Kurzdefinition: § 5c EnWG ist die zentrale IT-Sicherheits-Grundnorm des Energiesektors. Betreiber von Energieversorgungsnetzen, bestimmte Betreiber von Energieanlagen und Anbieter digitaler Energiedienste müssen für die betriebsnotwendigen Telekommunikations- und Datenverarbeitungssysteme einen angemessenen Schutz gegen Bedrohungen gewährleisten. Die konkreten Anforderungen legt die Bundesnetzagentur im Einvernehmen mit dem BSI in einem IT-Sicherheitskatalog fest. [N-EnWG-5c]
Der Normwortlaut
§ 5c Abs. 1 EnWG bestimmt: „Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten“ — und benennt den Betreiber eines Energieversorgungsnetzes, bestimmte Betreiber von Energieanlagen sowie Betreiber digitaler Energiedienste. Nach § 5c Abs. 2 EnWG werden die Anforderungen „von der Bundesnetzagentur im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik in einem Katalog von Sicherheitsanforderungen (IT-Sicherheitskatalog) durch Festlegung nach § 29 Absatz 1 bestimmt“. [N-EnWG-5c]
Wer ist nach § 5c EnWG verpflichtet?
Bestimmte Akteure des Energiesektors. § 5c Abs. 1 EnWG erfasst Betreiber von Energieversorgungsnetzen sowie Betreiber von Energieanlagen und digitalen Energiediensten, die zugleich besonders wichtige oder wichtige Einrichtungen nach § 28 BSIG sind und deren Anlage an ein Energieversorgungsnetz angeschlossen ist. [N-EnWG-5c]
Was ist der IT-Sicherheitskatalog?
Der operative Maßstab. Nach § 5c Abs. 2 EnWG legt die Bundesnetzagentur im Einvernehmen mit dem BSI einen IT-Sicherheitskatalog fest. Hält ein Betreiber den Katalog ein, gilt der angemessene Schutz als eingehalten. Der Katalog übersetzt die gesetzliche Pflicht in konkrete Anforderungen. [N-EnWG-5c]
Welche Vorgaben muss der Katalog enthalten?
Ein breites Maßnahmenspektrum. Nach § 5c Abs. 4 EnWG hat der Katalog mindestens Vorgaben unter anderem zu Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Notfall- und Krisenmanagement, Lieferkettensicherheit, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung und Systemen zur Angriffserkennung zu enthalten. [N-EnWG-5c]
Ab wann ist der Schutz sicherzustellen?
Bereits bei der Beschaffung. § 5c Abs. 1 EnWG stellt klar, dass der angemessene Schutz schon bei der Beschaffung von Anlagengütern und Dienstleistungen sicherzustellen ist. Sicherheit ist damit nicht erst im Betrieb, sondern schon im Einkauf zu bedenken. [N-EnWG-5c]
Wie verhält sich § 5c EnWG zum BSIG?
Als sektorspezifische Spezialnorm mit eigener Festlegungs- und Aufsichtslogik. § 5c EnWG verdrängt das BSIG nicht pauschal, sondern enthält eigene Pflichten mit der Bundesnetzagentur als zentraler Festlegungs- und Aufsichtsbehörde. Der Adressatenkreis verschränkt sich ausdrücklich mit den Einrichtungskategorien des § 28 BSIG. [N-EnWG-5c]
Häufige Fehlannahmen
- „Für den Energiesektor gilt nur das BSIG.“ Nein. § 5c EnWG enthält eigene, parallele IT-Sicherheitspflichten mit der Bundesnetzagentur als Aufsichtsbehörde. [N-EnWG-5c]
- „Die Anforderungen sind offen formuliert.“ Nicht in der Praxis. Sie werden im IT-Sicherheitskatalog konkretisiert. [N-EnWG-5c]
- „Sicherheit ist erst im Betrieb nötig.“ Nein. Der angemessene Schutz ist schon bei der Beschaffung sicherzustellen. [N-EnWG-5c]
- „Jeder Energieanlagenbetreiber ist erfasst.“ Nein. Erfasst sind nur Betreiber, die zugleich besonders wichtige oder wichtige Einrichtungen nach § 28 BSIG sind. [N-EnWG-5c]
- „Der Katalog enthält nur allgemeine Grundsätze.“ Nein. § 5c Abs. 4 EnWG verlangt konkrete Mindestvorgaben, etwa zu Angriffserkennung und Lieferkettensicherheit. [N-EnWG-5c]
- „Das BSI legt den Katalog fest.“ Nicht allein. Die Bundesnetzagentur legt ihn im Einvernehmen mit dem BSI fest. [N-EnWG-5c]
Was die Geschäftsleitung tun sollte
- Betroffenheit prüfen. Klären, ob der Betrieb unter § 5c EnWG fällt und zugleich Einrichtung nach § 28 BSIG ist.
- Katalog umsetzen. Den IT-Sicherheitskatalog der Bundesnetzagentur als Maßstab heranziehen.
- Beschaffung einbeziehen. Sicherheitsanforderungen bereits im Einkauf von Anlagen und Diensten verankern.
- Aufsicht beachten. Die Bundesnetzagentur als zuständige Festlegungs- und Aufsichtsbehörde einplanen.
Für die Geschäftsleitung
Der Energiesektor hat mit § 5c EnWG sein eigenes IT-Sicherheitsregime — mit der Bundesnetzagentur als Aufsicht und dem IT-Sicherheitskatalog als Maßstab. Wer Netze, Anlagen oder digitale Energiedienste betreibt, sollte Sicherheit vom Einkauf bis zum Betrieb am Katalog ausrichten und die Verschränkung mit dem BSIG im Blick behalten.
Quellen
- [N-EnWG-5c] § 5c EnWG (IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz), Abs. 1 bis 4. Amtlich: https://www.gesetze-im-internet.de/enwg_2005/__5c.html
