NIS-2 für Netzbetreiber. CYbersicherheit wird zur Organisationsaufgabe

Für Betreiber von Strom- und Gasnetzen ist Anlagen- und IT-Sicherheit kein neues Thema. Sicherheitskataloge, Nachweise und Audits gehören seit Jahren zum regulatorischen Alltag. Mit NIS-2 verändert sich dennoch der Zuschnitt der Aufgabe: Cybersicherheit wird noch deutlicher zu einer Frage der Unternehmensorganisation und der Verantwortung der Geschäftsleitung.

In der Ausgabe 7/2026 der Fachzeitschrift „Versorgungswirtschaft“ ist hierzu der Aufsatz unseres Partners Martin W. Schrenk erschienen: „NIS-2 für Netzbetreiber: Überblick und Einordnung in die Regulierung des Schutzes kritischer Infrastrukturen“. Der Beitrag ordnet die neuen Vorgaben speziell für Netzbetreiber ein und zeigt, an welchen Stellen rechtliche, technische und organisatorische Anforderungen ineinandergreifen.

Warum Netzbetreiber genauer hinsehen müssen

Netzbetreiber bewegen sich bereits in einem dichten Geflecht aus energiewirtschaftlichen und sicherheitsrechtlichen Vorgaben. NIS-2 setzt nicht einfach eine weitere einzelne Pflicht daneben. Die neuen Regeln wirken auf bestehende Strukturen ein: auf den IT-Sicherheitskatalog, Melde- und Nachweispflichten, das Risiko- und Krisenmanagement und die Organisation der Leitungsverantwortung.

Daraus entsteht eine praktische Kernfrage: Wer muss im Unternehmen was wissen, entscheiden, überwachen und dokumentieren? Ein gutes technisches Sicherheitskonzept reicht nicht, wenn Zuständigkeiten unklar sind, Berichtswege nicht funktionieren oder erkannte Risiken nicht auf der richtigen Ebene behandelt werden.

Cybersicherheit ist mehr als eine technische Aufgabe

Technische Schutzmaßnahmen bleiben unverzichtbar. Rechtlich und organisatorisch entscheidend ist aber auch, ob diese Maßnahmen in einer belastbaren Unternehmensorganisation verankert sind. Dazu gehören insbesondere:

• klare Verantwortlichkeiten zwischen Geschäftsleitung, IT, Informationssicherheit, Netzbetrieb und Krisenorganisation,

• regelmäßige Berichte, auf deren Grundlage die Geschäftsleitung tatsächlich entscheiden kann,

• nachvollziehbare Risikoentscheidungen und eine angemessene Dokumentation,

• eingeübte Melde-, Eskalations- und Notfallwege,

• eine wirksame Steuerung externer Dienstleister und kritischer Abhängigkeiten,

• die Abstimmung von Cybersicherheit, Krisenmanagement und physischer Resilienz.

NIS-2 verschiebt damit den Blick von einzelnen Sicherheitsmaßnahmen auf die Steuerungsfähigkeit des Unternehmens. Für Netzbetreiber ist das besonders relevant, weil Störungen nicht nur interne Abläufe betreffen. Sie können sich auf die Versorgungssicherheit und damit auf öffentliche Interessen auswirken.

Ein Regelungsgefüge statt eines einzelnen Gesetzes

Der Fachbeitrag beschäftigt sich deshalb nicht nur mit der europäischen Richtlinie. Er ordnet das Zusammenspiel des BSI-Gesetzes, der energiewirtschaftlichen Sonderregelungen im EnWG und der Vorgaben zum Schutz kritischer Infrastrukturen ein. Gerade im Energiesektor lassen sich Betroffenheit und konkrete Pflichten nicht aus einer einzigen Vorschrift ablesen.

Der Aufsatz behandelt unter anderem folgende Fragen:

Welche Kategorien und Schwellenwerte sind für Netzbetreiber relevant?

Wie greifen allgemeine NIS-2-Pflichten und energiewirtschaftliche Sonderregelungen ineinander?

Welche Verantwortung trägt die Geschäftsleitung?

Welche organisatorischen Fragen werden bei der Umsetzung häufig unterschätzt?

Wie können Cyberrisiken, physische Risiken und Krisenresilienz sinnvoll zusammengeführt werden?

Für wen ist der Beitrag interessant?

Der Aufsatz richtet sich an Geschäftsleitungen sowie an Verantwortliche in Recht, Compliance, Informationssicherheit, Netzbetrieb und Krisenorganisation. Er ist vor allem für Unternehmen interessant, die nicht nur wissen möchten, welche Vorschrift gilt, sondern wie sich die Anforderungen in eine funktionierende Unternehmensorganisation übersetzen lassen.

Die Umsetzung von NIS-2 ist kein reines IT-Projekt. Sie verlangt Entscheidungen über Zuständigkeiten, Prioritäten, Ressourcen, Berichtslinien und Kontrolle. Wer diese Fragen frühzeitig strukturiert, reduziert nicht nur regulatorische Risiken. Er stärkt zugleich die Handlungsfähigkeit des Unternehmens in einer Störung oder Krise.

Von der Rechtslage zur praktischen Umsetzung

Entscheidend ist, einzelne Pflichten nicht einfach isoliert abzuhaken. Verantwortlichkeiten, Berichtswege, Risikoentscheidungen und Eskalationsmechanismen müssen so ausgestaltet sein, dass sie im Unternehmensalltag funktionieren. Genau an dieser Schnittstelle zwischen rechtlicher Einordnung und operativer Organisation setzt der Fachbeitrag an.