Angemessener Schutz
Umsetzung über den IT-Sicherheitskatalog der Bundesnetzagentur nach § 5c Abs. 2 EnWG – in der Praxis über ein nach DIN EN ISO/IEC 27001 (i. V. m. ISO/IEC 27019) zertifiziertes ISMS.
§ 5c EnWG · NIS2 · ISMS für Netzbetreiber
Die Nachweispflicht steht.
Das Werkzeug liefern wir.
Mit dem NIS2-Umsetzungsgesetz sind die IT-Sicherheitsanforderungen für Strom- und Gasnetzbetreiber in die §§ 5c bis 5e EnWG gewandert – ohne Größenschwelle und mit persönlicher Verantwortung der Geschäftsführung. Wir richten das Verzeichnis der Werte und den Meldeprozess auf Open-Source-Basis ein und übergeben die Nachweisdokumente, die ein Auditor sehen will.
- Keine Lizenzkosten
- Volle Datenhoheit
- Prüffähige Nachweise
Was neu ist
- Keine Größenschwelle
- Auch kleine und regionale Netzbetreiber sind adressiert.
- Persönliche Verantwortung
- Die Geschäftsführung steht nach § 5e EnWG in der Pflicht.
- 24 / 72 Stunden
- Erstmeldung und Bericht bei meldepflichtigen Vorfällen nach § 5d EnWG.
Was sich geändert hat
Aus § 11 EnWG wurden §§ 5c bis 5e.
Das NIS2-Umsetzungsgesetz hat die früheren Regelungen zur IT-Sicherheit aus § 11 EnWG in eigene Paragrafen überführt und den Kreis der betroffenen Unternehmen deutlich ausgeweitet. Für kleine Stadtwerke und regionale Netzbetreiber ist damit ein Thema entstanden, das vorher an ihnen vorbeiging.
Nachweis und Meldung
Meldepflichtige Vorfälle: Frühmeldung innerhalb von 24 Stunden, Hauptmeldung innerhalb von 72 Stunden, danach eine Abschlussmeldung (§ 5d EnWG i. V. m. § 32 BSIG).
Verantwortung der Leitung
Die Geschäftsleitung muss die Anforderungen umsetzen und überwachen und haftet bei schuldhafter Pflichtverletzung – ein Grund, warum Budgets hier schnell entschieden werden.
Kataloge in Überarbeitung
Die Bundesnetzagentur überarbeitet die IT-Sicherheitskataloge mit dem BSI. Bis zur Veröffentlichung neuer Kataloge gelten die bisherigen nach § 11 Abs. 1a/1b EnWG a. F. fort, bestehende Zertifikate bleiben gültig.
Betrifft mich das?
Selbsteinschätzung in vier Punkten.
Die Frage ist selten, ob ein Netzbetreiber betroffen ist, sondern womit er die Nachweise führt. Die folgenden Punkte helfen bei der ersten Einordnung – die verbindliche Prüfung erfolgt im Einzelfall.
- Sie betreiben ein eigenes Strom- oder Gasnetz, auch klein oder rein regional.
- Ihr Verzeichnis der Werte liegt heute in Tabellen, das Meldewesen läuft über E-Mail-Postfächer.
- Sie haben kein zertifiziertes ISMS oder keine Software, die die geforderten Nachweise trägt.
- Eine bestehende Zertifizierung steht zur Überprüfung an, oder die neuen Sicherheitskataloge betreffen Sie.
Treffen zwei oder mehr Punkte zu, ist das Thema für Sie relevant.
Die konkreten Nachweispflichten
Zwei Artefakte, die der Auditor sehen will.
Ein ISMS verlangt viele Nachweise. Zwei davon sind operativ und lassen sich mit Werkzeugen sauber abbilden: das Verzeichnis der Werte und der Meldeprozess.
Verzeichnis der Werte
Ein vollständiges, gepflegtes Asset-Verzeichnis mit klarer Abgrenzung des Geltungsbereichs.
- Netzleittechnik, Fernwirktechnik und Büro-IT getrennt geführt
- Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit je Asset
- Verantwortlichkeiten: technischer Betreiber, fachlicher Eigentümer
- Ausfallabhängigkeiten zwischen Assets dokumentiert
- Auswertungen für Lücken: Assets ohne Einstufung, ohne Verantwortlichen, im Scope ohne Dokumentation
Meldeprozess mit Fristen
Ein geführter Ablauf statt eines E-Mail-Postfachs, mit überwachten Fristen und revisionssicherer Historie.
- Klassifikation nach Schweregrad mit Entscheidungshilfe zur Meldepflicht
- Erstmeldung → Folgemeldung → Abschlussmeldung mit Pflichtfeldern
- Fristenüberwachung über Eskalationsstufen: Erinnerung, Alarm, Überschreitung – für die 24- und die 72-Stunden-Frist
- Benachrichtigung an Geschäftsführung und Informationssicherheitsbeauftragten
- Auswertungen: meldepflichtige Vorfälle je Zeitraum, Fristeneinhaltung, offene Maßnahmen
Ehrlich bleiben: Die Meldung selbst erfolgt über das Meldeportal des BSI. Das System übernimmt Fristenüberwachung, Inhaltserstellung und Nachweisführung – nicht die Übermittlung.
Der Lösungsansatz
Durchgängige Nachweiskette – ohne Lizenzkosten.
GLPI führt das Verzeichnis der Werte, Znuny führt den Melde- und Incident-Prozess. Beide Systeme sind über eine bereits vorhandene Schnittstelle gekoppelt: Ein Vorfall zeigt direkt auf das betroffene Asset. Damit entsteht eine durchgängige Nachweiskette vom Vorfall über das betroffene Asset bis zur Meldung – genau das, was im Audit überzeugt.
Beide Systeme sind Open Source. Sie zahlen keine Lizenzgebühren, betreiben die Lösung on-premise oder bei einem frei gewählten Provider und behalten die volle Kontrolle über Ihre Daten.
- Keine Lizenzkosten, kein Vendor-Lock-in
- Volle Datenhoheit, Betrieb im eigenen Rechenzentrum möglich
- Vorfall und Asset bleiben nachvollziehbar verknüpft
- Aufbauend auf bewährten Werkzeugen aus dem IT-Service-Management
Was das Paket enthält
Konfiguration und Dokumentation – kein Entwicklungsprojekt.
Geliefert wird kein laufendes System, sondern ein prüfbares Ergebnis. Der Wert steckt in der Zuordnung von Gesetzesanforderung zu Systemumsetzung.
Verzeichnis der Werte
Entity-Struktur für den Geltungsbereich, Schutzbedarfsfelder, Verantwortlichkeiten, Ausfallabhängigkeiten und automatische Erfassung über den GLPI-Agent.
Incident- und Meldeprozess
Geführter Meldeablauf über Process Management, Fristenüberwachung über Eskalationszeiten, Pflichtfelder, Benachrichtigungen und revisionssichere Historie.
Vorfall zeigt auf Asset
Die Schnittstelle zwischen GLPI und Znuny ist vorhanden. Ein Vorfall verweist direkt auf das betroffene Asset – die durchgängige Nachweiskette.
Dokumentenmappe
Zuordnungstabelle Anforderung → Control → Umsetzung, Verfahrensanweisung Sicherheitsvorfall, Betriebshandbuch, Rollen- und Berechtigungskonzept, Nachweis der Ersterfassung, Schulungsnachweis.
Was nicht enthalten ist
Klar abgegrenzt, damit es im Angebot keine Überraschung gibt.
Vertrauen entsteht durch Ehrlichkeit über die Grenzen. Diese Punkte gehören bewusst nicht zum Paket.
- Aufbau des ISMS selbst, Risikoanalyse, Sicherheitsleitlinie (Beratungsarbeit)
- Auditbegleitung und Zertifizierungsvorbereitung
- Erfassung der Netzleittechnik-Assets – Sie liefern die Liste, wir strukturieren sie
- Datenübernahme aus Altsystemen über eine definierte Menge hinaus
- Anbindung an weitere Fremdsysteme
- Laufender Betrieb – separates Angebot
Haftungsgrenze: Geliefert werden Werkzeuge und Nachweisartefakte. Ein Zertifizierungsergebnis wird nicht garantiert.
Whitepaper zum Download
Nachweispflichten nach § 5c EnWG praktisch umsetzen
Ein Leitfaden für kleine und mittlere Netzbetreiber. Rund 10 bis 12 Seiten, überwiegend Sachinhalt – nützlich auch ohne Beauftragung.
- Was sich mit dem NIS2-Umsetzungsgesetz geändert hat
- Betroffenheitsprüfung in wenigen Schritten
- Was ein ISMS konkret an Nachweisen verlangt
- Verzeichnis der Werte: typische Fehler und was ein Auditor sehen will
- Der Meldeprozess: die Fristen aus § 5d in der Praxis
- Umsetzung mit Open-Source-Werkzeugen – mit offen benannten Grenzen
- Checkliste zum Heraustrennen
Wir senden Ihnen den Download-Link per E-Mail. Kein Newsletter, keine Weitergabe an Dritte.
Kostenfreier Download
Leitfaden anfordern
Pflichtfelder sind mit einem Sternchen gekennzeichnet. Sie erhalten den Link an die angegebene Adresse.
Häufige Fragen
§ 5c EnWG in der Praxis.
Kurze Antworten auf die Fragen, die im Erstgespräch am häufigsten kommen. Quellen zu den regulatorischen Angaben sind unten aufgeführt. Sie ersetzen keine Rechtsberatung.
1. Für wen gilt § 5c EnWG?
Für alle Betreiber von Strom- und Gasversorgungsnetzen sowie – nach BSIG-Einstufung – für bestimmte Betreiber von Energieanlagen und digitalen Energiediensten. Die verbindliche Einordnung Ihres Unternehmens ist im Einzelfall zu prüfen.
2. Gibt es eine Größenschwelle?
Für Netzbetreiber nicht – auch kleine und regionale Netze sind erfasst. Nach § 5c Abs. 3 EnWG richtet sich der Umfang der konkreten Anforderungen aber unter anderem nach der Größe des Betreibers.
3. Was bedeuten die 24- und 72-Stunden-Fristen?
Bei meldepflichtigen Vorfällen sind eine Frühmeldung binnen 24 Stunden und eine Hauptmeldung binnen 72 Stunden vorgesehen, dazu eine Abschlussmeldung (§ 5d EnWG i. V. m. § 32 BSIG). Der Znuny-Meldeprozess überwacht diese Fristen über Eskalationsstufen.
4. Übernimmt das System die Meldung an das BSI?
Nein. Die Meldung erfolgt über das Meldeportal des BSI. Das System übernimmt Fristenüberwachung, Inhaltserstellung und Nachweisführung, nicht die Übermittlung.
5. Brauchen wir Softwarelizenzen?
Nein. GLPI und Znuny sind Open Source. Keine Lizenzkosten, Betrieb on-premise oder beim Wunsch-Provider, Daten in Ihrer Hoheit.
6. Ersetzt das Paket eine ISMS-Beratung?
Nein. Aufbau des ISMS, Risikoanalyse, Leitlinie und Auditbegleitung sind nicht enthalten. Wir liefern die operativen Werkzeuge und die Nachweisdokumente und arbeiten mit Beratungshäusern zusammen.
Quellen & Stand (September 2026). Fragen 1–3 (regulatorisch): Gesetzestext § 5c, § 5d und § 5e EnWG (i. d. F. nach dem NIS2-Umsetzungsgesetz, in Kraft seit Dezember 2025) sowie die Bundesnetzagentur, „IT-Sicherheitskatalog gem. § 5c Abs. 2 EnWG". Fragen 4–6 beschreiben Leistungsumfang und Grenzen des Angebots von IT.WESER-EMS. Der Rechtsrahmen wird derzeit fortentwickelt; maßgeblich sind der jeweils geltende Gesetzestext und die aktuellen Veröffentlichungen von Bundesnetzagentur und BSI. Keine Rechtsberatung.
Nächster Schritt
Sie prüfen gerade Ihren Stand nach § 5c EnWG?
In 20 Minuten ordnen wir ein, wie sich der Nachweisteil ohne Lizenzkosten abbilden lässt und was das für Ihr Netz konkret bedeutet.
Erstgespräch vereinbaren Unverbindlich · direkt mit einem Techniker
Rechtshinweis: Die Angaben auf dieser Seite fassen den Regelungsrahmen nach dem NIS2-Umsetzungsgesetz und den §§ 5c bis 5e EnWG allgemein zusammen (Stand: September 2026). Sie sind keine Rechtsberatung im Einzelfall. Maßgeblich sind der jeweils geltende Gesetzestext (§ 5c, § 5d, § 5e EnWG) sowie die Veröffentlichungen der Bundesnetzagentur und des BSI. Der Rechtsrahmen und die IT-Sicherheitskataloge werden derzeit fortentwickelt. Ob und ab wann Ihr Unternehmen betroffen ist, ist gesondert zu prüfen. Ein Zertifizierungsergebnis wird nicht zugesichert.