Das IT-Sicherheitsgesetz (IT-SiG) sowie der IT-Sicherheitskatalog der BNetzA fordern die Konzeption, Aufbau und Zertifizierung des eines Informationssicherheits-Managementsystems (ISMS) von betroffenen Unternehmen. Das IT-Sicherheitsgesetz grenzt die Pflicht hierzu auf Unternehmen ein, die ein Versorgungsgebiet versorgen. Anhand des aktuellen „Referentenentwurf - Entwurf einer Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz“ lässt sich ableiten, dass die Schwellwerte im Sektor Energie bei 500.000 versorgten Personen liegen. Bei der Umsetzung der Anforderungen des IT-Sicherheitskataloges der BNetzA bestehen hingegen keinerlei Ausnahmen von der Umsetzungspflicht.

Mit dem IT-Sicherheitskatalog der Bundesnetzagentur werden Netzbetreiber verpflichtet, ein ISMS nach ISO/IEC 27001:2013 aufzubauen und dieses bis zum 31. Januar 2018 zu zertifizieren. Bereits seit dem 30. November 2015 ist ein Ansprechpartner für Informationssicherheit zu benennen und der Bundesnetzagentur mitzuteilen.

Der Geltungsbereich des IT-Sicherheitskatalogs der BNetzA und damit des zu erstellenden ISMS umfasst „alle zentralen und dezentralen Anwendungen, Systeme und Komponenten, die für einen sicheren Netzbetrieb notwendig sind. Enthalten sind demnach zumindest alle TK- und EDV-Systeme des Netzbetreibers, welche direkt Teil der Netzsteuerung sind, d.h. unmittelbar Einfluss nehmen auf die Netzfahrweise. Daneben sind auch TK- und EDV-Systeme im Netz betroffen, die selbst zwar nicht direkt Teil der Netzsteuerung sind, deren Ausfall jedoch die Sicherheit des Netzbetriebs gefährden könnte. Darunter fallen z.B. Messeinrichtungen an Trafo- oder Netzkoppelstationen.“.