NIS-2 und KRITIS: Wenn der Cyberangriff das Stromnetz trifft

Der 1. September 2026 hat gezeigt, wie verletzlich Umspannwerke sind.

An diesem Tag gab es bestätigte Angriffe auf Anlagen des Höchstspannungsnetzes: in Turnow-Preilack nahe dem Braunkohlekraftwerk Jänschwalde in Brandenburg und am Amprion-Umspannwerk Rommerskirchen im Bergheimer Ortsteil Rheidt in Nordrhein-Westfalen. Nach Angaben aus der Berichterstattung lösten bereits einfache Mittel Schutzsysteme aus und trennten große Erzeugungskapazitäten vorübergehend vom Netz [18].

Der Vorfall vom 1. September 2026 an Umspannwerken in Brandenburg und NRW zeigt die Kernthese dieses Beitrags: Physische und digitale Angriffsfläche kritischer Infrastruktur sind heute dieselbe. Wer sie getrennt behandelt, schützt die Anlage nur zur Hälfte. In Bergheim mussten fünf Kraftwerksblöcke vom Netz genommen werden, der NRW-Innenminister sprach von einem Anfangsverdacht verfassungsfeindlicher Sabotage [20]. Wer Umspannwerke schützt, muss deshalb Netzleittechnik, Fernwirktechnik und die Zulieferkette mitdenken. Genau hier setzt dieser Beitrag an.

Was ändert sich 2026 durch NIS-2 und die verstärkte BSI-Kontrolle?

Der Kreis der regulierten Einrichtungen wächst deutlich, und das BSI kontrolliert ab 2026 verstärkt [14][15]. NIS2 erweitert den Kreis massiv: Statt einiger Tausend Betreiber kritischer Infrastruktur fallen geschätzt mehrere Zehntausend Unternehmen unter die Pflichten. Betroffen sind Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abwasser, Lebensmittel und Teile der verarbeitenden Industrie [13]. Einen strukturierten Einstieg in die Umsetzung bietet die NIS-2-Umsetzung im Überblick.

Die BSI-KritisV, also die Verordnung zur Bestimmung kritischer Infrastrukturen, wurde zuletzt durch Artikel 3 Absatz 1 des Gesetzes vom 15. Mai 2026 geändert [19]. Das BSI hat zudem ein NIS-2-Infopaket zu Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Schwachstellenmanagement veröffentlicht [12]. Für Betroffene heißt das: Die Anforderungen sind konkret genug, um sie in Projekte zu übersetzen.

Welche Fristen gelten bei der Meldung erheblicher Sicherheitsvorfälle an das BSI?

Erhebliche Sicherheitsvorfälle sind an das BSI zu melden, mit einer Erstmeldung binnen 24 Stunden und gestuften Folgemeldungen [17]. Mit NIS2 bestehen für betroffene Einrichtungen viele Informations- und Meldepflichten, die über die bisherigen KRITIS-Meldepflichten hinausgehen [17]. Eine Prozessvorlage für die BSI-Meldepflichten 24h/72h hilft, die Meldekette vorzubereiten.

Parallel dazu greifen die Meldepflichten des EU Cyber Resilience Act (CRA). Der Cyber Resilience Act (EU 2024/2847) ist die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte auf dem EU-Markt festlegt [6]. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden an ENISA und das zuständige nationale CSIRT melden; die Schwachstellenmeldung folgt spätestens nach 72 Stunden, der Abschlussbericht ist innerhalb von 14 Tagen zu übermitteln [10].

Die folgende Übersicht bündelt die zentralen Fristen:

1. Erstmeldung erheblicher Sicherheitsvorfälle an das BSI: binnen 24 Stunden, gestufte Folgemeldungen, Rechtsgrundlage NIS2-Meldepflichten [17].
2. Meldung aktiv ausgenutzter Schwachstellen an ENISA und das nationale CSIRT: binnen 24 Stunden, Rechtsgrundlage CRA Artikel 14 [10].
3. Schwachstellenmeldung (zweite Stufe) nach CRA: spätestens nach 72 Stunden, Rechtsgrundlage CRA Artikel 14 [10].
4. Abschlussbericht nach CRA: innerhalb von 14 Tagen, Rechtsgrundlage CRA Artikel 14 [10].
5. CRA-Berichtspflichten nach Artikel 14 gelten ab dem 11. September 2026 [9].
6. CRA-Kapitel IV zur Notifizierung von Konformitätsbewertungsstellen gilt ab dem 11. Juni 2026 [9].
7. Volle Anwendbarkeit des CRA: ab dem 11. Dezember 2027 [9].
8. Inkrafttreten des CRA: am 10. Dezember 2024 [2].

Unsere Position: Meldepflichten sind kein Papierformat. 24 Stunden bis zur Erstmeldung und 72 Stunden bis zur Schwachstellenmeldung verlangen vorbereitete Prozesse, klare Rollen und geübte Abläufe, nicht improvisierte E-Mails in der Nacht. Wer die Fristen erst im Ernstfall liest, hat sie schon verpasst.

Ab wann gilt ein Unternehmen als regulierte Einrichtung nach NIS2?

Ein NIS2-pflichtiges Unternehmen liegt vor, wenn beide Bedingungen kumulativ erfüllt sind: mindestens 50 Mitarbeitende und mehr als 10 Millionen Euro Jahresumsatz (oder eine Bilanzsumme von mehr als 10 Millionen Euro) sowie die Zugehörigkeit zu einem der erfassten Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abwasser, Lebensmittel oder Teile der verarbeitenden Industrie [13]. Wo die Grenze zwischen klassischer KRITIS und NIS2 verläuft, erklärt die Abgrenzung KRITIS vs. NIS-2.

Diese Kombination erklärt, warum der Kreis so stark wächst. Viele Unternehmen haben sich bisher nicht als Teil kritischer Infrastruktur verstanden, obwohl sie über Zulieferketten, Software oder Wartungszugänge direkt an ihr hängen. Ein Hersteller vernetzter Komponenten für die Netztechnik ist ein Beispiel dafür.

Der CRA verschärft diese Lage zusätzlich. Hersteller müssen Cybersicherheitsrisiken bewerten, Produkte gemäß den wesentlichen Anforderungen entwickeln, Schwachstellen adressieren, Sicherheitsupdates über den Supportzeitraum bereitstellen, technische Dokumentation erstellen, die Konformitätsbewertung durchführen, eine EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen [4]. Der CRA trat am 10. Dezember 2024 in Kraft; ab Dezember 2027 müssen Hersteller, Importeure und Händler strenge Anforderungen erfüllen, von Updates über Meldepflichten bis zur CE-Kennzeichnung [2].

Für die Sicherheitsbranche bedeutet das eine spürbare Veränderung: Ab 2027 gelten strenge EU-Regeln für Hersteller und Errichter von Sicherheitsprodukten [5]. Der Entwurf zur Stärkung des Cyberschutzes kritischer Infrastruktur sieht verpflichtende Risikoanalysen und die Meldung von Sicherheitsvorfällen vor [11].

Warum sind Umspannwerke und Netzleittechnik ein realistisches Ziel?

Umspannwerke sind ein realistisches Angriffsziel, weil die Bündelung von Erzeugung und Verteilung an wenigen Punkten mit einfachen Mitteln große Wirkung erzielt: Am 1. September 2026 reichten laut Berichterstattung simple Mittel, um fünf Kraftwerksblöcke in Bergheim vom Netz zu trennen [18][20].

Entscheidend ist die Verbindung von physischer und digitaler Ebene. Netzleittechnik steuert Schaltzustände, Fernwirktechnik überträgt Messwerte und Befehle zwischen Leitstelle und Anlage. Wer dort Zugang erhält, kann Abläufe beeinflussen, ohne eine einzige Schraube zu lösen. Deshalb reicht es nicht, Zäune zu erhöhen und Kameras zu ergänzen.

Hinzu kommt die Zulieferkette. Wartungszugänge, Fernwartungssoftware und Komponenten von Drittanbietern gehören zur Angriffsfläche. Ein Angriff muss nicht am Umspannwerk beginnen; er kann über ein Update, ein Zertifikat oder ein Konto seinen Weg dorthin finden.

Unsere Position: Resilienz entsteht durch Architektur, nicht durch Verordnung allein. Zero Trust, sichere Identitäten und quantensichere Kryptografie gehören in dieselbe Roadmap wie die Meldepflichten.

Welche technischen Maßnahmen zahlen auf NIS-2-Pflichten ein?

Vier Bausteine wirken direkt auf die Pflichten aus NIS2 und CRA: Zero Trust, sichere digitale Identitäten, quantensichere Kryptografie und ein geordnetes Schwachstellenmanagement. Der BSI-Kongress 2026 befasste sich mit genau diesen Themen und mit der Umsetzung von NIS-2; ein Schwerpunkt lag darauf, menschliches Verhalten stärker in Sicherheitskonzepte zu integrieren [16].

1. Zero Trust: Kein Zugriff wird allein aufgrund der Netzwerkposition vertraut. Jede Anfrage wird geprüft, jeder Zugang ist begrenzt und nachvollziehbar. NIS2 nennt solche Zugriffskontrollen und die Absicherung der Kommunikation ausdrücklich als Mindestmaßnahmen in Artikel 21. Für Netzleittechnik heißt das: getrennte Zonen, klare Übergänge und Protokolle, die auffallen, wenn ein Befehl nicht ins Muster passt. Wie das architektonisch umgesetzt wird, beschreibt die Zero-Trust-Architektur.
2. Sichere digitale Identitäten: Sie sorgen dafür, dass Menschen und Maschinen eindeutig erkennbar sind. In der Fernwirktechnik ist das anspruchsvoll, weil Geräte typischerweise 10 bis 20 Jahre im Feld stehen und selten aktualisiert werden. Trotzdem lohnt der Aufwand, denn ohne belastbare Identität bleibt jede Zugriffskontrolle Stückwerk.
3. Quantensichere Kryptografie: Sie gehört in die langfristige Planung, denn Kryptografie hat lange Lebenszyklen; wer heute Beschaffung und Protokolle festlegt, entscheidet über die Sicherheit der nächsten Jahrzehnte. Das BSI hat dazu ein NIS-2-Infopaket zu Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Schwachstellenmanagement veröffentlicht [12]. Einen praktischen Einstieg bietet der Migrationsleitfaden zur Post-Quantum-Kryptografie.
4. Schwachstellenmanagement: Es schließt den Kreis. Wer weiß, welche Komponenten im Einsatz sind, kann Schwachstellen bewerten und Fristen einhalten. Ohne Inventar bleibt jede Meldung ein Ratespiel. Ein Schwachstellenmanagement-Framework liefert die nötige Struktur.

Quantensichere Kryptografie (Post-Quantum-Kryptografie) sind kryptografische Verfahren, die so konzipiert sind, dass sie auch gegen Angriffe durch künftige Quantencomputer mit ausreichend großer Qubit-Zahl bestehen.

Weil Kryptografie über Jahrzehnte im Einsatz bleibt, entscheidet die heutige Beschaffung und Protokollwahl über die Sicherheit der nächsten Jahrzehnte. Das BSI hat dazu ein NIS-2-Infopaket zu Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Schwachstellenmanagement veröffentlicht [12].

Wie sieht eine belastbare Roadmap aus?

Eine belastbare Roadmap verbindet drei Stränge: Übungen, Rollen und Dokumentation. Übungen testen die Meldekette, bevor sie gebraucht wird. Rollen legen fest, wer entscheidet, wer meldet und wer nach außen kommuniziert. Dokumentation hält fest, was wann geschehen ist, damit Fristen und Nachweise zusammenpassen.

Wir halten es für sinnvoll, mit dem Meldeweg zu beginnen, weil er die kürzeste Frist hat. 24 Stunden bis zur Erstmeldung lassen wenig Raum für Abstimmung. Wer die Erstmeldung als vorbereitetes Gerüst vorhält, gewinnt Zeit für die inhaltliche Bewertung.

Danach folgt die Architektur. Zero Trust, sichere Identitäten und quantensichere Kryptografie sind keine Einzelprojekte, sondern eine Reihenfolge von Entscheidungen. Wer sie in dieselbe Roadmap wie die Meldepflichten schreibt, vermeidet Widersprüche zwischen Betrieb, Beschaffung und Compliance.

Der Blick auf die Vorfälle vom 1. September 2026 zeigt, warum das drängt. Angriffe auf Umspannwerke treffen nicht nur Anlagen, sondern Versorgung und Vertrauen [18][20]. Mountain Road begleitet Einrichtungen dabei, Meldepflichten und Architektur zusammenzubringen, soweit erlaubnisfrei und im Rahmen der jeweiligen Vorgaben.