marco normativo · EnWG y catálogo de seguridad informática
Implantar Catálogo de seguridad TI según la EnWG paso a paso
Se aplica solo en Alemania (Derecho alemán). Para operadores de redes e instalaciones conforme a los §§ 5c a 5e EnWG: Complass le guía desde la aclaración de los roles, pasando por el catálogo de seguridad informática, hasta las notificaciones y las pruebas.
¿Qué es el catálogo de seguridad informática conforme a la EnWG?
Se aplica solo en Alemania (Derecho alemán). Desde el 6 de diciembre de 2025, los §§ 5c a 5e de la Ley de la industria energética regulan la seguridad informática en el sector energético. Lo que deben aplicar concretamente los operadores lo establece la Bundesnetzagentur, de acuerdo con la BSI, en un catálogo de seguridad informática. La ley menciona doce temas que todo catálogo contiene como mínimo, desde el análisis de riesgos y la detección de ataques hasta la autenticación multifactor. A ello se suman la notificación de incidentes de seguridad significativos, el registro, la documentación y la responsabilidad de la dirección.
Actualidad de los contenidos:
¿Me afecta?
La EnWG distingue tres roles. Para los gestores de redes se aplica con independencia del tamaño; los operadores de instalaciones y los servicios digitales de energía quedan incluidos si son entidad importante o especialmente importante según la ley BSI.
| Rol | Incluido si | Lo que se aplica hoy |
|---|---|---|
| Gestores de redes de electricidad o gas | Usted opera una red de suministro de energía, sin umbral de tamaño | Catálogo de seguridad informática para gestores de redes, versión de agosto de 2015 |
| Operadores de instalaciones, p. ej. generación o almacenamiento | Instalación energética conectada a la red y entidad importante o especialmente importante conforme al § 28 BSIG | Catálogo de seguridad informática para instalaciones energéticas, versión de diciembre de 2018 |
| Servicios digitales de energía, p. ej. agregadores | Servicio en una instalación energética conectada a la red y entidad importante o especialmente importante conforme al § 28 BSIG | Todavía no hay catálogo de la BNetzA. Los agregadores que hasta ahora estaban sujetos al § 8a BSIG en su versión anterior siguen aplicando el «B3S Aggregatoren» de la BDEW. |
Quien está sujeto a los §§ 5c a 5e EnWG queda exento de la mayoría de las obligaciones de la ley BSI; la clasificación y el registro se mantienen. Si las empresas municipales de servicios operan además agua, aguas residuales u otros sectores de los anexos 1 o 2 de la ley BSI (servicios multisectoriales), para ellos se aplica la ley BSI. En Complass gestiona esos sectores en un proyecto NIS2 y vincula las evidencias comunes. Las ofertas de telecomunicaciones se rigen por la TKG.
Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.
Base jurídica
- § 5c EnWG§ 5c EnWG IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz(1) Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten: - 1. der Betreiber eines Energieversorgungsnetzes für Telekommunikationssysteme und für elektronische Datenverarbeitungssysteme, die für den sicheren Betrieb des Energieversorgungsnetzes notwendig sind, - 2. der Betreiber einer Energieanlage, der eine besonders wichtige Einrichtung nach § 28 …Abrir el original (gesetze-im-internet.de) ↗Seguridad informática, roles, catálogo y sus doce temas mínimos
- § 5d EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Abrir el original (gesetze-im-internet.de) ↗Documentación, persona de contacto, notificación y registro
- § 5e EnWG§ 5e EnWG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen(1) Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist verpflichtet, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. (2) Eine Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3, die ihre Pflichten nach Absatz 1 verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der …Abrir el original (gesetze-im-internet.de) ↗Obligaciones de la dirección
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Abrir el original (gesetze-im-internet.de) ↗Clasificación como entidad importante o especialmente importante, excepción conforme al apdo. 5
- § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Abrir el original (gesetze-im-internet.de) ↗Obligaciones de notificación y plazos
- § 11, apdos. 1a y 1b, EnWG en su versión anteriorBase de los dos catálogos vigentes (2015 y 2018)
Lo que se aplica hoy y lo que puede llegar en 2027
-
Entran en vigor los §§ 5c a 5e EnWG (ley de transposición de NIS2). Los apdos. 1a a 1g del § 11 EnWG en su versión anterior han quedado derogados.
-
Plazo de registro ante la BSI para los gestores de redes que no sean entidad importante o especialmente importante
§ 5d Abs. 4 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Abrir el original (gesetze-im-internet.de) ↗
-
Hoy
Hasta que se publique un nuevo catálogo, siguen vigentes los catálogos de agosto de 2015 (redes) y de diciembre de 2018 (instalaciones energéticas). Los sistemas existentes de detección de ataques deben seguir operándose. Comprobado el 02.11.2026.
-
Finales de octubre de 2026
Tras dos años de transición, la nueva edición ISO/IEC 27019:2024 (publicada el 18.10.2024) es la base de las auditorías del programa de evaluación de la conformidad de la Bundesnetzagentur.
-
24 horas / 72 horas / un mes
Incidentes de seguridad significativos al punto de notificación de la BSI: alerta temprana, notificación, notificación final
§ 5d Abs. 3 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Abrir el original (gesetze-im-internet.de) ↗ con § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Abrir el original (gesetze-im-internet.de) ↗
-
Sin demora
Transmitir la documentación a la Bundesnetzagentur: los gestores de redes siempre; los operadores de instalaciones y los servicios digitales de energía como entidad especialmente importante (valoración técnica, no asesoramiento jurídico)
§ 5d Abs. 1 Satz 2 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Abrir el original (gesetze-im-internet.de) ↗
-
Otoño de 2026
Consulta de un catálogo común para redes, instalaciones energéticas y servicios digitales de energía, prevista según la Bundesnetzagentur
-
1 January 2027 (unconfirmed draft date)
Start of application cited in specialist articles from a draft. The new catalogue has not been fixed yet; the Federal Network Agency has not confirmed this date and names none on its procedure page.
Comprobamos la situación en la Bundesnetzagentur antes de cada versión. Si se establece un nuevo catálogo, Complass lo añade como nueva edición; sus valoraciones de los doce temas se conservan.
Cómo le ayuda Complass
- 10fases
- 30pasos guiados
- 8plantillas de documentos
- 77requisitos en el catálogo
Doce temas que permanecen
Usted valora una sola vez los doce temas del § 5c, apdo. 4, EnWG. Los requisitos de los catálogos de 2015 y 2018 dependen de ellos. Cuando llegue el nuevo catálogo, Complass lo añadirá como nueva edición, sin que usted tenga que empezar de nuevo.
El catálogo que se aplica a su rol
Los gestores de redes trabajan con el catálogo de 2015 y los operadores de instalaciones con el catálogo de 2018, en cada caso con los requisitos en su tenor literal y la fuente. Los servicios digitales de energía utilizan los doce temas como base.
Plan de estructura de red, inventario y tecnología de control
Ámbito de aplicación, plan de estructura de red y sistemas en la gestión de activos, zonas y accesos remotos para sistemas de control y de proceso.
Detección de ataques y registro
Concepto para sistemas de detección de ataques con sistemas supervisados, responsabilidades y reacción ante alarmas.
Notificaciones al punto de notificación de la BSI
Proceso de notificación con los plazos de 24 horas, 72 horas y un mes y diferenciación respecto a las notificaciones conforme a la KRITIS-Dachgesetz. Los incidentes se registran en la gestión de incidentes con el momento del conocimiento; si también ha contratado NIS2, Complass calcula los plazos de notificación.
Servicios multisectoriales con NIS2 en un solo portal
Los demás sectores los gestiona en el proyecto NIS2. Las evidencias comunes las vincula en lugar de mantenerlas por duplicado.
Dirección y formación
Obligaciones de la dirección conforme al § 5e EnWG con bloques de aprendizaje para especialistas y para la dirección.
Las fases del módulo
- Applicability and role
- Scope, network structure plan and inventory
- ISMS skeleton
- Additional measures for control and process systems
- Attack detection and logging
- Contact person and registration
- Incident reporting
- Documentation, certification and evidence
- Management responsibility and training
- Supply chain and critical functions
Catálogo: Minimum contents of the IT security catalogue (section 5c(4) EnWG)
Preguntas frecuentes
¿Se nos aplica la EnWG o la ley BSI?
Para la operación de redes y para las instalaciones energéticas de entidades importantes o especialmente importantes se aplican los §§ 5c a 5e EnWG; para ello decaen la mayoría de las obligaciones de la ley BSI. La clasificación y el registro conforme a la ley BSI se mantienen. Para otros sectores como el agua o las aguas residuales se aplica la ley BSI. Si la instalación energética es solo una actividad accesoria en relación con el conjunto de la actividad empresarial, se aplica igualmente la ley BSI.
¿Qué catálogo de seguridad informática se aplica en este momento?
Para los gestores de redes, el catálogo de agosto de 2015; para los operadores de instalaciones, el catálogo de diciembre de 2018. Según la Bundesnetzagentur, ambos siguen vigentes hasta que se publique un nuevo catálogo. Fecha de la comprobación: 02.11.2026.
What changes with the new catalogue?
The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.
Somos agregador. ¿Qué hacemos hasta que llegue el nuevo catálogo?
Si hasta ahora estaba sujeto al § 8a BSIG en su versión anterior, siga aplicando el «B3S Aggregatoren» de la BDEW. En caso contrario, implante un SGSI conforme a ISO/IEC 27001 y oriéntese por los doce temas. En Complass valora esos temas y añade el nuevo catálogo en cuanto se establezca.
¿A quién notificamos un incidente de seguridad?
Al punto de notificación de la BSI: una alerta temprana en un plazo de 24 horas, una notificación en un plazo de 72 horas y una notificación final como máximo un mes después. Si el incidente tiene relevancia para la seguridad del abastecimiento energético, la BSI remite la notificación a la Bundesnetzagentur (§ 5d, apdo. 5, EnWG).
¿Sustituye Complass una revisión jurídica?
No. Complass estructura la comprobación de la afectación, las obligaciones y las evidencias a partir del texto legal y de los catálogos; la valoración jurídica del caso concreto sigue en sus manos.
¿Se aplica además NIS2 a su empresa?
La comprobación gratuita de afectación valora en pocos minutos si usted está afectado por la ley alemana del BSI (NIS2), por ejemplo con sectores como el agua o la calefacción urbana. No valora si se aplican los §§ 5c a 5e EnWG: para los gestores de redes se aplican con independencia del tamaño; para los operadores de instalaciones y los servicios digitales de energía, a partir de su clasificación como entidad importante o esencial.
Pruebe Complass con sus propios datos
Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.