prima di ogni release. Se viene stabilito un nuovo catalogo, Complass lo integra come nuova edizione; le Sue valutazioni dei dodici temi restano valide.
Che cosa dovrà coprire il modulo
- 10fasi
- 30passi guidati
- 8modelli di documento
- 77requisiti nel catalogo
Dodici temi che restano
Valuta una sola volta i dodici temi del § 5c, comma 4, EnWG. I requisiti dei cataloghi 2015 e 2018 vi sono collegati. Quando arriva il nuovo catalogo, Complass lo integra come nuova edizione, senza che debba ricominciare da capo.
Il catalogo che vale per il Suo ruolo
I gestori di rete lavorano con il catalogo 2015, i gestori di impianti con il catalogo 2018, in ogni caso con i requisiti nel testo originale e la fonte. I servizi energetici digitali utilizzano i dodici temi come base.
Piano della struttura di rete, inventario e tecnologia di controllo
Ambito di applicazione, piano della struttura di rete e sistemi nella gestione degli asset, zone e accessi remoti per i sistemi di controllo e di processo.
Rilevamento degli attacchi e logging
Concetto per i sistemi di rilevamento degli attacchi con sistemi monitorati, responsabilità e reazione agli allarmi.
Notifiche al punto di segnalazione del BSI
Processo di notifica con i termini di 24 ore, 72 ore e un mese, incidenti nel modulo incidenti con conto alla rovescia, distinzione dalle notifiche ai sensi della legge quadro KRITIS.
Gestione multiservizio con NIS2 in un unico portale
Gli altri settori vengono gestiti nel progetto NIS2. Le evidenze comuni vengono collegate invece di essere mantenute due volte.
Direzione e formazione
Obblighi della direzione ai sensi del § 5e EnWG con blocchi formativi per gli specialisti e per la direzione.
Le fasi nel modulo
- Applicability and role
- Scope, network structure plan and inventory
- ISMS skeleton
- Additional measures for control and process systems
- Attack detection and logging
- Contact person and registration
- Incident reporting
- Documentation, certification and evidence
- Management responsibility and training
- Supply chain and critical functions
Catalogo: Minimum contents of the IT security catalogue (section 5c(4) EnWG)
Moduli correlati
Asset management
Asset IT e OT in un unico posto, rilevati senza agent, con SBOM, avvisi dei fabbricanti, fine del supporto, riconciliazione delle licenze, identità, relazioni e zone secondo IEC 62443-3-2.
Scoprire di piùIncident management
Registrare gli incidenti, verificare gli obblighi di notifica ai sensi della NIS2, del CRA e del GDPR e monitorare le scadenze di notifica con un conto alla rovescia.
Scoprire di piùRisk management
Registro dei rischi con valutazione qualitativa o quantitativa, propensione al rischio e piano di trattamento, collegato ad asset, vulnerabilità e incidenti.
Scoprire di piùSupplier Management
Classificate i fornitori, richiedete autovalutazioni ed evidenze direttamente al fornitore, verificatele e richiedete integrazioni. Con questionari per NIS2, GDPR, ISO 27001, CRA e IEC 62443-2-4.
Scoprire di piùDomande frequenti
Da quando il modulo può essere prenotato?
Il modulo è in preparazione. Indicheremo una data solo quando sarà definita. Contattateci: vi mostreremo lo stato attuale e come potete iniziare già oggi in Complass con ISO/IEC 27001 o NIS2.
Per noi vale l’EnWG o la legge sul BSI?
Per la gestione della rete e per gli impianti energetici di soggetti importanti o essenziali si applicano i §§ da 5c a 5e EnWG; per essi decadono la maggior parte degli obblighi della legge sul BSI. Classificazione e registrazione ai sensi della legge sul BSI restano. Per altri settori come acqua o acque reflue si applica la legge sul BSI. Se l’impianto energetico è soltanto un’attività accessoria rispetto all’intera attività aziendale, si applica parimenti la legge sul BSI.
Quale catalogo di sicurezza IT vale al momento?
Per i gestori di rete il catalogo di agosto 2015, per i gestori di impianti il catalogo di dicembre 2018. Secondo l’Agenzia federale delle reti entrambi restano validi finché non sarà pubblicato un nuovo catalogo. Data della verifica: 10.10.2026.
Che cosa cambia nel 2027?
L’Agenzia federale delle reti rielabora i cataloghi insieme al BSI in un unico catalogo che dovrà valere anche per i servizi energetici digitali. La bozza di consultazione indica il 01.01.2027 come data di applicazione. Ciò non è ancora stato stabilito. Il Suo lavoro sui dodici temi del § 5c, comma 4, EnWG conta in ogni caso, perché ogni catalogo deve contenerli.
Siamo un aggregatore. Che cosa facciamo fino al nuovo catalogo?
Se finora rientrava nel § 8a BSIG nella vecchia versione, continui ad attuare il “B3S Aggregatoren” del BDEW. In caso contrario costruisca un ISMS secondo ISO/IEC 27001 e si orienti ai dodici temi. In Complass valuta questi temi e integra il nuovo catalogo non appena sarà stabilito.
A chi notifichiamo un incidente di sicurezza?
Al punto di segnalazione del BSI: un preallarme entro 24 ore, una notifica entro 72 ore e una notifica finale al più tardi un mese dopo. Se l’incidente riveste importanza per la sicurezza dell’approvvigionamento energetico, il BSI inoltra la notifica all’Agenzia federale delle reti (§ 5d, comma 5, EnWG).
Complass sostituisce una verifica legale?
No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge e dei cataloghi; la valutazione giuridica nel singolo caso resta a Lei.
L’EnWG si applica alla Sua azienda?
La verifica gratuita di applicabilità fornisce in pochi minuti una prima valutazione sull’essere o meno gestore di rete, gestore di impianti o servizio energetico digitale e sui framework applicabili.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.