référentiel · EnWG et catalogue de sécurité informatique
Mettre en œuvre Catalogue de sécurité informatique selon l’EnWG étape par étape
S’applique uniquement en Allemagne (droit allemand). Pour les exploitants de réseaux et d’installations selon les §§ 5c à 5e EnWG : Complass vous guide de la clarification des rôles au catalogue de sécurité informatique, puis aux notifications et aux preuves.
Qu’est-ce que le catalogue de sécurité informatique selon l’EnWG ?
S’applique uniquement en Allemagne (droit allemand). Depuis le 6 décembre 2025, les §§ 5c à 5e de la loi sur l’industrie énergétique (EnWG) régissent la sécurité informatique dans le secteur de l’énergie. Ce que les exploitants doivent concrètement mettre en œuvre est fixé par la Bundesnetzagentur, en accord avec le BSI, dans un catalogue de sécurité informatique. La loi énumère douze thèmes que tout catalogue doit au minimum contenir, de l’analyse des risques à l’authentification multifacteur en passant par la détection des attaques. S’y ajoutent la notification des incidents de sécurité significatifs, l’enregistrement, la documentation et la responsabilité de la direction.
État des contenus:
Suis-je concerné ?
L’EnWG distingue trois rôles. Pour les gestionnaires de réseau, elle s’applique quelle que soit la taille ; les exploitants d’installations énergétiques et de services énergétiques numériques sont visés s’ils sont des entités importantes ou particulièrement importantes au sens de la loi sur le BSI.
| Rôle | Visé si | Ce qui s’applique aujourd’hui |
|---|---|---|
| Gestionnaires de réseau d’électricité ou de gaz | Vous exploitez un réseau d’approvisionnement en énergie, sans seuil de taille | Catalogue de sécurité informatique des gestionnaires de réseau, état août 2015 |
| Exploitants d’installations, p. ex. production ou stockage | Installation énergétique raccordée au réseau et entité importante ou particulièrement importante selon le § 28 BSIG | Catalogue de sécurité informatique des installations énergétiques, état décembre 2018 |
| Services énergétiques numériques, p. ex. agrégateurs | Service sur une installation énergétique raccordée au réseau et entité importante ou particulièrement importante selon le § 28 BSIG | Pas encore de catalogue de la BNetzA. Les agrégateurs qui relevaient jusqu’ici du § 8a BSIG ancienne version continuent d’appliquer le « B3S Aggregatoren » du BDEW. |
Les entités soumises aux §§ 5c à 5e EnWG sont exemptées de la plupart des obligations de la loi sur le BSI ; le classement et l’enregistrement demeurent. Si des régies municipales exploitent en plus l’eau, les eaux usées ou d’autres branches des annexes 1 ou 2 de la loi sur le BSI (multiservices), la loi sur le BSI s’applique à celles-ci. Dans Complass, vous gérez ces branches dans un projet NIS2 et reliez les preuves communes. Les offres de télécommunications relèvent du TKG.
Cet aperçu ne remplace pas un conseil juridique. Le texte juridique ou normatif fait foi ; dans Complass, vous vérifiez l’applicabilité à l’aide de consignes fondées sur les références.
Base juridique
- § 5c EnWG§ 5c EnWG IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz(1) Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten: - 1. der Betreiber eines Energieversorgungsnetzes für Telekommunikationssysteme und für elektronische Datenverarbeitungssysteme, die für den sicheren Betrieb des Energieversorgungsnetzes notwendig sind, - 2. der Betreiber einer Energieanlage, der eine besonders wichtige Einrichtung nach § 28 …Ouvrir l’original (gesetze-im-internet.de) ↗Sécurité informatique, rôles, catalogue et ses douze thèmes minimaux
- § 5d EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Ouvrir l’original (gesetze-im-internet.de) ↗Documentation, interlocuteur, notification et enregistrement
- § 5e EnWG§ 5e EnWG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen(1) Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist verpflichtet, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. (2) Eine Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3, die ihre Pflichten nach Absatz 1 verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der …Ouvrir l’original (gesetze-im-internet.de) ↗Obligations de la direction
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Ouvrir l’original (gesetze-im-internet.de) ↗Classement comme entité importante ou particulièrement importante, exception selon l’al. 5
- § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Ouvrir l’original (gesetze-im-internet.de) ↗Obligations de notification et délais
- § 11, al. 1a et 1b, EnWG ancienne versionBase des deux catalogues en vigueur (2015 et 2018)
Ce qui s’applique aujourd’hui et ce qui peut arriver en 2027
-
§§ 5c à 5e EnWG en vigueur (loi de transposition de NIS2). Le § 11, al. 1a à 1g, EnWG ancienne version est supprimé.
-
Délai d’enregistrement auprès du BSI pour les gestionnaires de réseau qui ne sont pas des entités importantes ou particulièrement importantes
§ 5d Abs. 4 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Ouvrir l’original (gesetze-im-internet.de) ↗
-
Aujourd’hui
Jusqu’à la publication d’un nouveau catalogue, les catalogues d’août 2015 (réseaux) et de décembre 2018 (installations énergétiques) restent applicables. Les systèmes de détection des attaques existants doivent continuer d’être exploités. Vérifié le 02.11.2026.
-
Fin octobre 2026
Après deux ans de transition, la nouvelle édition ISO/IEC 27019:2024 (publiée le 18.10.2024) sert de base aux audits du programme d’évaluation de la conformité de la Bundesnetzagentur.
-
24 heures / 72 heures / un mois
Incidents de sécurité significatifs vers le point de notification du BSI : alerte précoce, notification d’incident, rapport final
§ 5d Abs. 3 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Ouvrir l’original (gesetze-im-internet.de) ↗ avec § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Ouvrir l’original (gesetze-im-internet.de) ↗
-
Sans délai
Transmettre la documentation à la Bundesnetzagentur : toujours pour les gestionnaires de réseau, pour les exploitants d’installations et de services énergétiques numériques en tant qu’entités particulièrement importantes (appréciation technique, pas un conseil juridique)
§ 5d Abs. 1 Satz 2 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Ouvrir l’original (gesetze-im-internet.de) ↗
-
Automne 2026
Consultation sur un catalogue commun pour les réseaux, les installations énergétiques et les services énergétiques numériques, prévue selon la Bundesnetzagentur
-
1 January 2027 (unconfirmed draft date)
Start of application cited in specialist articles from a draft. The new catalogue has not been fixed yet; the Federal Network Agency has not confirmed this date and names none on its procedure page.
Nous vérifions l’état auprès de la Bundesnetzagentur avant chaque version. Lorsqu’un nouveau catalogue est arrêté, Complass l’ajoute comme nouvelle édition ; vos évaluations des douze thèmes sont conservées.
Comment Complass vous aide
- 10phases
- 30étapes guidées
- 8modèles de documents
- 77exigences dans le catalogue
Douze thèmes qui restent
Vous évaluez une seule fois les douze thèmes du § 5c, al. 4, EnWG. Les exigences des catalogues 2015 et 2018 s’y rattachent. Lorsque le nouveau catalogue arrive, Complass l’ajoute comme nouvelle édition, sans que vous ayez à recommencer.
Le catalogue applicable à votre rôle
Les gestionnaires de réseau travaillent avec le catalogue 2015, les exploitants d’installations avec le catalogue 2018, chacun avec les exigences dans leur libellé d’origine et la source. Les services énergétiques numériques utilisent les douze thèmes comme base.
Plan de structure du réseau, inventaire et systèmes de conduite
Périmètre, plan de structure du réseau et systèmes dans la gestion des actifs, zones et accès à distance pour les systèmes de conduite et de process.
Détection des attaques et journalisation
Concept pour les systèmes de détection des attaques avec systèmes surveillés, responsabilités et réaction aux alertes.
Notifications au point de notification du BSI
Processus de notification avec les délais de 24 heures, 72 heures et un mois et distinction avec les notifications selon la loi-cadre KRITIS. Vous consignez les incidents dans la gestion des incidents avec le moment de la prise de connaissance ; si vous avez aussi souscrit NIS2, Complass calcule les délais de notification.
Multiservices avec NIS2 dans un seul portail
Vous gérez les autres branches dans le projet NIS2. Vous reliez les preuves communes au lieu de les tenir à jour en double.
Direction et formation
Obligations de la direction selon le § 5e EnWG avec modules d’apprentissage pour les spécialistes et pour la direction.
Les phases du module
- Applicability and role
- Scope, network structure plan and inventory
- ISMS skeleton
- Additional measures for control and process systems
- Attack detection and logging
- Contact person and registration
- Incident reporting
- Documentation, certification and evidence
- Management responsibility and training
- Supply chain and critical functions
Catalogue: Minimum contents of the IT security catalogue (section 5c(4) EnWG)
Questions fréquentes
L’EnWG ou la loi sur le BSI s’applique-t-elle à nous ?
Pour l’exploitation de réseau et pour les installations énergétiques d’entités importantes ou particulièrement importantes, les §§ 5c à 5e EnWG s’appliquent ; la plupart des obligations de la loi sur le BSI ne s’y appliquent pas. Le classement et l’enregistrement selon la loi sur le BSI demeurent. Pour les autres branches comme l’eau ou les eaux usées, la loi sur le BSI s’applique. Si l’installation énergétique n’est qu’une activité accessoire par rapport à l’ensemble de l’activité, la loi sur le BSI s’applique également.
Quel catalogue de sécurité informatique s’applique actuellement ?
Pour les gestionnaires de réseau, le catalogue d’août 2015 ; pour les exploitants d’installations, le catalogue de décembre 2018. Selon la Bundesnetzagentur, les deux restent applicables jusqu’à la publication d’un nouveau catalogue. État de la vérification : 02.11.2026.
What changes with the new catalogue?
The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.
Nous sommes agrégateur. Que faisons-nous d’ici le nouveau catalogue ?
Si vous releviez jusqu’ici du § 8a BSIG ancienne version, continuez à appliquer le « B3S Aggregatoren » du BDEW. Sinon, mettez en place un ISMS selon ISO/IEC 27001 et orientez-vous sur les douze thèmes. Dans Complass, vous évaluez ces thèmes et ajoutez le nouveau catalogue dès qu’il est arrêté.
À qui notifions-nous un incident de sécurité ?
Au point de notification du BSI : une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final au plus tard un mois après. Si l’incident est important pour la sécurité de l’approvisionnement énergétique, le BSI transmet la notification à la Bundesnetzagentur (§ 5d, al. 5, EnWG).
Complass remplace-t-il un examen juridique ?
Non. Complass structure la vérification de l’assujettissement, les obligations et les preuves à partir du texte de la loi et des catalogues ; l’appréciation juridique du cas particulier vous revient.
NIS2 s’applique-t-elle en plus à votre entreprise ?
La vérification gratuite de l’assujettissement évalue en quelques minutes si vous êtes concerné par la loi allemande sur le BSI (NIS2), par exemple avec des secteurs comme l’eau ou le chauffage urbain. Elle n’évalue pas si les §§ 5c à 5e EnWG s’appliquent : pour les gestionnaires de réseau, ils s’appliquent quelle que soit la taille ; pour les exploitants d’installations et les services énergétiques numériques, dès leur classement comme entité essentielle ou importante.
Testez Complass avec vos propres données
Créez vous-même votre accès d'essai, avec un projet d'exemple par référentiel si vous le souhaitez. Si vous préférez d'abord voir Complass, demandez une démo.