Artikel 21 NIS-2 verlangt „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“ auf Basis eines gefahrenübergreifenden Ansatzes, der auch die physische Umwelt der Netz- und Informationssysteme schützt. Einen Katalog physischer Maßnahmen für Umspannwerke enthält NIS-2 nicht.
Der einschlägige Katalog steht in § 13 KRITIS-Dachgesetz: Liegenschaftsabgrenzungen und hemmende Fassadenelemente, Instrumente und Verfahren für die Überwachung der Umgebung, Detektionsgeräte und Zugangskontrollen. Was ein konkreter Standort davon braucht, ergibt die Risikoanalyse nach § 12 – im Bedarfsfall, mindestens aber alle vier Jahre.