NCCS: Netzkodex Cybersicherheit, die Pflichten für TSO und DSO
Ein Cyberangriff auf ein Umspannwerk in einem Land kann das Netz der Nachbarn mitreissen. Genau dafür gibt es jetzt eine eigene EU-Verordnung. Wer über 1.500 Megawatt steuert, sollte sie kennen.
Der Netzkodex Cybersicherheit (Delegierte Verordnung (EU) 2024/1366, kurz NCCS) ist seit dem 13. Juni 2024 in Kraft und das erste sektorspezifische EU-Cyberregelwerk für Strom. Er klassifiziert Akteure nach ihrer Wirkung auf grenzüberschreitende Stromflüsse: High-Impact ab einer vorläufigen deutschen Schwelle von 1.500 MW, Critical-Impact ab 3.000 MW. Benannte Entities müssen ein Cybersecurity-Management-System aufbauen, Risikoanalysen fahren, sich mindestens alle drei Jahre komplett auditieren lassen und Cyberangriffe nach der CACS-Skala melden. Der Fahrplan ist gestaffelt: unionsweiter Risikobericht Mitte 2026, Kontrollen-Vorschlag Anfang 2027, formale Benennung Mitte 2027, erste Entity-Berichte 2028. Für deutsche Netzbetreiber kommt der NCCS zu NIS2 und dem IT-Sicherheitskatalog nach Paragraf 5c EnWG hinzu; Compliance-Nachweise dürfen wechselseitig genutzt werden. 2026 ist das Jahr für Selbsteinschätzung, Gap-Analyse und Lieferantenverträge.
Das erste EU-Cyberregelwerk nur für Strom
NIS2 kennt inzwischen jeder Energieversorger. Der NCCS ist etwas anderes. Keine Querschnittsregel für alle kritischen Sektoren. Eine einzige Frage treibt diese Verordnung: Was passiert mit den grenzüberschreitenden Stromflüssen, wenn dich jemand hackt? Alles Weitere, Klassifizierung, Pflichten, Fristen, folgt aus dieser Frage.
Die Antwort steht in der Delegierten Verordnung (EU) 2024/1366 vom 11. März 2024. In Kraft seit dem 13. Juni 2024. Sie hängt sich an die Strommarkt-Verordnung 2019/943, und das ist kein Zufall: Cybersicherheit wandert damit genau dorthin, wo das europäische Stromsystem ohnehin gesteuert wird, in die Netzkodizes.
Warum ein eigenes Regelwerk? Man kann eine Bank national hacken. Ein Übertragungsnetz nicht. 50 Hertz kennen keine Grenze, Lastflüsse auch nicht, und deshalb hört jetzt auch die Regulierung auf, an der Grenze haltzumachen. So einfach ist die Logik dahinter.
Wer betroffen ist: weit mehr als TSO und DSO
Der Titel dieser Seite ist genau genommen zu eng. TSO und DSO sind die Kernadressaten, aber der NCCS greift überall dort, wo eine Störung die grenzüberschreitenden Flüsse treffen kann. Die Liste ist lang.
- Übertragungs- und Verteilnetzbetreiber
- Stromerzeuger, Speicherbetreiber, Aggregatoren und Demand-Response-Anbieter
- NEMOs und Strommarktplattformen, Bilanzkreisverantwortliche
- Regionale Koordinierungszentren, ENTSO-E und die EU DSO Entity selbst
- Kritische IKT-Dienstleister und Managed-Security-Provider
- Betreiber von Ladepunkten
Der letzte Punkt überrascht viele. Ladepunktbetreiber stehen auf derselben Liste wie Übertragungsnetzbetreiber, weil steuerbare Last in Summe netzrelevant wird. Und noch eine Besonderheit: Auch Unternehmen außerhalb der EU können benannt werden, wenn ihre Systeme europäische Stromflüsse beeinflussen.
Der NCCS fragt nicht, wie viele Mitarbeiter oder Kunden ein Unternehmen hat. Er fragt, was ein erfolgreicher Angriff auf dessen Systeme für die grenzüberschreitenden Stromflüsse bedeuten würde. Ein kleiner Dienstleister mit privilegiertem Zugang zur Leittechnik kann relevanter sein als ein großer Vertrieb ohne Netzberührung.
Die Klassifizierung: ECII, High-Impact und Critical-Impact
Kernstück des NCCS ist eine zweistufige Einstufung. Gemessen wird mit dem Electricity Cybersecurity Impact Index, kurz ECII, den ENTSO-E und die EU DSO Entity entwickelt haben.
High-Impact heisst: Eine Störung hätte erhebliche Wirkung auf die grenzüberschreitenden Flüsse. Critical-Impact heisst: Sie würde zu kritischer Unterbrechung oder Destabilisierung führen. Für Deutschland liegen die vorläufigen Schwellen bei 1.500 MW und 3.000 MW. Vorläufig deshalb, weil die formale Benennung durch die Behörden erst Mitte 2027 erfolgt; bis dahin arbeiten die Verbände mit provisorischen Listen.
Genau diese Vorläufigkeit ist die Falle. Wer heute knapp unter der Schwelle liegt, kann 2027 trotzdem benannt werden, die Methodik wird bis dahin verfeinert. Und wer benannt ist, hat ab dann zwölf Monate bis zum ersten vollständigen Risikobericht. Ein CSMS baut in zwölf Monaten niemand von null auf.
Der Fahrplan bis 2028
"Umsetzungspflichten bis 2026" liest man oft, und es stimmt nur halb. 2026 ist das Jahr der Methodiken und der Vorbereitung. Die harten Entity-Pflichten folgen 2027 und 2028. Das ist keine Entwarnung, sondern der Grund, warum 2026 zählt: Danach ist die Vorlaufzeit weg.
Inkrafttreten
Der NCCS gilt. Sechs Monate später, zum 13.12.2024, mussten alle Mitgliedstaaten ihre zuständigen Behörden benannt haben.
Methodik-Phase
ACER liefert Guidance zu Informationsaustausch (25.04.2025), Investitions-Benchmarking (13.06.2025) und Zuverlässigkeits-Indikatoren (27.01.2026). Mitte 2026 folgt der erste unionsweite Cyber-Risikobericht Strom.
Kontrollen und Benennung
Anfang 2027 kommt der Vorschlag für Mindest- und erweiterte Kontrollen, Mitte 2027 benennen die Behörden die High-Impact- und Critical-Impact-Entities formal.
Erste Entity-Berichte
Zwölf Monate nach Benennung liefert jede Entity ihren ersten vollständigen Risikobericht, danach im Drei-Jahres-Turnus.
Die Pflichten im Detail
Was auf benannte Entities zukommt, ist ein vollständiges Managementsystem mit Nachweispflicht. Deutlich mehr als ein Virenscanner und ein Notfallordner.
Das Fundament ist ein Cybersecurity-Management-System nach europäischen und internationalen Standards, in der Praxis also die ISO-27001-Familie. Darauf sitzt ein Risikomanagement-Zyklus aus Kontextanalyse, Assessment, Behandlung und Akzeptanz, komplett zu durchlaufen alle drei Jahre. Geprüft wird das Ganze extern: der gesamte Umfang mindestens alle drei Jahre, Teilaudits jährlich.
Dazu kommen zwei Pflichten, die über das übliche ISMS hinausgehen. Erstens die Meldung erheblicher Cyberangriffe nach der Cyber-Attack Classification Scale, einer eigenen Schweregrad-Skala; eine vollständige NIS2-Meldung nach Artikel 23 erfüllt diese Pflicht mit. Zweitens die Lieferkette: Kontrollen über den gesamten IKT-Lebenszyklus, Hintergrundprüfungen von Personal, Secure by Design, Zero-Trust-Architekturen und vertraglich gesicherte Auditrechte gegenüber Lieferanten. Nach Artikel 27 müssen Entities ihre kritischen IKT-Dienstleister sogar aktiv an die Behörde melden.
Und geübt wird auch. Der NCCS verlangt Cybersicherheits-Übungen auf mehreren Ebenen, vom einzelnen Unternehmen bis zur regionalen Krisensimulation. Der Informationsaustausch dazu läuft nach dem Traffic Light Protocol.
Deutsche Perspektive: drei Regelwerke übereinander
Grüne Wiese? Gibt es hier nicht. Wer den NCCS umsetzt, hat parallel die NIS2-Umsetzung auf dem Tisch, den IT-Sicherheitskatalog nach Paragraf 5c EnWG und das KRITIS-Dachgesetz. Gemeinsame Klammer ist die Bundesnetzagentur, die ihre Sicherheitskataloge gerade konsolidiert. Ab Oktober 2026 wird der neue Rahmen verbindlich.
Genau da liegt die deutsche Hausaufgabe: drei Meldelogiken. Die 24-Stunden-Frist für Sicherheitsvorfälle aus dem nationalen Recht, die NIS2-Kaskade aus Erstmeldung und Folgeberichten, die CACS-Meldung nach NCCS. Ohne eine gemeinsame Meldematrix meldet im Ernstfall entweder niemand oder jeder dreimal.
Herausforderungen und Risiken
Der NCCS ist inhaltlich schwer zu kritisieren, ein koordinierter Angriff auf das Verbundnetz ist eines der realsten Katastrophenszenarien Europas. Die Last liegt in der Umsetzung.
Bleibt ein struktureller Punkt: Der NCCS reguliert Wirkung auf grenzüberschreitende Flüsse, nicht nationale Versorgungssicherheit. Ein Angriff, der nur ein deutsches Verteilnetz trifft, fällt weiter unter NIS2 und den 5c-Katalog. Die drei Regelwerke ergänzen sich, aber keines macht die anderen überflüssig.
Was Netzbetreiber jetzt tun sollten
Auf die Benennung warten? Kann man machen. Dann beginnt der CSMS-Aufbau aber genau in dem Moment, in dem die Zwölf-Monats-Uhr für den ersten Risikobericht schon läuft. Die Alternative: 2026 als das Vorbereitungsjahr nutzen, das es ist.
Fünf Schritte für 2026
-
Selbsteinschätzung gegen die ECII-Schwellen
Liegt die eigene steuerbare Erzeugung oder Last über 1.500 MW? Auch knapp darunter lohnt der Blick, die Methodik wird bis 2027 verfeinert und die Schwellen sind vorläufig.
-
Gap-Analyse gegen das bestehende ISMS
Das 27001-basierte ISMS aus dem IT-Sicherheitskatalog neben die NCCS-Anforderungen legen. Die Lücken heissen erfahrungsgemäss: Lieferketten-Kontrollen, CACS-Meldefähigkeit, Übungsprogramm.
-
Meldewege in eine Matrix bringen
NIS2, 5c-Katalog und NCCS nebeneinander: Wer meldet was, an wen, in welcher Frist? Eine Seite Papier, die im Ernstfall Stunden spart.
-
Lieferantenverträge nachschärfen
Auditrechte, Sicherheitsanforderungen und Exit-Klauseln für kritische IKT-Dienstleister gehören jetzt in jede Vertragsverlängerung. Nachverhandeln unter Zeitdruck 2027 wird teuer.
-
Die Methodik-Dokumente 2026 aktiv verfolgen
Der unionsweite Risikobericht Mitte 2026 und der Kontrollen-Vorschlag Anfang 2027 definieren, was später geprüft wird. Wer mitliest, kennt seine Pflichten vor der Benennung.
Der NCCS ist Teil eines grösseren Musters: Die EU verschiebt Energieregulierung von nationalen Katalogen zu direkt geltenden Verordnungen, vom Data Act bis zu den Netzkodizes. Wer die eigene Sicherheits- und Datenarchitektur einmal sauber aufstellt, bedient alle drei Regelwerke aus einem System.
Weiterführende Informationen
Häufig gestellte Fragen
Der Network Code on Cybersecurity, die Delegierte Verordnung (EU) 2024/1366 vom 11. März 2024. Er ist das erste EU-Cyberregelwerk speziell für den Stromsektor, in Kraft seit dem 13. Juni 2024, und ergänzt die Strommarkt-Verordnung 2019/943. Ziel ist der Schutz der grenzüberschreitenden Stromflüsse vor Cyberangriffen.
Deutlich mehr als TSO und DSO. Erfasst werden alle Akteure, deren Störung die grenzüberschreitenden Stromflüsse beeinträchtigen kann: Erzeuger, Strommarktplattformen, NEMOs, Bilanzkreisverantwortliche, Regionale Koordinierungszentren, Aggregatoren, kritische IKT-Dienstleister und sogar Betreiber von Ladepunkten.
Die zwei Stufen der NCCS-Klassifizierung nach dem Electricity Cybersecurity Impact Index (ECII). High-Impact heisst: Eine Störung hätte erhebliche Wirkung auf grenzüberschreitende Stromflüsse. Critical-Impact heisst: Sie führt zu kritischer Unterbrechung oder Destabilisierung. Die vorläufigen Schwellen für Deutschland liegen bei 1.500 MW und 3.000 MW.
Gestaffelt bis 2028: zuständige Behörden seit Dezember 2024, ACER-Guidance-Dokumente 2025 und Januar 2026, der unionsweite Risikobericht Mitte 2026, der Vorschlag für Mindest- und erweiterte Kontrollen Anfang 2027, die formale Benennung der Entities Mitte 2027 und der erste Risikobericht jeder Entity zwölf Monate nach ihrer Benennung, also 2028.
Die drei Regelwerke gelten parallel. Der NCCS vertieft die NIS2-Anforderungen sektorspezifisch, ersetzt sie aber nicht. Erwägungsgrund 15 erlaubt, Compliance-Nachweise wechselseitig zu nutzen, und eine vollständige NIS2-Meldung nach Artikel 23 erfüllt auch die NCCS-Meldepflicht. Ein 27001-basiertes ISMS aus dem IT-Sicherheitskatalog ist das Fundament für das NCCS-CSMS.
Vier Dinge: die eigene Position gegen die vorläufigen ECII-Schwellen prüfen, das bestehende ISMS per Gap-Analyse gegen die NCCS-Anforderungen legen, die Meldewege aus NIS2, IT-Sicherheitskatalog und NCCS in eine Matrix konsolidieren und die Lieferantenverträge um Auditrechte und Sicherheitsanforderungen ergänzen. Wer die Benennung 2027 abwartet, verliert die Vorlaufzeit.