Vom Projekt zur Routine
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt in seiner #nis2know-Roadmap zentrale Phasen der NIS-2-Umsetzung: Analyse und Grundsatzklärung, Organisation und Verantwortung, Analyse des Ist-Zustands und Risikobewertung, Ressourcen und Umsetzungsvorbereitung, Umsetzung von Kernmaßnahmen sowie Verstetigung und kontinuierliche Verbesserung. Diese Struktur ist für Stadtwerke hilfreich, weil sie Cybersicherheit nicht als einmalige Dokumentation versteht. Sie beschreibt einen Weg, der von der Klärung der Betroffenheit bis zur dauerhaften Betriebsroutine reicht.
Gerade in Stadtwerken ist dieser Perspektivwechsel wichtig. Energieversorgung, Netzbetrieb, Messwesen, Kundenservice, Marktkommunikation, Abrechnung und IT/OT-Betrieb greifen ineinander. Ein Sicherheitskonzept, das nur in der IT-Abteilung gepflegt wird, bleibt zu schmal. NIS-2 wird im Alltag erst dann wirksam, wenn Verantwortlichkeiten, Risiken und Maßnahmen an den fachlichen Prozessen gespiegelt werden. Die Roadmap kann dafür als Taktgeber dienen: nicht als starre Checkliste, sondern als Zyklus, der immer wieder durchlaufen wird.
Verantwortung muss fachlich anschlussfähig sein
Die Phase Organisation und Verantwortung ist mehr als die Benennung einer verantwortlichen Person. In einem Stadtwerk muss klar sein, wer fachlich bewerten kann, ob ein Vorfall Auswirkungen auf Versorgung, Marktkommunikation, Kundenprozesse oder kritische Betriebsführung hat. IT kann technische Signale sehen, aber nicht jede fachliche Wirkung allein einordnen. Umgekehrt kennen Fachbereiche ihre Prozesse, aber nicht immer die Sicherheitsimplikationen von Systemausfällen, Schnittstellen oder Berechtigungen.
Deshalb sollte Verantwortung als Rollenbild beschrieben werden. Wer entscheidet in einer Störung? Wer liefert fachliche Lageinformationen? Wer kommuniziert mit Dienstleistern? Wer dokumentiert Entscheidungen? Wer hält Geschäftsführung und Krisenstab informiert? Diese Fragen sollten nicht erst bei einem Sicherheitsvorfall gestellt werden. Sie gehören in Übungen, Übergaben und Bereitschaftslogiken. Eine NIS-2-Routine ist belastbar, wenn sie auch an Wochenenden, bei Urlaub, Dienstleisterwechsel oder parallelen technischen Problemen funktioniert.
Risikoanalyse braucht Prozesssicht
Viele Sicherheitsbewertungen beginnen bei Systemen: Server, Anwendungen, Netzwerke, Identitäten, Schnittstellen. Das ist notwendig, reicht aber im Stadtwerk nicht aus. Entscheidend ist, welche fachlichen Prozesse von diesen Systemen abhängen und wie schnell ein Ausfall kritisch wird. Ein Kundenportal kann reputationsrelevant sein, ein Leitsystem betriebskritisch, eine Marktkommunikationsschnittstelle fristenrelevant, ein Abrechnungssystem finanziell sensibel. Die gleiche technische Schwachstelle kann je nach Prozess unterschiedliche Priorität haben.
Eine gute Risikoanalyse verbindet deshalb technische Assets mit Prozesswirkungen. Welche Systeme unterstützen welche Marktrollen? Welche Datenflüsse sind für Lieferantenwechsel, Messwerte, Abrechnung oder Redispatch relevant? Welche Dienstleister haben Zugriff? Welche manuellen Ersatzwege existieren? Welche Nachweise entstehen automatisch, welche müssen im Störfall aktiv geführt werden? Diese Prozesssicht macht Sicherheitsarbeit entscheidungsfähig. Sie hilft, Maßnahmen zu priorisieren, ohne jedes Risiko gleich zu behandeln.
Kernmaßnahmen müssen überprüfbar werden
Die Umsetzung von Sicherheitsmaßnahmen wird oft als Liste beschrieben: Berechtigungen, Multi-Faktor-Authentisierung, Patch-Management, Backup, Protokollierung, Dienstleistersteuerung, Schulung, Notfallkonzepte. Entscheidend ist aber, ob diese Maßnahmen überprüfbar sind. Ein Backup ist erst dann belastbar, wenn Wiederherstellung getestet wurde. Eine Berechtigungsrichtlinie ist erst dann wirksam, wenn Rollen regelmäßig geprüft und Abweichungen korrigiert werden. Eine Dienstleistervereinbarung hilft nur, wenn Meldewege und Verantwortlichkeiten im Ernstfall bekannt sind.
Stadtwerke sollten Maßnahmen daher mit Prüfereignissen verbinden. Wann wurde zuletzt ein Wiederanlauf getestet? Welche kritischen Berechtigungen wurden geprüft? Welche Schnittstellen sind dokumentiert? Welche Fachbereiche haben an einer Übung teilgenommen? Welche Findings wurden geschlossen? So entsteht aus Sicherheitsarbeit ein Verbesserungszyklus. Er produziert nicht nur Nachweise, sondern Erkenntnisse für den Betrieb.
Automatisierung braucht Grenzen
Automatisierung kann in NIS-2-Prozessen helfen: Erinnerungen an Review-Termine, Assetlisten, Schwachstellenmeldungen, Ticketketten, Log-Auswertungen oder Nachweisablagen. Sie darf aber nicht den Eindruck erzeugen, dass Sicherheit vollständig automatisierbar wäre. Besonders in Energieunternehmen bleiben fachliche Entscheidungen notwendig. Ein Tool kann melden, dass ein System nicht erreichbar ist. Es entscheidet aber nicht allein, ob daraus ein meldepflichtiger Vorfall, ein Kundenrisiko oder eine interne Störung wird.
Sinnvoll ist Automatisierung dort, wo sie Routine stabilisiert und Fehler reduziert. Sie sollte Quellen, Zeitpunkte und Verantwortlichkeiten sichtbar machen. Sie sollte Eskalationen unterstützen, aber nicht verdecken. Gerade bei KI-gestützten Auswertungen braucht es klare Grenzen: keine ungeprüften rechtlichen Bewertungen, keine automatischen Außenmeldungen, keine Übernahme sensibler Betriebsdaten in ungeklärte Systeme. Der Nutzen liegt in besserer Vorbereitung, nicht in blindem Autopiloten.
Kontinuierliche Verbesserung ist Führungsarbeit
Die letzte Phase der BSI-Roadmap, Verstetigung und kontinuierliche Verbesserung, ist für Stadtwerke vielleicht die wichtigste. Sie verhindert, dass NIS-2 als abgeschlossenes Projekt abgelegt wird. Sicherheitslage, Systemlandschaft, Dienstleister, Marktkommunikation und regulatorische Erwartungen verändern sich. Deshalb muss die Organisation regelmäßig lernen: aus Übungen, echten Störungen, Audits, Schwachstellen, neuen Schnittstellen und geänderten Prozessen.
Ein pragmatischer Rhythmus kann mit wenigen Kennzahlen beginnen: offene kritische Findings, durchgeführte Übungen, geprüfte Berechtigungen, getestete Wiederherstellungen, aktualisierte Prozessabhängigkeiten und nachverfolgte Dienstleisterpunkte. Diese Kennzahlen sind keine öffentliche Leistungsschau. Sie dienen der Führung. Sie zeigen, ob Cybersicherheit im Alltag ankommt oder nur dokumentiert ist.
Die Roadmap als Betriebsrhythmus lesen
Für Stadtwerke liegt der Wert der BSI-Roadmap nicht darin, jedes Kapitel einmal abzuhaken. Der Wert liegt darin, die Phasen als wiederkehrenden Betriebsrhythmus zu lesen. Erst klären, dann Rollen ordnen, Risiken mit Prozessen verbinden, Ressourcen sichern, Maßnahmen umsetzen und regelmäßig verbessern. Dieser Zyklus passt zur Realität kommunaler Energieunternehmen, in denen Sicherheit, Versorgung, Kundenservice und Marktprozesse gemeinsam funktionieren müssen.
Wer NIS-2 so führt, gewinnt mehr als Compliance-Unterlagen. Er gewinnt ein klareres Bild darüber, welche Prozesse kritisch sind, welche Maßnahmen wirken und welche Lücken als Nächstes geschlossen werden müssen. Cybersicherheit wird dadurch nicht einfacher, aber entscheidungsfähiger. Genau das braucht ein Stadtwerk, das digitaler, vernetzter und gleichzeitig resilienter werden muss.