Zertifiziertes ISMS
Angemessener Schutz über ein zertifiziertes Informationssicherheits-Managementsystem nach DIN EN ISO/IEC 27001 unter Berücksichtigung der ISO/IEC 27019.
§ 5c EnWG · NIS2 · ISMS für Netzbetreiber
Die Nachweispflicht steht.
Das Werkzeug liefern wir.
Mit dem NIS2-Umsetzungsgesetz sind die IT-Sicherheitsanforderungen für Strom- und Gasnetzbetreiber in die §§ 5c bis 5e EnWG gewandert – ohne Größenschwelle und mit persönlicher Verantwortung der Geschäftsführung. Wir richten das Verzeichnis der Werte und den Meldeprozess auf Open-Source-Basis ein und übergeben die Nachweisdokumente, die ein Auditor sehen will.
- Keine Lizenzkosten
- Volle Datenhoheit
- Prüffähige Nachweise
Was neu ist
- Keine Größenschwelle
- Auch kleine und regionale Netzbetreiber sind adressiert.
- Persönliche Verantwortung
- Die Geschäftsführung steht nach § 5e EnWG in der Pflicht.
- 24 / 72 Stunden
- Erstmeldung und Bericht bei meldepflichtigen Vorfällen nach § 5d EnWG.
Was sich geändert hat
Aus § 11 EnWG wurden §§ 5c bis 5e.
Das NIS2-Umsetzungsgesetz hat die früheren Regelungen zur IT-Sicherheit aus § 11 EnWG in eigene Paragrafen überführt und den Kreis der betroffenen Unternehmen deutlich ausgeweitet. Für kleine Stadtwerke und regionale Netzbetreiber ist damit ein Thema entstanden, das vorher an ihnen vorbeiging.
Nachweis und Meldung
Meldepflichtige Sicherheitsvorfälle: Erstmeldung kurzfristig, ausführlicher Bericht innerhalb von 72 Stunden.
Verantwortung der Leitung
Die Geschäftsführung trägt die Verantwortung für die Umsetzung – ein Grund, warum Budgets für dieses Thema schnell entschieden werden.
Kataloge in Überarbeitung
Die IT-Sicherheitskataloge werden überarbeitet. Bestehende Zertifizierungen gelten bis zur Veröffentlichung der neuen Kataloge weiter – der richtige Zeitpunkt, den eigenen Stand zu prüfen.
Betrifft mich das?
Selbsteinschätzung in vier Punkten.
Die Frage ist selten, ob ein Netzbetreiber betroffen ist, sondern womit er die Nachweise führt. Die folgenden Punkte helfen bei der ersten Einordnung – die verbindliche Prüfung erfolgt im Einzelfall.
- Sie betreiben ein eigenes Strom- oder Gasnetz, auch klein oder rein regional.
- Ihr Verzeichnis der Werte liegt heute in Tabellen, das Meldewesen läuft über E-Mail-Postfächer.
- Sie haben kein zertifiziertes ISMS oder keine Software, die die geforderten Nachweise trägt.
- Eine bestehende Zertifizierung steht zur Überprüfung an, oder die neuen Sicherheitskataloge betreffen Sie.
Treffen zwei oder mehr Punkte zu, ist das Thema für Sie relevant.
Die konkreten Nachweispflichten
Zwei Artefakte, die der Auditor sehen will.
Ein ISMS verlangt viele Nachweise. Zwei davon sind operativ und lassen sich mit Werkzeugen sauber abbilden: das Verzeichnis der Werte und der Meldeprozess.
Verzeichnis der Werte
Ein vollständiges, gepflegtes Asset-Verzeichnis mit klarer Abgrenzung des Geltungsbereichs.
- Netzleittechnik, Fernwirktechnik und Büro-IT getrennt geführt
- Schutzbedarf für Vertraulichkeit, Integrität und Verfügbarkeit je Asset
- Verantwortlichkeiten: technischer Betreiber, fachlicher Eigentümer
- Ausfallabhängigkeiten zwischen Assets dokumentiert
- Auswertungen für Lücken: Assets ohne Einstufung, ohne Verantwortlichen, im Scope ohne Dokumentation
Meldeprozess mit Fristen
Ein geführter Ablauf statt eines E-Mail-Postfachs, mit überwachten Fristen und revisionssicherer Historie.
- Klassifikation nach Schweregrad mit Entscheidungshilfe zur Meldepflicht
- Erstmeldung → Folgemeldung → Abschlussmeldung mit Pflichtfeldern
- Fristenüberwachung über Eskalationsstufen: Erinnerung, Alarm, Überschreitung – für die 24- und die 72-Stunden-Frist
- Benachrichtigung an Geschäftsführung und Informationssicherheitsbeauftragten
- Auswertungen: meldepflichtige Vorfälle je Zeitraum, Fristeneinhaltung, offene Maßnahmen
Ehrlich bleiben: Die Meldung selbst erfolgt über das Meldeportal des BSI. Das System übernimmt Fristenüberwachung, Inhaltserstellung und Nachweisführung – nicht die Übermittlung.
Der Lösungsansatz
Durchgängige Nachweiskette – ohne Lizenzkosten.
GLPI führt das Verzeichnis der Werte, Znuny führt den Melde- und Incident-Prozess. Beide Systeme sind über eine bereits vorhandene Schnittstelle gekoppelt: Ein Vorfall zeigt direkt auf das betroffene Asset. Damit entsteht eine durchgängige Nachweiskette vom Vorfall über das betroffene Asset bis zur Meldung – genau das, was im Audit überzeugt.
Beide Systeme sind Open Source. Sie zahlen keine Lizenzgebühren, betreiben die Lösung on-premise oder bei einem frei gewählten Provider und behalten die volle Kontrolle über Ihre Daten.
- Keine Lizenzkosten, kein Vendor-Lock-in
- Volle Datenhoheit, Betrieb im eigenen Rechenzentrum möglich
- Vorfall und Asset bleiben nachvollziehbar verknüpft
- Aufbauend auf bewährten Werkzeugen aus dem IT-Service-Management
Was das Paket enthält
Konfiguration und Dokumentation – kein Entwicklungsprojekt.
Geliefert wird kein laufendes System, sondern ein prüfbares Ergebnis. Der Wert steckt in der Zuordnung von Gesetzesanforderung zu Systemumsetzung.
Verzeichnis der Werte
Entity-Struktur für den Geltungsbereich, Schutzbedarfsfelder, Verantwortlichkeiten, Ausfallabhängigkeiten und automatische Erfassung über den GLPI-Agent.
Incident- und Meldeprozess
Geführter Meldeablauf über Process Management, Fristenüberwachung über Eskalationszeiten, Pflichtfelder, Benachrichtigungen und revisionssichere Historie.
Vorfall zeigt auf Asset
Die Schnittstelle zwischen GLPI und Znuny ist vorhanden. Ein Vorfall verweist direkt auf das betroffene Asset – die durchgängige Nachweiskette.
Dokumentenmappe
Zuordnungstabelle Anforderung → Control → Umsetzung, Verfahrensanweisung Sicherheitsvorfall, Betriebshandbuch, Rollen- und Berechtigungskonzept, Nachweis der Ersterfassung, Schulungsnachweis.
Was nicht enthalten ist
Klar abgegrenzt, damit es im Angebot keine Überraschung gibt.
Vertrauen entsteht durch Ehrlichkeit über die Grenzen. Diese Punkte gehören bewusst nicht zum Paket.
- Aufbau des ISMS selbst, Risikoanalyse, Sicherheitsleitlinie (Beratungsarbeit)
- Auditbegleitung und Zertifizierungsvorbereitung
- Erfassung der Netzleittechnik-Assets – Sie liefern die Liste, wir strukturieren sie
- Datenübernahme aus Altsystemen über eine definierte Menge hinaus
- Anbindung an weitere Fremdsysteme
- Laufender Betrieb – separates Angebot
Haftungsgrenze: Geliefert werden Werkzeuge und Nachweisartefakte. Ein Zertifizierungsergebnis wird nicht garantiert.
Whitepaper zum Download
Nachweispflichten nach § 5c EnWG praktisch umsetzen
Ein Leitfaden für kleine und mittlere Netzbetreiber. Rund 10 bis 12 Seiten, überwiegend Sachinhalt – nützlich auch ohne Beauftragung.
- Was sich mit dem NIS2-Umsetzungsgesetz geändert hat
- Betroffenheitsprüfung in wenigen Schritten
- Was ein ISMS konkret an Nachweisen verlangt
- Verzeichnis der Werte: typische Fehler und was ein Auditor sehen will
- Der Meldeprozess: die Fristen aus § 5d in der Praxis
- Umsetzung mit Open-Source-Werkzeugen – mit offen benannten Grenzen
- Checkliste zum Heraustrennen
Wir senden Ihnen den Download-Link per E-Mail. Kein Newsletter, keine Weitergabe an Dritte.
Kostenfreier Download
Leitfaden anfordern
Pflichtfelder sind mit einem Sternchen gekennzeichnet. Sie erhalten den Link an die angegebene Adresse.
Häufige Fragen
§ 5c EnWG in der Praxis.
Kurze Antworten auf die Fragen, die im Erstgespräch am häufigsten kommen. Sie ersetzen keine Rechtsberatung.
Für wen gilt § 5c EnWG?
Die Anforderungen richten sich an Betreiber von Strom- und Gasversorgungsnetzen. Anwendungsbereich und Stichtage ergeben sich aus dem geltenden Gesetzestext und den Veröffentlichungen der Bundesnetzagentur.
Gibt es eine Größenschwelle?
Der Personenkreis wurde mit dem NIS2-Umsetzungsgesetz erweitert. Auch kleine und regionale Netzbetreiber sind adressiert. Die verbindliche Einordnung ist im Einzelfall zu prüfen.
Was bedeuten die 24- und 72-Stunden-Fristen?
Meldepflichtige Vorfälle erfordern eine kurzfristige Erstmeldung und einen ausführlicheren Bericht innerhalb von 72 Stunden. Der Znuny-Meldeprozess überwacht beide Fristen über Eskalationsstufen.
Übernimmt das System die Meldung an das BSI?
Nein. Die Meldung erfolgt über das Meldeportal des BSI. Das System übernimmt Fristenüberwachung, Inhaltserstellung und Nachweisführung, nicht die Übermittlung.
Brauchen wir Softwarelizenzen?
Nein. GLPI und Znuny sind Open Source. Keine Lizenzkosten, Betrieb on-premise oder beim Wunsch-Provider, Daten in Ihrer Hoheit.
Ersetzt das Paket eine ISMS-Beratung?
Nein. Aufbau des ISMS, Risikoanalyse, Leitlinie und Auditbegleitung sind nicht enthalten. Wir liefern die operativen Werkzeuge und die Nachweisdokumente und arbeiten mit Beratungshäusern zusammen.
Nächster Schritt
Sie prüfen gerade Ihren Stand nach § 5c EnWG?
In 20 Minuten ordnen wir ein, wie sich der Nachweisteil ohne Lizenzkosten abbilden lässt und was das für Ihr Netz konkret bedeutet.
Erstgespräch vereinbaren Unverbindlich · direkt mit einem Techniker
Rechtshinweis: Die Angaben auf dieser Seite fassen den Regelungsrahmen nach dem NIS2-Umsetzungsgesetz und den §§ 5c bis 5e EnWG allgemein zusammen (Stand: September 2026). Sie sind keine Rechtsberatung im Einzelfall. Maßgeblich sind der jeweils geltende Gesetzestext sowie die Veröffentlichungen der Bundesnetzagentur und des BSI. Ob und ab wann Ihr Unternehmen betroffen ist, ist gesondert zu prüfen. Ein Zertifizierungsergebnis wird nicht zugesichert.