IT-Sicherheitskatalog nach EnWG
ISMS-Zertifizierung mit ISO/IEC 27019 für Netz- und Anlagenbetreiber.
Wer ein Strom- oder Gasnetz betreibt oder eine Energieanlage, muss ein zertifiziertes Informationssicherheits-Managementsystem nachweisen. Gefordert wird ein ISMS nach ISO/IEC 27001 unter Berücksichtigung von ISO/IEC 27002 und ISO/IEC 27019.
Wir bauen dieses Managementsystem mit Ihnen auf, bereiten Sie auf das Audit vor und begleiten Sie durch den dreijährigen Zyklus. Zertifiziert wird anschließend durch eine akkreditierte Stelle.
IT-Sicherheitskatalog nach EnWGISMS-Zertifizierung mit ISO/IEC 27019 für Netz- und Anlagenbetreiber.
Wer ein Strom- oder Gasnetz betreibt oder eine Energieanlage, muss ein zertifiziertes ISMS nach ISO/IEC 27001 unter Berücksichtigung von ISO/IEC 27019 nachweisen. Wir bauen es mit Ihnen auf und bereiten Sie auf das Audit vor.
Trifft eines davon auf Sie zu?
Dann gilt für Sie die Zertifizierungspflicht. Die Bundesnetzagentur hat den IT-Sicherheitskatalog im Einvernehmen mit dem BSI erlassen, in zwei Fassungen für zwei Adressatenkreise.
ISO/IEC 27019 und die Zusatzanforderungen des Katalogs
Eine gewöhnliche ISO-27001-Zertifizierung genügt allerdings nicht. Das Normengerüst bildet die Grundlage, der Katalog legt sich als Rahmen darum und stellt eigene Anforderungen an Geltungsbereich, Dokumentation und Nachweisführung.
Wo die Regelung heute steht
Die Pflicht besteht seit einem Jahrzehnt, hat aber mehrfach den Ort im Gesetz gewechselt und wird laufend an neue Normfassungen angepasst.
Wie wir Sie zur Zertifizierung begleiten
Wir beraten und bereiten vor, zertifizieren aber nicht selbst. Das übernimmt eine bei der Deutschen Akkreditierungsstelle akkreditierte Stelle, denn Beratung und Zertifizierung müssen getrennt bleiben.
FAQ – IT-Sicherheitskatalog Berlin & DACH
Ihre Fragen zum IT-Sicherheitskatalog
Hier finden Sie die Antworten, die vor einem Projekt am häufigsten gebraucht werden: Wer betroffen ist, worin der Unterschied zu einer gewöhnlichen ISO-27001-Zertifizierung liegt, was sich durch § 5c EnWG ändert und wie lange der Weg dauert.
Wer muss nach dem IT-Sicherheitskatalog zertifiziert sein?
Betroffen sind Betreiber von Strom- und Gasnetzen sowie Betreiber von Energieanlagen, die als Kritische Infrastruktur eingestuft sind. Für beide Gruppen hat die Bundesnetzagentur je einen eigenen Katalog erlassen, im Einvernehmen mit dem BSI.
Maßgeblich ist dabei der Netz- oder Anlagenbetrieb, nicht die Unternehmensgröße. Auch wer den Betrieb ganz oder teilweise ausgelagert hat, bleibt in der Pflicht: Die Verantwortung für die Erfüllung der Schutzziele trägt der Netzbetreiber, selbst wenn er sich dabei Dritter bedient.
Reicht eine normale ISO-27001-Zertifizierung nicht aus?
Nein. Die ISO/IEC 27001 ist zwar die Grundlage, der Katalog stellt aber zusätzliche Anforderungen. Bei der Umsetzung sind ISO/IEC 27002 und ISO/IEC 27019 zu berücksichtigen, wobei letztere die Besonderheiten der Prozesssteuerung in der Energieversorgung abbildet.
Hinzu kommen ein vorgegebener Mindestgeltungsbereich, der Netzstrukturplan, eine Risikoanalyse, die ausdrücklich die Auswirkungen auf die Versorgungssicherheit bewertet, sowie eine der Bundesnetzagentur zu meldende Ansprechperson für IT-Sicherheit. Nachzuweisen sind am Ende das Zertifikat, die Erklärung zur Anwendbarkeit und die Identifikation der kritischen Prozesse.
Was ändert sich durch die Verschiebung nach § 5c EnWG?
Mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie, in Kraft seit dem 6. Dezember 2025, wurden die Regelungen aus § 11 Absatz 1a bis 1g EnWG gestrichen und in die §§ 5c bis 5e EnWG verschoben. Die Pflicht selbst bleibt bestehen, sie steht nur an anderer Stelle im Gesetz.
Praktisch gilt: Bis ein neuer IT-Sicherheitskatalog veröffentlicht ist, gelten die bestehenden Kataloge für die bisherigen Adressaten weiter. Auch Systeme zur Angriffserkennung sind entsprechend der bisherigen Vorgaben weiter zu betreiben. Wie sich das zur allgemeinen NIS-2-Umsetzung verhält, klären wir im Erstgespräch.
Warum ist Oktober 2026 ein wichtiger Termin?
Weil ab diesem Zeitpunkt die aktualisierte Fassung der ISO/IEC 27019 im Rahmen der IT-Sicherheitskataloge verpflichtend zu nutzen ist. Sie liegt seit Herbst 2024 vor und ist wieder konsistent zur ISO/IEC 27001.
Bis dahin stellt die Bundesnetzagentur eine Mappingtabelle zwischen ISO/IEC 27019:2020 und ISO/IEC 27002:2022 bereit, die mit dem Umstieg obsolet wird. Wer noch mit der Vorgängerfassung arbeitet, sollte den Wechsel jetzt einplanen, damit er nicht mitten in den Zertifizierungszyklus fällt.
Wie lange dauert der Weg zur Zertifizierung?
Das hängt davon ab, wie viel bereits vorhanden ist. Gibt es noch kein Managementsystem, sollten Sie mit mehreren Monaten rechnen, weil Risikoanalyse, Netzstrukturplan und Dokumentation nicht nebenher entstehen. Besteht bereits ein ISMS nach ISO 27001, verkürzt sich der Weg erheblich.
Wir beginnen deshalb immer mit einer GAP-Analyse. Danach wissen Sie, welche Lücken zu schließen sind und in welcher Reihenfolge das sinnvoll ist. Nach der Zertifizierung folgt ein dreijähriger Zyklus mit jährlichen Überwachungsaudits.
Zertifiziert procado selbst?
Nein, und das ist wichtig. Beratung und Zertifizierung müssen getrennt bleiben. Wir bauen das Managementsystem mit Ihnen auf, erstellen die Dokumentation und bereiten Sie auf das Audit vor. Zertifiziert wird durch eine bei der Deutschen Akkreditierungsstelle akkreditierte Zertifizierungsstelle.
Bei der Auswahl einer geeigneten Stelle unterstützen wir Sie und begleiten Sie durch das Verfahren. Erreichen Sie uns für ein Erstgespräch unter sales@procado.de oder +49 (0)30 293 98 300.
