normenkader In voorbereiding
EnWG en IT-beveiligingscatalogus
Geldt alleen in Duitsland (Duits recht). Netbeheerders, exploitanten van energie-installaties en aanbieders van digitale energiediensten implementeren de IT-beveiliging volgens §§ 5c tot en met 5e EnWG, in het net en in de procesbesturing. Complass begeleidt van de vaststelling van uw rol via de geldende IT-beveiligingscatalogus tot meldingen, bewijs en verplichtingen van de leiding en vult de nieuwe catalogus van de Bundesnetzagentur aan zodra deze is vastgesteld.
In voorbereiding De module EnWG en IT-beveiligingscatalogus is in voorbereiding en nog niet te boeken. Een startdatum en een prijs noemen wij pas wanneer beide vaststaan. Op deze pagina beschrijven wij wat de module moet omvatten. Graag laten wij u de huidige stand zien in een demonstratie. Demo aanvragen · Aanvraag verzenden
Wat is de IT-beveiligingscatalogus volgens de EnWG?
Geldt alleen in Duitsland (Duits recht). Sinds 6 december 2025 regelen §§ 5c tot en met 5e van de Energiewirtschaftsgesetz de IT-beveiliging in de energiesector. Wat exploitanten concreet moeten implementeren, legt de Bundesnetzagentur in overeenstemming met het BSI vast in een IT-beveiligingscatalogus. De wet noemt twaalf onderwerpen die elke catalogus minimaal bevat, van risicoanalyse via aanvalsdetectie tot multifactorauthenticatie. Daarbij komen de melding van significante beveiligingsincidenten, registratie, documentatie en de verantwoordelijkheid van de directie.
Actualiteit van de inhoud:
Is het op mij van toepassing?
De EnWG onderscheidt drie rollen. Voor netbeheerders geldt zij ongeacht de omvang; exploitanten van installaties en digitale energiediensten vallen eronder als zij volgens de BSI-wet een belangrijke of bijzonder belangrijke entiteit zijn.
| Rol | Valt eronder als | Wat vandaag geldt |
|---|---|---|
| Netbeheerders elektriciteit of gas | U exploiteert een energievoorzieningsnet, zonder omvangsdrempel | IT-beveiligingscatalogus netbeheerders, stand augustus 2015 |
| Exploitanten van installaties, bijv. opwekking of opslag | Energie-installatie op het net en belangrijke of bijzonder belangrijke entiteit volgens § 28 BSIG | IT-beveiligingscatalogus energie-installaties, stand december 2018 |
| Digitale energiediensten, bijv. aggregators | Dienst aan een energie-installatie op het net en belangrijke of bijzonder belangrijke entiteit volgens § 28 BSIG | Nog geen catalogus van de BNetzA. Aggregators die tot nu toe onder § 8a BSIG oude versie vielen, blijven de “B3S Aggregatoren” van het BDEW implementeren. |
Wie onder §§ 5c tot en met 5e EnWG valt, is uitgezonderd van de meeste verplichtingen van de BSI-wet; indeling en registratie blijven. Exploiteren gemeentelijke bedrijven bovendien water, afvalwater of andere sectoren uit bijlage 1 of 2 van de BSI-wet (multi-utility), dan geldt daarvoor de BSI-wet. In Complass beheert u deze sectoren in een NIS2-project en koppelt u gemeenschappelijk bewijs. Telecommunicatieaanbod valt onder de TKG.
Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.
Rechtsgrondslag
- § 5c EnWG§ 5c EnWG IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz(1) Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten: - 1. der Betreiber eines Energieversorgungsnetzes für Telekommunikationssysteme und für elektronische Datenverarbeitungssysteme, die für den sicheren Betrieb des Energieversorgungsnetzes notwendig sind, - 2. der Betreiber einer Energieanlage, der eine besonders wichtige Einrichtung nach § 28 …Origineel openen (gesetze-im-internet.de) ↗IT-beveiliging, rollen, catalogus en zijn twaalf minimumonderwerpen
- § 5d EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗Documentatie, contactpersoon, melding en registratie
- § 5e EnWG§ 5e EnWG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen(1) Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist verpflichtet, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. (2) Eine Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3, die ihre Pflichten nach Absatz 1 verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der …Origineel openen (gesetze-im-internet.de) ↗Verplichtingen van de directie
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Origineel openen (gesetze-im-internet.de) ↗Indeling als belangrijke of bijzonder belangrijke entiteit, uitzondering volgens lid 5
- § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Origineel openen (gesetze-im-internet.de) ↗Meldplichten en termijnen
- § 11 lid 1a en 1b EnWG oude versieGrondslag van de twee geldende catalogi (2015 en 2018)
Wat vandaag geldt en wat in 2027 kan komen
- §§ 5c tot en met 5e EnWG in werking (NIS2-implementatiewet). § 11 lid 1a tot en met 1g EnWG oude versie zijn vervallen.
- Termijn voor de registratie bij het BSI voor netbeheerders die geen belangrijke of bijzonder belangrijke entiteit zijn · § 5d Abs. 4 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗
- Vandaag Tot een nieuwe catalogus is gepubliceerd, blijven de catalogi van augustus 2015 (netten) en december 2018 (energie-installaties) gelden. Bestaande systemen voor aanvalsdetectie moeten blijven draaien. Gecontroleerd op 10.10.2026.
- 24 uur / 72 uur / één maand Significante beveiligingsincidenten aan het meldpunt van het BSI: vroege eerste melding, melding, eindrapport · § 5d Abs. 3 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗ met § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Origineel openen (gesetze-im-internet.de) ↗
- Onverwijld Documentatie doorgeven aan de Bundesnetzagentur: netbeheerders altijd, exploitanten van installaties en digitale energiediensten als bijzonder belangrijke entiteit (inhoudelijke inschatting, geen juridisch advies) · § 5d Abs. 1 Satz 2 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗
- Najaar 2026 Consultatie van een gezamenlijke catalogus voor netten, energie-installaties en digitale energiediensten, volgens de Bundesnetzagentur gepland
- 01.01.2027 (ontwerp) Datum van inwerkingtreding volgens het consultatieontwerp. De nieuwe catalogus is nog niet vastgesteld; de Bundesnetzagentur noemt op haar procedurepagina geen datum.
Wij controleren de stand bij de Bundesnetzagentur voor elke release. Wordt een nieuwe catalogus vastgesteld, dan voegt Complass hem toe als nieuwe uitgave; uw beoordelingen van de twaalf onderwerpen blijven behouden.
Wat de module moet omvatten
- 10fasen
- 30begeleide stappen
- 8documentsjablonen
- 77eisen in de catalogus
Twaalf onderwerpen die blijven
U beoordeelt de twaalf onderwerpen uit § 5c lid 4 EnWG één keer. De eisen van de catalogi 2015 en 2018 hangen eraan vast. Komt de nieuwe catalogus, dan voegt Complass hem toe als nieuwe uitgave, zonder dat u opnieuw hoeft te beginnen.
De catalogus die voor uw rol geldt
Netbeheerders werken met de catalogus 2015, exploitanten van installaties met de catalogus 2018, telkens met de eisen in de oorspronkelijke tekst en de bron. Digitale energiediensten gebruiken de twaalf onderwerpen als basis.
Netstructuurplan, inventaris en procesbesturing
Toepassingsgebied, netstructuurplan en systemen in assetbeheer, zones en toegang op afstand voor besturings- en processystemen.
Aanvalsdetectie en logging
Concept voor systemen voor aanvalsdetectie met bewaakte systemen, verantwoordelijkheden en reactie op alarmen.
Meldingen aan het BSI-meldpunt
Meldproces met de termijnen 24 uur, 72 uur en een maand, incidenten in de incidentmodule met aftelklok, afbakening ten opzichte van meldingen volgens het KRITIS-Dachgesetz.
Multi-utility met NIS2 in één portaal
Andere sectoren beheert u in het NIS2-project. Gemeenschappelijk bewijs koppelt u in plaats van het dubbel te onderhouden.
Directie en training
Verplichtingen van de leiding volgens § 5e EnWG met leerblokken voor specialisten en voor de directie.
De fasen in de module
- Applicability and role
- Scope, network structure plan and inventory
- ISMS skeleton
- Additional measures for control and process systems
- Attack detection and logging
- Contact person and registration
- Incident reporting
- Documentation, certification and evidence
- Management responsibility and training
- Supply chain and critical functions
Catalogus: Minimum contents of the IT security catalogue (section 5c(4) EnWG)
Passende modules
Assetmanagement
IT- en OT-assets op één plek, agentless vastgelegd, met SBOM, fabrikantadviezen, einde van ondersteuning, licentieafstemming, identiteiten, onderlinge verbanden en zones volgens IEC 62443-3-2.
Meer informatieIncidentmanagement
Incidenten vastleggen, meldingsplichten onder de NIS2-richtlijn, de CRA en de AVG toetsen en de meldtermijnen met een aftelling bijhouden.
Meer informatieRisicomanagement
Risicoregister met kwalitatieve of kwantitatieve beoordeling, risicobereidheid en behandelplan, gekoppeld aan assets, kwetsbaarheden en incidenten.
Meer informatieSupplier Management
Classificeer leveranciers, vraag zelfbeoordelingen en bewijs rechtstreeks bij de leverancier op, controleer ze en vraag aanvullingen. Met vragenlijsten voor NIS2, de AVG, ISO 27001, de CRA en IEC 62443-2-4.
Meer informatieVeelgestelde vragen
Vanaf wanneer is de module te boeken?
De module is in voorbereiding. Een datum noemen wij pas wanneer die vaststaat. Neem contact met ons op: wij laten u de stand zien en hoe u vandaag al kunt beginnen met ISO/IEC 27001 of NIS2 in Complass.
Geldt voor ons de EnWG of de BSI-wet?
Voor het netbeheer en voor energie-installaties van belangrijke of bijzonder belangrijke entiteiten gelden §§ 5c tot en met 5e EnWG; de meeste verplichtingen van de BSI-wet vervallen daarvoor. Indeling en registratie volgens de BSI-wet blijven. Voor andere sectoren zoals water of afvalwater geldt de BSI-wet. Is de energie-installatie ten opzichte van de totale bedrijfsactiviteit slechts een nevenactiviteit, dan geldt eveneens de BSI-wet.
Welke IT-beveiligingscatalogus geldt op dit moment?
Voor netbeheerders de catalogus van augustus 2015, voor exploitanten van installaties de catalogus van december 2018. Beide gelden volgens de Bundesnetzagentur voort tot een nieuwe catalogus is gepubliceerd. Stand van de controle: 10.10.2026.
Wat verandert er in 2027?
De Bundesnetzagentur herziet de catalogi samen met het BSI tot één catalogus die ook voor digitale energiediensten moet gelden. Het consultatieontwerp noemt 01.01.2027 als begindatum. Vastgesteld is dat nog niet. Uw werk aan de twaalf onderwerpen uit § 5c lid 4 EnWG telt in elk geval, omdat elke catalogus ze moet bevatten.
Wij zijn aggregator. Wat doen we tot de nieuwe catalogus?
Viel u tot nu toe onder § 8a BSIG oude versie, dan blijft u de “B3S Aggregatoren” van het BDEW implementeren. Anders bouwt u een ISMS volgens ISO/IEC 27001 op en oriënteert u zich op de twaalf onderwerpen. In Complass beoordeelt u deze onderwerpen en voegt u de nieuwe catalogus toe zodra deze is vastgesteld.
Bij wie melden wij een beveiligingsincident?
Bij het meldpunt van het BSI: een vroege eerste melding binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk een maand daarna. Heeft het incident betekenis voor de zekerheid van de energievoorziening, dan stuurt het BSI de melding door naar de Bundesnetzagentur (§ 5d lid 5 EnWG).
Vervangt Complass een juridische toetsing?
Nee. Complass structureert toepasselijkheidstoets, verplichtingen en bewijs aan de hand van de wettekst en de catalogi; de juridische beoordeling in het individuele geval blijft bij u.
Geldt de EnWG voor uw bedrijf?
De gratis toepasselijkheidscheck geeft in enkele minuten een eerste inschatting of u netbeheerder, exploitant van installaties of digitale energiedienst bent en welke normenkaders van toepassing zijn.
Test Complass met uw eigen gegevens
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.