Source: https://www.gesetze-im-internet.de/enwg_2005/__5d.html
Legislation: enwg_2005

Title: § 5d Dokumentations-, Melde-, Registrierungspflicht

Description:
Gesetz über die Elektrizitäts- und Gasversorgung (EnWG 2005)
Teil 1 - Allgemeine Vorschriften
§ 5d Dokumentations-, Melde-, Registrierungspflicht

Paragraph: 5d

Full Text:
Gesetz über die Elektrizitäts- und Gasversorgung (EnWG 2005)
Teil 1 - Allgemeine Vorschriften
§ 5d Dokumentations-, Melde-, Registrierungspflicht

(1) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 hat die
Einhaltung der Anforderungen des IT-Sicherheitskatalogs zu
dokumentieren. Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 und
der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 2 und 3, der jeweils
eine besonders wichtige Einrichtung nach § 28 Absatz 1 des BSI-
Gesetzes ist, hat die Dokumentation nach Satz 1 der Bundesnetzagentur
unverzüglich nach der Erstellung zu übermitteln. Auf Verlangen der
Bundesnetzagentur hat der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1
bis 3 einen Mängelbeseitigungsplan vorzulegen. Ergeben sich aus dem
Mängelbeseitigungsplan Sicherheitsmängel, so kann die
Bundesnetzagentur von dem Betreiber die Beseitigung dieser Mängel
innerhalb einer gesetzten Frist verlangen. Der Betreiber hat der
Bundesnetzagentur und den in deren Auftrag handelnden Personen zum
Zweck der Überprüfung der Einhaltung des IT-Sicherheitskatalogs das
Betreten der Geschäfts- und Betriebsräume während der üblichen
Betriebszeiten zu gestatten und auf Verlangen die in Betracht
kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in
geeigneter Weise vorzulegen. Er hat Auskunft zu erteilen und die
erforderliche Unterstützung zu gewähren. Für die Überprüfung erhebt
die Bundesnetzagentur nur dann Gebühren und Auslagen, wenn die
Bundesnetzagentur auf Grund von Anhaltspunkten tätig geworden ist, die
berechtigte Zweifel an der Einhaltung der Anforderungen des IT-
Sicherheitskatalogs begründen.

(2) Erlangt die Bundesnetzagentur Kenntnis über Hinweise oder
Informationen, wonach ein Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1
bis 3 die Anforderungen des IT-Sicherheitskatalogs nicht oder nicht
richtig umsetzt, so kann sie von dem Betreiber Informationen
anfordern, um die Einhaltung des IT-Sicherheitskatalogs zu überprüfen.
Absatz 1 Satz 3 bis 7 ist entsprechend anzuwenden.

(3) Der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3 ist
verpflichtet, der Meldestelle nach § 32 des BSI-Gesetzes folgende
Informationen zu melden:

1.  unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach
    Kenntniserlangung von einem erheblichen Sicherheitsvorfall nach § 2
    Nummer 11 des BSI-Gesetzes: eine frühe Erstmeldung, in der angegeben
    wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall
    auf eine rechtswidrige oder eine böswillige Handlung zurückzuführen
    ist oder dass er grenzüberschreitende Auswirkungen haben könnte,

2.  unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach
    Kenntniserlangung von einem erheblichen Sicherheitsvorfall nach § 2
    Nummer 11 des BSI-Gesetzes: eine Meldung über den erheblichen
    Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen
    bestätigt oder aktualisiert werden und in der eine erste Bewertung des
    erheblichen Sicherheitsvorfalls vorgenommen wird, einschließlich der
    Bewertung seines Schweregrads und seiner Auswirkungen und
    einschließlich der Angabe der Kompromittierungsfaktoren,

3.  auf Ersuchen des Bundesamtes für Sicherheit in der Informationstechnik
    eine Zwischenmeldung über relevante Statusaktualisierungen,

4.  spätestens einen Monat nach Übermittlung der Meldung des erheblichen
    Sicherheitsvorfalls nach § 2 Nummer 11 des BSI-Gesetzes eine
    Abschlussmeldung, die Folgendes enthält:

    a)  eine ausführliche Beschreibung des erheblichen Sicherheitsvorfalls
        nach § 2 Nummer 11 des BSI-Gesetzes, einschließlich seines
        Schweregrads und seiner Auswirkungen,

    b)  Angaben zur Art der Bedrohung beziehungsweise zur Ursache, die
        wahrscheinlich den erheblichen Sicherheitsvorfall nach § 2 Nummer 11
        des BSI-Gesetzes ausgelöst hat,

    c)  Angaben zu den getroffenen und den laufenden Abhilfemaßnahmen zur
        Abwendung oder Behebung des erheblichen Sicherheitsvorfalls,

    d)  gegebenenfalls die grenzüberschreitenden Auswirkungen des erheblichen
        Sicherheitsvorfalls nach § 2 Nummer 11 des BSI-Gesetzes.

§ 32 Absatz 2 bis 5 und § 36 des BSI-Gesetzes sind entsprechend
anzuwenden. Bei Meldungen nach diesem Absatz trifft das Bundesamt für
Sicherheit in der Informationstechnik Maßnahmen nach § 36 des BSI-
Gesetzes im Benehmen mit der Bundesnetzagentur.

(4) Der Betreiber eines Energieversorgungsnetzes, der keine besonders
wichtige Einrichtung nach § 28 Absatz 1 des BSI-Gesetzes oder keine
wichtige Einrichtung nach § 28 Absatz 2 des BSI-Gesetzes ist, ist
verpflichtet, spätestens bis zum Ablauf des 6. März 2026 dem Bundesamt
für Sicherheit in der Informationstechnik die Angaben nach § 33 Absatz
1 Nummer 1 bis 4 des BSI-Gesetzes zur Registrierung zu übermitteln. §
33 Absatz 2 bis 5 des BSI-Gesetzes ist für den in Satz 1 genannten
Betreiber entsprechend anzuwenden mit der Maßgabe, dass das Bundesamt
für Sicherheit in der Informationstechnik die Registrierung auch
selbst vornehmen und eine Kontaktstelle benennen kann, wenn der
Betreiber seine Pflicht zur Registrierung nicht erfüllt. Nimmt das
Bundesamt für Sicherheit in der Informationstechnik eine solche
Registrierung selbst vor, so informiert es sowohl den betreffenden
Betreiber als auch die Bundesnetzagentur darüber und übermittelt die
damit verbundenen Kontaktdaten. Jeder Betreiber hat sicherzustellen,
dass er über die von ihm benannte oder durch die durch das Bundesamt
für Sicherheit in der Informationstechnik festgelegte Kontaktstelle
jederzeit erreichbar ist. Für den Betreiber eines
Energieversorgungsnetzes, der eine besonders wichtige Einrichtung nach
§ 28 Absatz 1 des BSI-Gesetzes oder eine wichtige Einrichtung nach §
28 Absatz 2 des BSI-Gesetzes ist und für Betreiber nach § 5c Absatz 1
Satz 1 Nummer 2 und 3 ist § 33 des BSI-Gesetzes auch mit den in den
Sätzen 2 bis 4 enthaltenen Maßgaben anzuwenden. Das Bundesamt für
Sicherheit in der Informationstechnik übermittelt die durch die
Registrierung der Betreiber nach § 5c Absatz 1 Satz 1 Nummer 1 bis 3
erhaltenen Daten sowie jede Änderung der Registrierungen unverzüglich
an die Bundesnetzagentur. Die Übermittlung von Informationen durch das
Bundesamt für Sicherheit in der Informationstechnik nach § 40 Absatz 3
Nummer 4 Buchstabe a des BSI-Gesetzes erfolgt an diese Kontaktstelle.

(5) Das Bundesamt für Sicherheit in der Informationstechnik hat die
Hinweise oder Informationen nach Absatz 2 und solche Meldungen über
Sicherheitsvorfälle nach § 32 des BSI-Gesetzes, bei denen das
Bundesamt für Sicherheit in der Informationstechnik Kenntnis von einer
Relevanz für die Energieversorgungssicherheit und die Erfüllung der
Zwecke und Ziele nach § 1 erlangt, unverzüglich an die
Bundesnetzagentur weiterzuleiten. Die Bundesnetzagentur führt
unverzüglich eine Bewertung der Auswirkungen des nach Satz 1
übermittelten Sicherheitsvorfalls auf die Energieversorgungssicherheit
durch und übermittelt ihre Ergebnisse an das Bundesamt für Sicherheit
in der Informationstechnik. Die Bundesnetzagentur kann von dem
betroffenen Unternehmen die Herausgabe der zur Bewertung der
Auswirkungen des Sicherheitsvorfalls auf die
Energieversorgungssicherheit notwendigen Informationen, einschließlich
personenbezogener Daten, verlangen. Sie ist befugt, zur Bewertung der
Auswirkungen des Sicherheitsvorfalls auf die
Energieversorgungssicherheit erforderliche personenbezogene Daten zu
erheben, zu speichern und zu verwenden. Das betroffene Unternehmen hat
der Bundesnetzagentur die zur Bewertung der Auswirkungen des
Sicherheitsvorfalls auf die Energieversorgungssicherheit notwendigen
Informationen, einschließlich personenbezogener Daten, zu übermitteln.
Die Bundesnetzagentur kann bei der Durchführung der Bewertung nach
Satz 2 die Betreiber von Übertragungs-, von Fernleitungs- sowie von
Verteilernetzen einbeziehen und ist befugt, ihnen die hierzu
erforderlichen personenbezogenen Daten zu übermitteln. Die Betreiber
von Übertragungs-, von Fernleitungs- sowie von Verteilernetzen sind
befugt, die ihnen nach Satz 5 zum dort genannten Zweck übermittelten
personenbezogenen Daten zu erheben, zu speichern und zu verwenden.
Nach Erstellung der Bewertung sind die hierzu gespeicherten und
verwendeten personenbezogenen Daten von der Bundesnetzagentur und den
Betreibern von Übertragungs-, von Fernleitungs- sowie von
Verteilernetzen unverzüglich zu löschen. Das Bundesamt für Sicherheit
in der Informationstechnik berücksichtigt die Bewertung der
Bundesnetzagentur bei der Erfüllung der Aufgaben nach § 40 Absatz 3
Nummer 2 des BSI-Gesetzes. Das Bundesamt für Sicherheit in der
Informationstechnik und die Bundesnetzagentur haben jeweils
sicherzustellen, dass die unbefugte Offenbarung der ihnen nach Satz 1
zur Kenntnis gelangten Hinweise und Meldungen ausgeschlossen wird.
Zugang zu den Akten des Bundesamtes für Sicherheit in der
Informationstechnik sowie zu den Akten der Bundesnetzagentur in
Angelegenheiten nach § 5c Absatz 1 bis 5 und den Absätzen 1 bis 4
sowie dieses Absatzes wird nicht gewährt. § 29 des
Verwaltungsverfahrensgesetzes bleibt unberührt.

Collections: bundestag_gesetze
EnWG-2005
Level: 3.0