Stadtwerke und kommunale Versorger
Ein Querverbundunternehmen fällt oft über mehrere Sparten gleichzeitig unter unterschiedliche Regime — BSIG, EnWG-Sicherheitskatalog, in der Schweiz das ISG. Die Anforderungen überschneiden sich, sind aber nicht identisch, und die Nachweise werden getrennt verlangt.
30 Tage kostenlos · kein Kreditkartenzwang · Demo ohne Login
Rechtslage
Betroffenheit
Deutsche und schweizerische Anforderungen werden getrennt geführt und nie als gleichwertig dargestellt.
| Merkmal | Stand |
|---|---|
| Einstufung nach NIS2 | Anlage 1 des BSIG — Energie, Trinkwasser und Abwasser sind eigenständige Sektoren hoher Kritikalität |
| Betroffenheit und Schwellwert | Wichtige Einrichtung ab 50 Beschäftigten oder über 10 Mio. EUR Jahresumsatz und Bilanzsumme. Besonders wichtige Einrichtung ab 250 Beschäftigten oder über 50 Mio. EUR Umsatz und 43 Mio. EUR Bilanzsumme. Die Zuordnung erfolgt je Sparte, nicht für das Unternehmen als Ganzes. Rechtlich unselbständige Eigen- und Regiebetriebe sind ebenfalls erfasst. |
| Aufsicht Deutschland | BSI, bei Strom- und Gasnetzen zusätzlich die Bundesnetzagentur |
| Regime Schweiz | ISG-Meldepflicht seit 1. April 2025, 24 Stunden an das BACS, ausdrücklich für Energie- und Trinkwasserversorgung sowie kommunale Verwaltungen. Seit 1. Oktober 2025 mit Bussen bis 100 000 Franken bewehrt. |
| Aufsicht Schweiz | Bundesamt für Cybersicherheit BACS |
Die Registrierungsfrist nach § 33 BSIG lief am 6. März 2026 ab, die Nachfrist des BSI am 31. Juli 2026. Eine verspätete Registrierung bleibt möglich und ist der erste Schritt.
Die Einstufung hängt von Sparte, Grösse und Anlagenschwellen ab und ist im Einzelfall zu prüfen.
Nicht nur IT
Die Anlagen, die kein ISMS-Werkzeug kennt
Diese Objekte sind sicherheitsrelevant und nachweispflichtig — und liegen in klassischen ISMS-Werkzeugen ausserhalb des Systems. Sie werden zum Audittermin per Tabelle nachgereicht, statt in der Nachweiskette zu stehen.
- Netzleittechnik und SCADA
- Umspannwerke und Ortsnetzstationen
- Fernwirktechnik
- Zählerinfrastruktur und Smart-Meter-Gateways
- Wasserwerks- und Kläranlagensteuerung
- Heizwerk- und BHKW-Steuerung
In ISMShield ist jedes dieser Objekte gleichzeitig Anlage und ISMS-Asset: ein Register, eine Prüfhistorie, ein Verantwortlicher, eine Statusampel.
Nachweise
Was belegt werden muss
- Risikomanagement nach § 30 BSIG
- Meldekette 24 Stunden, 72 Stunden, ein Monat nach § 32 BSIG
- Registrierung nach § 33 BSIG
- Schulungs- und Haftungspflicht der Geschäftsleitung nach § 38 BSIG
- Nachweispflicht für Betreiber kritischer Anlagen nach § 39 BSIG, frühestens drei Jahre nach der Einstufung und danach alle drei Jahre
- bei Strom- und Gasnetzen zusätzlich der IT-Sicherheitskatalog der Bundesnetzagentur nach § 11 EnWG
Abdeckung
Welche Module das abdecken
Risiken und Massnahmen
Risikoregister mit Scoring-Matrix, Massnahmenplan und Statement of Applicability. Basiskatalog mit 62 Risiken aus NIS2 und B3S, per Klick importierbar.
Dokumente und Nachweise
Dokumentenregister mit Vorlagen, Versionsstand und Freigaben. Jeder Nachweis hängt am Objekt, nicht in einem Ordner daneben.
Vorfälle und Meldungen
Incident-Modul mit Meldefristen-Timern und vorausgefülltem Meldeentwurf. Mehrere Rechtsordnungen laufen getrennt.
Anlagen und Assets
Anlagen- und Geräteregister mit Prüfkalender und Ampel, IT-Assets mit Kritikalität, Patchstand und EOL-Markierung.
BCM
Business-Impact-Analyse, RTO und RPO, Notfallpläne und Übungen nach BSI 200-4 und ISO 22301.
Lieferanten
Compliance-Fragebogen, Bewertung und Wiedervorlage — für die eigene Lieferkette und für Nachweise gegenüber Kunden.
Der vollständige Funktionsumfang steht unter Features.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.
Quellen. Grundlage der Angaben auf dieser Seite:
- BSIG in der Fassung des NIS2UmsuCG, in Kraft seit 6. Dezember 2025
- § 11 EnWG mit IT-Sicherheitskatalog der Bundesnetzagentur
- ISG und Cybersicherheitsverordnung, Meldepflicht seit 1. April 2025