NIS2 & das Energy Efficiency Act: Der doppelte regulatorische Druck auf Rechenzentren
Jahrelang wurden Rechenzentren hauptsächlich über Bauvorschriften und Energiepreise reguliert. Diese Ära ist vorbei. Zwei Regime greifen den Sektor jetzt gleichzeitig (NIS2 von der Cybersicherheitsseite, das deutsche Energy Efficiency Act (EnEfG) von der Energiesseite) und sie als getrennte Projekte zu behandeln verdoppelt die Kosten beider.
Was NIS2 verlangt
NIS2 listet Rechenzentrumsdienste explizit als kritische digitale Infrastruktur. Betreiber stehen vor Registrierungspflichten, Risikomanagementmaßnahmen entlang der Lieferkette, Meldepflichten bei Vorfällen nach 24h/72h-Takt und, was Vorstände aufmerksam macht, persönlicher Managementverantwortung. Die Verpflichtungen sind ebenso organisatorisch wie technisch: Sie benötigen ein funktionierendes ISMS, eingeübte Reaktionsprozesse und Nachweise, die Sie einem Auditor vorlegen können – nicht nur einen Ordner voller Richtlinien.
Was das EnEfG verlangt
Das EnEfG setzt harte Effizienzanforderungen für Rechenzentren: PUE-Obergrenzen, die sich im Lauf der Zeit verschärfen, Mindestanteile erneuerbarer Elektrizität und, strukturell am herausforderndsten, Konzepte zur Abwärmenutzung. Das sind keine bloßen Berichtspflichten. Das Erreichen einer PUE-Obergrenze kann eine Nachrüstung der Kühlung bedeuten; Abwärmepflichten können neue physische Infrastruktur und Verhandlungen mit Wärmenetzbetreibern erfordern.
Warum sie ein Problem sind
Betrachten Sie, wo die beiden Regime physisch aufeinandertreffen: das Kühlsystem. Es ist gleichzeitig der größte Hebel für die PUE (EnEfG) und Teil der Operational Technology, deren Ausfall oder Kompromittierung ein meldepflichtiger Vorfall ist (NIS2). Die Monitoring-Infrastruktur, die Sie zur Nachweisführung der Energieleistung einsetzen, ist dieselbe Sensor- und Telemetrieebene, die Ihr Sicherheitsteam schützen muss und für die Anomalieerkennung nutzen kann. Ein geothermischer Kühlkreislauf, der Ihr EnEfG-Problem löst, ist OT, das am Tag seiner Inbetriebnahme in Ihren NIS2-Geltungsbereich fällt.
Organisationen, die zwei voneinander getrennte Compliance-Projekte betreiben, kaufen dasselbe Asset-Inventar zweimal, instrumentieren dieselben Systeme zweimal und erstellen zwei Dokumentationssätze, die bei einer Prüfung widersprüchlich sind. Organisationen, die Effizienz und Sicherheit als ein technisches Problem mit zwei Berichtsausgängen behandeln, geben deutlich weniger aus und erhalten eine Infrastrukturkarte, die tatsächlich stimmt.
Was das für Investoren bedeutet
Wenn Sie ein Rechenzentrum kaufen, sind beide Regime Due-Diligence‑Fragestellungen mit Preisfolgen. NIS2-Readiness-Lücken bedeuten Ausgaben nach dem Closing für Sicherheitsorganisation und Monitoring. EnEfG-Lücken können Kapitalmaßnahmen bedeuten: Kühlungsupgrades, Beschaffung erneuerbarer Energien, Errichtung von Wärmeabnahmeanschlüssen. Und die beiden interagieren: Eine Kühlungsnachrüstung verändert die OT-Landschaft; ein Abwärmeanschluss schafft eine neue externe Schnittstelle, die zu sichern ist. Eine regulatorische Due Diligence, die ein einziges, quantifiziertes Bereitschaftsbild über beide Regime liefert, gehört ins Finanzmodell, nicht in einen rechtlichen Anhang.
Wo Sie anfangen sollten
Eine kombinierte Bewertung: Geltungsbereichsbestimmung nach beiden Gesetzen, ein gemeinsames Asset- und OT-Inventar, eine Gap‑Analyse, die Überschneidungen kennzeichnet, und ein Maßnahmenfahrplan, geordnet nach Fristen und Kosteninteraktionen. Nach unserer Erfahrung ist der Überschneidungsbereich (Kühlung, Monitoring, Abwärme) der Punkt, an dem sich das Budget entweder verdoppelt oder halbiert – je nachdem, ob jemand beide Gesetze gleichzeitig betrachtet hat.