Energie zählt zu den zehn Sektoren aus Anlage 1 BSIG, die als „besonders wichtige Einrichtung" eingestuft werden können - der strengsten der beiden deutschen Kategorien. Betroffen sind unter anderem Betreiber von Elektrizitäts-, Gas-, Fernwärme- und Wasserstoffnetzen sowie Erzeuger und Anbieter, die eine bestimmte Marktrolle einnehmen. Ab 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro gilt ein Energieunternehmen als „wichtige Einrichtung"; „besonders wichtig" wird es erst ab 250 Beschäftigten oder Umsatz über 50 Millionen und Bilanzsumme über 43 Millionen Euro.
Für Energieunternehmen kommt häufig eine zweite Schicht hinzu: Betreiber kritischer Infrastrukturen im Sinne des BSI-Gesetzes (KRITIS) unterliegen zusätzlich eigenen, teils strengeren Anforderungen und niedrigeren Schwellenwerten. Der Compliance-Kompass prüft nur die NIS2-Betroffenheit nach Anhang I - eine mögliche KRITIS-Einstufung ist gesondert zu klären.
- Stromnetzbetreiber und Übertragungsnetzbetreiber
- Gasversorger und Fernleitungsnetzbetreiber
- Fernwärme- und Fernkälteanbieter
- Betreiber öffentlich zugänglicher Ladeinfrastruktur für Elektrofahrzeuge
Wie die Einschätzung funktioniert
NIS2, CRA und ISO 42001 - drei Regelwerke, ein Schnellcheck
NIS2, der Cyber Resilience Act (CRA) und ISO/IEC 42001 werden häufig verwechselt, weil sie sich zeitlich überschneiden und alle Sicherheitsnachweise verlangen. Sie adressieren aber unterschiedliche Ebenen: NIS2 verpflichtet Betreiber besonders wichtiger und wichtiger Einrichtungen, ihre eigene Organisation abzusichern. Der CRA verpflichtet Hersteller, sichere Produkte mit digitalen Elementen in Verkehr zu bringen. ISO 42001 ist eine freiwillige Norm für den Umgang mit KI-Systemen.
Der Compliance-Kompass ordnet die eigenen Angaben diesen drei Regelwerken zu und verweist direkt auf die passende Vorlage im ISMS-Dokumentation-Tool oder auf CRA-Klartext. Die Einschätzung ersetzt keine rechtliche Prüfung, gibt aber einen belastbaren ersten Anhaltspunkt, wo Handlungsbedarf besteht.
Häufige Fragen
Sind auch kleinere Stadtwerke von NIS2 betroffen?
Kommt auf die Größe an: Die Einstufung als wichtige Einrichtung greift in der Regel ab 50 Beschäftigten oder Umsatz und Bilanzsumme über 10 Millionen Euro; besonders wichtig wird ein Energieversorger erst ab 250 Beschäftigten oder deutlich höheren Umsatz- und Bilanzsummenwerten. Kleinere Stadtwerke unterhalb dieser Schwellen fallen meist nicht unter NIS2 - können aber, unabhängig von der Größe, als Betreiber kritischer Infrastruktur (KRITIS) gesondert reguliert sein.
Zählt ein reiner Energiehändler ohne eigenes Netz zum Sektor Energie?
Das hängt von der konkreten Marktrolle ab, die Anhang I der Richtlinie für den Energiesektor definiert. Reine Handelsunternehmen ohne Netz-, Erzeugungs- oder Versorgungsfunktion fallen häufig nicht darunter - eine Einzelfallprüfung anhand der eigenen Tätigkeit ist hier ratsam.
Ab welcher Unternehmensgröße gilt NIS2?
In der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz - vorausgesetzt, das Unternehmen ist einem der in Anhang I oder II der Richtlinie genannten Sektoren zuzuordnen. Unabhängig von der Größe können auch einzelne kritische Einzelanbieter erfasst sein.
Bin ich als Softwarehersteller vom Cyber Resilience Act betroffen?
Sehr wahrscheinlich. Enthält ein Produkt Software oder kann es sich mit einem Gerät oder Netz verbinden und wird es in der EU verkauft, fällt es in der Regel unter den CRA - egal ob reine Software, IoT-Gerät oder Industriesteuerung.
Muss ich mein Unternehmen nach ISO 42001 zertifizieren lassen, wenn ich KI einsetze?
Nein, ISO/IEC 42001 ist eine freiwillige Norm. Verpflichtend sind die Anforderungen der EU-KI-Verordnung, unabhängig von einer Zertifizierung. Ein KI-Managementsystem nach ISO 42001 hilft aber, diese Anforderungen strukturiert nachzuweisen.
Mehr dazu: NIS-2 im Glossar · Risikoregister im Glossar