NIS2 im Energiesektor

Neue gesetzliche Anforderungen nach NIS2-Gesetz, Ausblick auf KRITIS-DachG und weitere Regularien zur IT-Sicherheit
Aufgrund der vorgezogenen Wahlen konnten die parlamentarischen Verfahren zum NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und zum Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITIS-Dachgesetz) nicht abgeschlossen wurden. Beide Gesetzesvorhaben bleiben jedoch auf der Agenda und sind durch die neue Bundesregierung priorisiert. Denn zum einen ist die Umsetzungsfrist für die zugrunde liegenden EU-Richtlinien bereits zum 17. Oktober 2024 abgelaufen; was die EU zu Eröffnung von Vertragsverletzungsverfahren gegen Deutschland veranlasst hat. Zum anderen ist die Lage der IT-Sicherheit in Deutschland gemäß Lagebericht des BSI weiter besorgniserregend. Es ist davon auszugehen, dass das NIS2-Gesetz Anfang 2026 in Kraft tritt und das laufende Gesetzgebungsverfahren in 2025 abgeschlossen wird. Ende Juli hat die neue Bundesregierung hierzu bereits einen Gesetzentwurf beschlossen, der einzelne spürbare Anpassungen im Vergleich zu den bisherigen Gesetzentwürfen mit sich bringt.
Durch den neuen gesetzlichen Rahmen ändern sich zum einen die Anforderungen an die IT-Sicherheit für betroffene Einrichtungen im Sektor Energie (z.B. Netzbetreiber, Betreiber von Erzeugungsanlagen und Lieferanten). Zum anderen verpflichtet das KRITIS-DachG erstmals die Betreiber kritischer Anlagen, Maßnahmen auch zur Sicherstellung der physischen...