framework · EnWG e catalogo di sicurezza IT
Implementare Catalogo di sicurezza IT secondo l’EnWG passo dopo passo
Vale solo in Germania (diritto tedesco). Per gestori di reti e impianti ai sensi dei §§ 5c a 5e EnWG: Complass La guida dalla definizione dei ruoli, passando per il catalogo di sicurezza IT, fino a notifiche e prove.
Che cos’è il catalogo di sicurezza IT ai sensi dell’EnWG?
Vale solo in Germania (diritto tedesco). Dal 6 dicembre 2025 i §§ da 5c a 5e della legge sull’economia energetica (EnWG) disciplinano la sicurezza IT nel settore energetico. Che cosa i gestori debbano attuare in concreto è stabilito dall’Agenzia federale delle reti d’intesa con il BSI in un catalogo di sicurezza IT. La legge indica dodici temi che ogni catalogo contiene almeno, dall’analisi dei rischi al rilevamento degli attacchi fino all’autenticazione a più fattori. A ciò si aggiungono la notifica degli incidenti di sicurezza significativi, la registrazione, la documentazione e la responsabilità della direzione.
Aggiornamento dei contenuti:
Vale anche per me?
L’EnWG distingue tre ruoli. Per i gestori di rete si applica indipendentemente dalle dimensioni; i gestori di impianti e i servizi energetici digitali sono coinvolti se sono soggetti importanti o essenziali ai sensi della legge sul BSI.
| Ruolo | Coinvolto se | Che cosa vale oggi |
|---|---|---|
| Gestore di rete elettrica o del gas | Gestisce una rete di approvvigionamento energetico, senza soglia dimensionale | Catalogo di sicurezza IT per gestori di rete, edizione agosto 2015 |
| Gestore di impianti, ad es. generazione o accumulo | Impianto energetico collegato alla rete e soggetto importante o essenziale ai sensi del § 28 BSIG | Catalogo di sicurezza IT per impianti energetici, edizione dicembre 2018 |
| Servizi energetici digitali, ad es. aggregatori | Servizio su un impianto energetico collegato alla rete e soggetto importante o essenziale ai sensi del § 28 BSIG | Non esiste ancora un catalogo della BNetzA. Gli aggregatori che finora rientravano nel § 8a BSIG nella vecchia versione continuano ad attuare il “B3S Aggregatoren” del BDEW. |
Chi è soggetto ai §§ da 5c a 5e EnWG è esonerato dalla maggior parte degli obblighi della legge sul BSI; classificazione e registrazione restano. Se le aziende municipalizzate gestiscono inoltre acqua, acque reflue o altri settori di cui all’allegato 1 o 2 della legge sul BSI (gestione multiservizio), per questi si applica la legge sul BSI. In Complass questi settori vengono gestiti in un progetto NIS2 e le evidenze comuni vengono collegate. Le offerte di telecomunicazione sono disciplinate dal TKG.
Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.
Base giuridica
- § 5c EnWG§ 5c EnWG IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz(1) Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten: - 1. der Betreiber eines Energieversorgungsnetzes für Telekommunikationssysteme und für elektronische Datenverarbeitungssysteme, die für den sicheren Betrieb des Energieversorgungsnetzes notwendig sind, - 2. der Betreiber einer Energieanlage, der eine besonders wichtige Einrichtung nach § 28 …Apri l’originale (gesetze-im-internet.de) ↗Sicurezza IT, ruoli, catalogo e i suoi dodici temi minimi
- § 5d EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗Documentazione, referente, notifica e registrazione
- § 5e EnWG§ 5e EnWG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen(1) Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist verpflichtet, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. (2) Eine Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3, die ihre Pflichten nach Absatz 1 verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der …Apri l’originale (gesetze-im-internet.de) ↗Obblighi della direzione
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Apri l’originale (gesetze-im-internet.de) ↗Classificazione come soggetto importante o essenziale, eccezione ai sensi del comma 5
- § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Apri l’originale (gesetze-im-internet.de) ↗Obblighi di notifica e termini
- § 11, commi 1a e 1b, EnWG nella vecchia versioneBase dei due cataloghi vigenti (2015 e 2018)
Che cosa vale oggi e che cosa può arrivare nel 2027
-
§§ da 5c a 5e EnWG in vigore (legge di recepimento della NIS2). § 11, commi da 1a a 1g, EnWG nella vecchia versione sono venuti meno.
-
Termine per la registrazione presso il BSI per i gestori di rete che non sono soggetti importanti o essenziali
§ 5d Abs. 4 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗
-
Oggi
Finché non sarà pubblicato un nuovo catalogo, restano validi i cataloghi di agosto 2015 (reti) e dicembre 2018 (impianti energetici). I sistemi di rilevamento degli attacchi esistenti devono continuare a essere gestiti. Verificato il 02.11.2026.
-
Fine ottobre 2026
Dopo due anni di transizione, la nuova edizione ISO/IEC 27019:2024 (pubblicata il 18.10.2024) è la base per gli audit del programma di valutazione della conformità dell’Agenzia federale delle reti.
-
24 ore / 72 ore / un mese
Incidenti di sicurezza significativi al punto di segnalazione del BSI: preallarme, notifica, notifica finale
§ 5d Abs. 3 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗ con § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Apri l’originale (gesetze-im-internet.de) ↗
-
Senza ritardo
Trasmettere la documentazione all’Agenzia federale delle reti: gestori di rete sempre, gestori di impianti e servizi energetici digitali come soggetti essenziali (valutazione tecnica, non consulenza legale)
§ 5d Abs. 1 Satz 2 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Apri l’originale (gesetze-im-internet.de) ↗
-
Autunno 2026
Consultazione di un catalogo comune per reti, impianti energetici e servizi energetici digitali, prevista secondo l’Agenzia federale delle reti
-
1 January 2027 (unconfirmed draft date)
Start of application cited in specialist articles from a draft. The new catalogue has not been fixed yet; the Federal Network Agency has not confirmed this date and names none on its procedure page.
Verifichiamo lo stato presso l’Agenzia federale delle reti prima di ogni release. Se viene stabilito un nuovo catalogo, Complass lo integra come nuova edizione; le Sue valutazioni dei dodici temi restano valide.
Come Complass aiuta
- 10fasi
- 30passi guidati
- 8modelli di documento
- 77requisiti nel catalogo
Dodici temi che restano
Valuta una sola volta i dodici temi del § 5c, comma 4, EnWG. I requisiti dei cataloghi 2015 e 2018 vi sono collegati. Quando arriva il nuovo catalogo, Complass lo integra come nuova edizione, senza che debba ricominciare da capo.
Il catalogo che vale per il Suo ruolo
I gestori di rete lavorano con il catalogo 2015, i gestori di impianti con il catalogo 2018, in ogni caso con i requisiti nel testo originale e la fonte. I servizi energetici digitali utilizzano i dodici temi come base.
Piano della struttura di rete, inventario e tecnologia di controllo
Ambito di applicazione, piano della struttura di rete e sistemi nella gestione degli asset, zone e accessi remoti per i sistemi di controllo e di processo.
Rilevamento degli attacchi e logging
Concetto per i sistemi di rilevamento degli attacchi con sistemi monitorati, responsabilità e reazione agli allarmi.
Notifiche al punto di segnalazione del BSI
Processo di notifica con i termini di 24 ore, 72 ore e un mese e distinzione dalle notifiche ai sensi della legge quadro KRITIS. Gli incidenti si rilevano nella gestione degli incidenti con il momento della conoscenza; se ha attivato anche NIS2, Complass calcola i termini di notifica.
Gestione multiservizio con NIS2 in un unico portale
Gli altri settori vengono gestiti nel progetto NIS2. Le evidenze comuni vengono collegate invece di essere mantenute due volte.
Direzione e formazione
Obblighi della direzione ai sensi del § 5e EnWG con blocchi formativi per gli specialisti e per la direzione.
Le fasi nel modulo
- Applicability and role
- Scope, network structure plan and inventory
- ISMS skeleton
- Additional measures for control and process systems
- Attack detection and logging
- Contact person and registration
- Incident reporting
- Documentation, certification and evidence
- Management responsibility and training
- Supply chain and critical functions
Catalogo: Minimum contents of the IT security catalogue (section 5c(4) EnWG)
Domande frequenti
Per noi vale l’EnWG o la legge sul BSI?
Per la gestione della rete e per gli impianti energetici di soggetti importanti o essenziali si applicano i §§ da 5c a 5e EnWG; per essi decadono la maggior parte degli obblighi della legge sul BSI. Classificazione e registrazione ai sensi della legge sul BSI restano. Per altri settori come acqua o acque reflue si applica la legge sul BSI. Se l’impianto energetico è soltanto un’attività accessoria rispetto all’intera attività aziendale, si applica parimenti la legge sul BSI.
Quale catalogo di sicurezza IT vale al momento?
Per i gestori di rete il catalogo di agosto 2015, per i gestori di impianti il catalogo di dicembre 2018. Secondo l’Agenzia federale delle reti entrambi restano validi finché non sarà pubblicato un nuovo catalogo. Data della verifica: 02.11.2026.
What changes with the new catalogue?
The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.
Siamo un aggregatore. Che cosa facciamo fino al nuovo catalogo?
Se finora rientrava nel § 8a BSIG nella vecchia versione, continui ad attuare il “B3S Aggregatoren” del BDEW. In caso contrario costruisca un ISMS secondo ISO/IEC 27001 e si orienti ai dodici temi. In Complass valuta questi temi e integra il nuovo catalogo non appena sarà stabilito.
A chi notifichiamo un incidente di sicurezza?
Al punto di segnalazione del BSI: un preallarme entro 24 ore, una notifica entro 72 ore e una notifica finale al più tardi un mese dopo. Se l’incidente riveste importanza per la sicurezza dell’approvvigionamento energetico, il BSI inoltra la notifica all’Agenzia federale delle reti (§ 5d, comma 5, EnWG).
Complass sostituisce una verifica legale?
No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge e dei cataloghi; la valutazione giuridica nel singolo caso resta a Lei.
NIS2 si applica inoltre alla Sua azienda?
La verifica gratuita di applicabilità valuta in pochi minuti se Lei rientra nella legge tedesca sul BSI (NIS2), ad esempio con settori come l’acqua o il teleriscaldamento. Non valuta se si applicano i §§ da 5c a 5e EnWG: per i gestori di rete si applicano indipendentemente dalle dimensioni, per i gestori di impianti e i servizi energetici digitali dalla classificazione come soggetto essenziale o importante.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.