NIS2 im Energiesektor: Der Network Code on Cybersecurity ändert Ihren Scope

Ein deutsches Erzeugungsportfolio von 1.500 MW ist eine wesentliche Einrichtung nach NIS2. Nach dem vorläufigen Electricity Cybersecurity Impact Index ist es zugleich Kandidat für eine High-Impact-Einstufung unter einer zweiten EU-Verordnung, die die meisten IT-Berater nie geöffnet haben.

Diese Verordnung ist der Network Code on Cybersecurity — Delegierte Verordnung (EU) 2024/1366, in Kraft seit dem 13. Juni 2024. Sie gilt unmittelbar in jedem Mitgliedstaat. Keine Umsetzung, kein nationales Ausführungsgesetz, kein Warten.

Wenn Sie NIS2-Readiness für Energiekunden betreuen und Ihr Scope bei Article 21 endet, ist Ihr Scope falsch.

NIS2 im Energiesektor ist die Untergrenze, nicht die Obergrenze

NIS2 führt Strom, Gas, Öl, Wasserstoff sowie Fernwärme und -kälte in Anhang I. Betreiber mit 250 oder mehr Mitarbeitenden, oder weniger als 250 mit einem Jahresumsatz über 50 Mio. € und einer Bilanzsumme über 43 Mio. €, gelten als wesentliche Einrichtungen; Betreiber mit 50 oder mehr Mitarbeitenden, oder weniger als 50 mit sowohl Jahresumsatz als auch Bilanzsumme über 10 Mio. €, als wichtige Einrichtungen. Danach folgt das Standardprogramm: die zehn Maßnahmen aus Article 21, Meldepflichten nach Article 23 und Leitungsverantwortung nach Article 20.

Der NCCS setzt darauf auf, speziell für Elektrizität. Er existiert, weil ein Cybervorfall in einer Leitwarte nicht an der Grenze endet — Frequenzabweichungen pflanzen sich in Sekunden durch einen Synchronbereich fort. Die EU hat deshalb Sektorregeln für grenzüberschreitende Stromflüsse geschrieben und ihnen unmittelbare Geltung gegeben.

Zwei Folgen, die Ihre Kunden sofort spüren:

• Der NCCS definiert eigenen Scope, eigenes Kontrollset und eigenen Auditzyklus. Nichts davon wird aus nationalem NIS2-Recht übernommen.
• Nach Recital 15 kann die Einhaltung eines Rahmens als Nachweis für den anderen dienen. Die Arbeit ist wiederverwendbar — aber nur bei bewusstem Mapping.

Die Benennung entscheidet über den Scope, nicht die Mitarbeiterzahl

Hier liegen Berater regelmäßig falsch. Der NIS2-Scope ist mechanisch: Sektor plus Größenschwellen. Der NCCS-Scope nicht.

Nach Article 24 benennt eine nationale zuständige Behörde Einrichtungen als High-Impact oder Critical-Impact anhand des Electricity Cybersecurity Impact Index. High-Impact heißt, eine Störung würde grenzüberschreitende Flüsse erheblich beeinträchtigen. Critical-Impact heißt, sie würde sie destabilisieren.

ENTSO-E und die EU DSO Entity haben vorläufige ECII-Schwellen veröffentlicht, damit Mitgliedstaaten Kandidaten vor der endgültigen unionsweiten Risikobewertung melden können. Sie unterscheiden sich stark nach Land:

Mitgliedstaat	High-Impact	Critical-Impact
Deutschland, Frankreich, Italien, Niederlande, Schweden	1.500 MW	3.000 MW
Spanien, Polen, Rumänien, Slowenien	1.000 MW	3.000 MW
Österreich, Tschechien, Griechenland, Ungarn, Slowakei	500 MW	3.000 MW
Estland, Lettland, Litauen	500 MW	900 MW
Irland	500 MW	700 MW
Malta	250 MW	250 MW

Ein 900-MW-Portfolio in Irland ist Kandidat für Critical-Impact. Dasselbe Portfolio in Deutschland erreicht nicht einmal High-Impact. Grenzüberschreitende Konzerne müssen das je Betriebsgesellschaft prüfen lassen, nicht je Konzern.

Der Scope reicht auch weit über Erzeuger hinaus. Article 2(1) nennt ÜNB, VNB, nominierte Strommarktbetreiber, Strombörsen, Bilanzkreisverantwortliche, regionale Koordinierungszentren und Betreiber von Ladepunkten — und, wichtig für Leser dieses Blogs, kritische IKT-Dienstleister und Managed Security Service Provider. Wer ein SOC betreibt oder SCADA- und EMS-Infrastruktur für eine benannte Einrichtung betreut, kann selbst benannt werden.

Die NCCS-Uhr startet mit der Benennung, nicht an einem festen EU-Datum

Es gibt keine einzelne Frist, die Sie in den Kundenplan schreiben können. Die Uhr läuft je Einrichtung individuell.

• 12 Monate ab Benennung — Risikobericht an die zuständige Behörde: gewählte Minderungsmaßnahmen und deren Umsetzungsstand, Restrisikoschätzungen für unionsweite Critical-Impact-Prozesse anhand der EU-Risikomatrix sowie eine Liste kritischer IKT-Anbieter für diese Prozesse (Art. 27).
• 24 Monate — Nachweis der Einhaltung der einschlägigen Kontrollen über ein nationales Verifizierungsschema oder ein unabhängiges Drittaudit (Art. 25, Art. 31).
• Alle drei Jahre — vollständiger Risikomanagementzyklus und aktualisierter Bericht. Critical-Impact-Einrichtungen prüfen die Einhaltung für alle kritischen Assets erneut (Art. 26, Art. 31).
• Jährlich — Teilaudits, wobei der gesamte Verifizierungsumfang mindestens alle drei Jahre abgedeckt sein muss (Art. 25(2)).

Eine Pflicht hat bereits gegriffen. Nach Article 18(1) mussten ÜNB bis zum 13. März 2025 harmonisierte Rahmen für Cyberrisikobewertungen auf Unions-, Regional- und Mitgliedstaatsebene entwickeln — verbindlich, unabhängig davon, ob die nationale Behörde bereits jemanden benannt hatte.

Praktische Lesart: Ist Ihr Kunde plausibler Kandidat, warten Sie nicht auf das Benennungsschreiben. Zwölf Monate sind knapp, um ein CSMS aufzubauen, eine Risikobewertung auf Einrichtungsebene abzuschließen und eine belegte Kontrollliste zu liefern.

Wo der NCCS tiefer geht als Article 21

Article 21 sagt, was zu adressieren ist. Der NCCS sagt benannten Einrichtungen, wie tief — und prüft es anschließend.

Ein CSMS, kein Richtlinienordner. Article 28 verlangt ein Cybersecurity-Managementsystem im Einklang mit europäischen und internationalen Standards — das Sektoräquivalent eines ISMS — plus dokumentiertes Mapping der Kontrollen auf diese Standards (Art. 34). "Wir haben Richtlinien" überlebt das nicht.

Zwei Kontrollstufen. Minimum Controls gelten für High-Impact-Einrichtungen; Advanced Controls für Critical-Impact-Einrichtungen, und nur innerhalb des benannten Perimeters. Die Perimeterdefinition wird damit selbst zum Auditartefakt — dieselbe Disziplin wie an der IT/OT-Grenze in der Fertigung.

Ein fester Risikozyklus. Article 26 schreibt alle drei Jahre einen vollständigen Zyklus vor — Kontext, Bewertung, Behandlung, Akzeptanz — mit der EU-Risikomatrix. Nicht "regelmäßig". Alle drei Jahre, dokumentiert und freigegeben.

Echte Aufsichtsbefugnisse. Zuständige Behörden dürfen Vor-Ort-Inspektionen, Fernaufsicht, Stichproben, risikobasierte Audits und technische Security-Scans durchführen und Richtlinien, Auditberichte sowie Umsetzungsnachweise verlangen (Art. 25).

Meldungen, die sich überlappen statt zu verdoppeln. Eine Meldung nach NIS2 Article 23 erfüllt die NCCS-Meldepflicht, sofern sie die zusätzlichen vom NCCS geforderten Angaben enthält (Art. 38). Der bestehende 24- und 72-Stunden-Meldeprozess Ihres Kunden braucht ein zusätzliches Feldset, keinen zweiten Prozess.

Lieferanten sind nicht reguliert — und trotzdem im Scope

Der NCCS bindet benannte Einrichtungen, nicht deren Lieferanten. Aber Article 33 zwingt diese Einrichtungen, Cybersecurity-Anforderungen über den gesamten IKT-Lebenszyklus durchzusetzen: Zuverlässigkeitsprüfungen von Lieferantenpersonal, soweit rechtlich zulässig, Secure-by-Design-Entwicklung, Zero-Trust-Architektur, Zugriffsbeschränkungen, vertragliche Schutzklauseln, Auditrechte und Nachverfolgbarkeit von Sicherheitsanforderungen entlang der Kette. Zusätzlich sind Lock-in-Risiken und Lieferantendiversifizierung abzuwägen.

Critical-Impact-Einrichtungen gehen einen Schritt weiter: Nach Article 33(4) müssen kritische IKT-Komponenten über ein EU-Zertifizierungsschema oder gleichwertige interne Assurance verifiziert werden.

Diese Kontrollen werden für jede Beschaffung verbindlich, die sechs Monate nach ihrer Annahme oder Aktualisierung startet. Der praktische Auslöser für einen Lieferanten ist also keine Behörde — es ist ein Ausschreibungsdokument.

Wer SCADA-Integration, Remote Monitoring oder Managed Detection an Netzbetreiber verkauft, wird diese Fragen ohnehin beantworten, benannt oder nicht. Dieselbe Dynamik wie in NIS2 Supply-Chain-Sicherheit und Lieferantenverträgen nach Article 21, eine Stufe schärfer.

Was in den nächsten 90 Tagen zu tun ist

Für jeden Kunden im Elektrizitätssektor in Ihrem Portfolio:

1. Kandidatur prüfen. Installierte Leistung und Rolle — ÜNB, VNB, NEMO, Bilanzkreisverantwortlicher, Aggregator, Ladepunktbetreiber, IKT-Dienstleister — gegen die vorläufige ECII-Schwelle des Betriebslandes abgleichen. Je Rechtsträger, nicht je Konzern.
2. Behörde identifizieren. Mitgliedstaaten mussten bis 13. Dezember 2024 eine NCCS-zuständige Behörde benennen, häufig den Energieregulierer (BNetzA in Deutschland) in Zusammenarbeit mit dem nationalen CSIRT. Klären Sie, wer Ihren Kunden beaufsichtigt und ob Kandidatenmeldungen ergangen sind.
3. Erst mappen, dann bauen. Nehmen Sie die vorhandene NIS2-Gap-Analyse und markieren Sie, welche Artefakte NCCS Articles 26–34 bereits erfüllen. Recital 15 lässt Nachweise in beide Richtungen wandern — ohne Mapping-Matrix profitiert davon niemand.
4. Perimeter definieren. High-Impact- und Critical-Impact-Perimeter entscheiden, welche Kontrollstufe wo gilt. Falsch gesetzt, überdehnen Sie das Programm oder lassen ein kritisches Asset außerhalb des Zauns.
5. Beschaffung jetzt korrigieren. Ergänzen Sie die Article-33-Klauseln — Auditrechte, sichere Entwicklung, Zertifizierungsnachweise, Personalscreening — im Lieferantentemplate des Kunden vor der nächsten Ausschreibung, nicht danach.

Die Energiekunden, die 2027 Probleme bekommen, sind jene, die NIS2 als Ende des Gesprächs behandelt haben. Der NCCS war längst in Kraft, während sie noch über Article-21-Dokumentation stritten.

Wenn Sie schnell und strukturiert sehen wollen, wo ein Energiekunde bei NIS2 tatsächlich steht, bevor Sie den NCCS darauflegen, führen Sie einen NIS2 Quick Scan durch und starten Sie von einer belegten Ausgangslage.