normenkader · EnWG en IT-beveiligingscatalogus
IT-beveiligingscatalogus volgens de EnWG stap voor stap invoeren
Geldt alleen in Duitsland (Duits recht). Voor net- en installatiebeheerders volgens §§ 5c tot 5e EnWG: Complass begeleidt u van de rolbepaling via de IT-beveiligingscatalogus tot meldingen en bewijs.
Wat is de IT-beveiligingscatalogus volgens de EnWG?
Geldt alleen in Duitsland (Duits recht). Sinds 6 december 2025 regelen §§ 5c tot en met 5e van de Energiewirtschaftsgesetz de IT-beveiliging in de energiesector. Wat exploitanten concreet moeten implementeren, legt de Bundesnetzagentur in overeenstemming met het BSI vast in een IT-beveiligingscatalogus. De wet noemt twaalf onderwerpen die elke catalogus minimaal bevat, van risicoanalyse via aanvalsdetectie tot multifactorauthenticatie. Daarbij komen de melding van significante beveiligingsincidenten, registratie, documentatie en de verantwoordelijkheid van de directie.
Actualiteit van de inhoud:
Is het op mij van toepassing?
De EnWG onderscheidt drie rollen. Voor netbeheerders geldt zij ongeacht de omvang; exploitanten van installaties en digitale energiediensten vallen eronder als zij volgens de BSI-wet een belangrijke of bijzonder belangrijke entiteit zijn.
| Rol | Valt eronder als | Wat vandaag geldt |
|---|---|---|
| Netbeheerders elektriciteit of gas | U exploiteert een energievoorzieningsnet, zonder omvangsdrempel | IT-beveiligingscatalogus netbeheerders, stand augustus 2015 |
| Exploitanten van installaties, bijv. opwekking of opslag | Energie-installatie op het net en belangrijke of bijzonder belangrijke entiteit volgens § 28 BSIG | IT-beveiligingscatalogus energie-installaties, stand december 2018 |
| Digitale energiediensten, bijv. aggregators | Dienst aan een energie-installatie op het net en belangrijke of bijzonder belangrijke entiteit volgens § 28 BSIG | Nog geen catalogus van de BNetzA. Aggregators die tot nu toe onder § 8a BSIG oude versie vielen, blijven de “B3S Aggregatoren” van het BDEW implementeren. |
Wie onder §§ 5c tot en met 5e EnWG valt, is uitgezonderd van de meeste verplichtingen van de BSI-wet; indeling en registratie blijven. Exploiteren gemeentelijke bedrijven bovendien water, afvalwater of andere sectoren uit bijlage 1 of 2 van de BSI-wet (multi-utility), dan geldt daarvoor de BSI-wet. In Complass beheert u deze sectoren in een NIS2-project en koppelt u gemeenschappelijk bewijs. Telecommunicatieaanbod valt onder de TKG.
Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.
Rechtsgrondslag
- § 5c EnWG§ 5c EnWG IT-Sicherheit im Anlagen- und im Netzbetrieb, Festlegungskompetenz(1) Die folgenden Betreiber haben für die genannten Systeme einen angemessenen Schutz gegen Bedrohungen zu gewährleisten: - 1. der Betreiber eines Energieversorgungsnetzes für Telekommunikationssysteme und für elektronische Datenverarbeitungssysteme, die für den sicheren Betrieb des Energieversorgungsnetzes notwendig sind, - 2. der Betreiber einer Energieanlage, der eine besonders wichtige Einrichtung nach § 28 …Origineel openen (gesetze-im-internet.de) ↗IT-beveiliging, rollen, catalogus en zijn twaalf minimumonderwerpen
- § 5d EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗Documentatie, contactpersoon, melding en registratie
- § 5e EnWG§ 5e EnWG Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen(1) Die Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist verpflichtet, die Anforderungen des IT-Sicherheitskatalogs umzusetzen und die Umsetzung zu überwachen. (2) Eine Geschäftsleitung eines Betreibers nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3, die ihre Pflichten nach Absatz 1 verletzt, haftet ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der …Origineel openen (gesetze-im-internet.de) ↗Verplichtingen van de directie
- § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Origineel openen (gesetze-im-internet.de) ↗Indeling als belangrijke of bijzonder belangrijke entiteit, uitzondering volgens lid 5
- § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Origineel openen (gesetze-im-internet.de) ↗Meldplichten en termijnen
- § 11 lid 1a en 1b EnWG oude versieGrondslag van de twee geldende catalogi (2015 en 2018)
Wat vandaag geldt en wat in 2027 kan komen
-
§§ 5c tot en met 5e EnWG in werking (NIS2-implementatiewet). § 11 lid 1a tot en met 1g EnWG oude versie zijn vervallen.
-
Termijn voor de registratie bij het BSI voor netbeheerders die geen belangrijke of bijzonder belangrijke entiteit zijn
§ 5d Abs. 4 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗
-
Vandaag
Tot een nieuwe catalogus is gepubliceerd, blijven de catalogi van augustus 2015 (netten) en december 2018 (energie-installaties) gelden. Bestaande systemen voor aanvalsdetectie moeten blijven draaien. Gecontroleerd op 02.11.2026.
-
Eind oktober 2026
Na twee jaar overgang is de nieuwe uitgave ISO/IEC 27019:2024 (gepubliceerd op 18.10.2024) de basis voor audits in het conformiteitsbeoordelingsprogramma van de Bundesnetzagentur.
-
24 uur / 72 uur / één maand
Significante beveiligingsincidenten aan het meldpunt van het BSI: vroege eerste melding, melding, eindrapport
§ 5d Abs. 3 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗ met § 32 BSIG§ 32 BSIG Meldepflichten(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden: - 1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der …Origineel openen (gesetze-im-internet.de) ↗
-
Onverwijld
Documentatie doorgeven aan de Bundesnetzagentur: netbeheerders altijd, exploitanten van installaties en digitale energiediensten als bijzonder belangrijke entiteit (inhoudelijke inschatting, geen juridisch advies)
§ 5d Abs. 1 Satz 2 EnWG§ 5d EnWG Dokumentations-, Melde-, Registrierungspflicht(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur unverzüglich nach der …Origineel openen (gesetze-im-internet.de) ↗
-
Najaar 2026
Consultatie van een gezamenlijke catalogus voor netten, energie-installaties en digitale energiediensten, volgens de Bundesnetzagentur gepland
-
1 January 2027 (unconfirmed draft date)
Start of application cited in specialist articles from a draft. The new catalogue has not been fixed yet; the Federal Network Agency has not confirmed this date and names none on its procedure page.
Wij controleren de stand bij de Bundesnetzagentur voor elke release. Wordt een nieuwe catalogus vastgesteld, dan voegt Complass hem toe als nieuwe uitgave; uw beoordelingen van de twaalf onderwerpen blijven behouden.
Hoe Complass helpt
- 10fasen
- 30begeleide stappen
- 8documentsjablonen
- 77eisen in de catalogus
Twaalf onderwerpen die blijven
U beoordeelt de twaalf onderwerpen uit § 5c lid 4 EnWG één keer. De eisen van de catalogi 2015 en 2018 hangen eraan vast. Komt de nieuwe catalogus, dan voegt Complass hem toe als nieuwe uitgave, zonder dat u opnieuw hoeft te beginnen.
De catalogus die voor uw rol geldt
Netbeheerders werken met de catalogus 2015, exploitanten van installaties met de catalogus 2018, telkens met de eisen in de oorspronkelijke tekst en de bron. Digitale energiediensten gebruiken de twaalf onderwerpen als basis.
Netstructuurplan, inventaris en procesbesturing
Toepassingsgebied, netstructuurplan en systemen in assetbeheer, zones en toegang op afstand voor besturings- en processystemen.
Aanvalsdetectie en logging
Concept voor systemen voor aanvalsdetectie met bewaakte systemen, verantwoordelijkheden en reactie op alarmen.
Meldingen aan het BSI-meldpunt
Meldproces met de termijnen 24 uur, 72 uur en een maand en afbakening ten opzichte van meldingen volgens het KRITIS-Dachgesetz. U legt incidenten vast in het incidentmanagement met het tijdstip van kennisname; hebt u ook NIS2 geboekt, dan berekent Complass de meldingstermijnen.
Multi-utility met NIS2 in één portaal
Andere sectoren beheert u in het NIS2-project. Gemeenschappelijk bewijs koppelt u in plaats van het dubbel te onderhouden.
Directie en training
Verplichtingen van de leiding volgens § 5e EnWG met leerblokken voor specialisten en voor de directie.
De fasen in de module
- Applicability and role
- Scope, network structure plan and inventory
- ISMS skeleton
- Additional measures for control and process systems
- Attack detection and logging
- Contact person and registration
- Incident reporting
- Documentation, certification and evidence
- Management responsibility and training
- Supply chain and critical functions
Catalogus: Minimum contents of the IT security catalogue (section 5c(4) EnWG)
Veelgestelde vragen
Geldt voor ons de EnWG of de BSI-wet?
Voor het netbeheer en voor energie-installaties van belangrijke of bijzonder belangrijke entiteiten gelden §§ 5c tot en met 5e EnWG; de meeste verplichtingen van de BSI-wet vervallen daarvoor. Indeling en registratie volgens de BSI-wet blijven. Voor andere sectoren zoals water of afvalwater geldt de BSI-wet. Is de energie-installatie ten opzichte van de totale bedrijfsactiviteit slechts een nevenactiviteit, dan geldt eveneens de BSI-wet.
Welke IT-beveiligingscatalogus geldt op dit moment?
Voor netbeheerders de catalogus van augustus 2015, voor exploitanten van installaties de catalogus van december 2018. Beide gelden volgens de Bundesnetzagentur voort tot een nieuwe catalogus is gepubliceerd. Stand van de controle: 02.11.2026.
What changes with the new catalogue?
The Federal Network Agency, together with the BSI, is revising the catalogues into one catalogue that is also to apply to digital energy services. Specialist articles cite 1 January 2027 from a draft as the start of application; the Federal Network Agency has not confirmed this date. Nothing has been fixed yet. Your work on the twelve topics of section 5c(4) EnWG counts in any case, because every catalogue must contain them.
Wij zijn aggregator. Wat doen we tot de nieuwe catalogus?
Viel u tot nu toe onder § 8a BSIG oude versie, dan blijft u de “B3S Aggregatoren” van het BDEW implementeren. Anders bouwt u een ISMS volgens ISO/IEC 27001 op en oriënteert u zich op de twaalf onderwerpen. In Complass beoordeelt u deze onderwerpen en voegt u de nieuwe catalogus toe zodra deze is vastgesteld.
Bij wie melden wij een beveiligingsincident?
Bij het meldpunt van het BSI: een vroege eerste melding binnen 24 uur, een melding binnen 72 uur en een eindrapport uiterlijk een maand daarna. Heeft het incident betekenis voor de zekerheid van de energievoorziening, dan stuurt het BSI de melding door naar de Bundesnetzagentur (§ 5d lid 5 EnWG).
Vervangt Complass een juridische toetsing?
Nee. Complass structureert toepasselijkheidstoets, verplichtingen en bewijs aan de hand van de wettekst en de catalogi; de juridische beoordeling in het individuele geval blijft bij u.
Geldt bovendien NIS2 voor uw bedrijf?
De gratis toepasselijkheidscheck schat in enkele minuten in of u onder de Duitse BSI-wet (NIS2) valt, bijvoorbeeld met sectoren zoals water of stadsverwarming. Of §§ 5c tot en met 5e EnWG gelden, beoordeelt hij niet: voor netbeheerders gelden ze ongeacht de omvang, voor exploitanten van installaties en digitale energiediensten zodra zij als belangrijke of essentiële entiteit zijn ingedeeld.
Test Complass met uw eigen gegevens
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.