KRITIS im Stadtwerk: Warum Sicherheitsanforderungen in Fachprozesse übersetzt werden müssen

Die Antwort zuerst: KRITIS ist im Stadtwerk keine reine Sicherheitsabteilungssache. Anforderungen an Resilienz, Informationssicherheit und kritische Dienstleistungen werden erst dann wirksam, wenn sie in die Fachprozesse übersetzt sind, die Versorgung tatsächlich tragen. Öffentliche Brancheneinordnungen von VKU und BDEW zeigen, wie stark Energiewirtschaft, Infrastruktur und Sicherheitsanforderungen miteinander verwoben sind. Für Stadtwerke folgt daraus: Der Audit-Ordner ist wichtig, aber er ersetzt keine geübte Prozessfähigkeit.

Viele Häuser kennen die formale Seite gut. Es gibt Richtlinien, Verantwortlichkeiten, technische Schutzmaßnahmen, Dienstleisterverträge und Nachweise. Schwieriger ist die operative Frage: Was passiert im konkreten Prozess, wenn ein System ausfällt, ein Dienstleister nicht erreichbar ist, eine Datenlieferung unplausibel wird oder eine Meldung eskaliert werden muss? KRITIS-Fähigkeit zeigt sich nicht im abstrakten Bekenntnis zur Sicherheit, sondern an den Übergängen zwischen IT, Netzbetrieb, Marktkommunikation, Kundenservice, Einkauf, Recht und Geschäftsführung.

Sicherheitsanforderung ist noch kein Arbeitsablauf

Eine Anforderung kann klar formuliert sein und trotzdem im Alltag unscharf bleiben. Wer prüft sie? In welchem System wird der Nachweis geführt? Welche Frist gilt? Welche Vertretung greift? Welche fachliche Auswirkung hat ein technischer Befund? Wer darf gegenüber Externen sprechen? Solange diese Fragen nicht am Prozess hängen, entsteht eine Lücke zwischen Compliance und Betrieb.

Stadtwerke sollten deshalb nicht nur Kontrollen katalogisieren, sondern Prozessakten anlegen. Eine Prozessakte beschreibt für einen kritischen Ablauf die beteiligten Rollen, Systeme, Datenquellen, Dienstleister, Eskalationspunkte und Nachweise. Sie beantwortet nicht jede technische Detailfrage, aber sie macht sichtbar, wie Sicherheit praktisch handlungsfähig wird. Für Marktkommunikation sieht diese Akte anders aus als für Netzleitstelle, Messwesen, Abrechnung oder Kundenservice. Genau diese Fachlichkeit ist entscheidend.

Der gefährliche Satz lautet: Das steht in der Richtlinie

Richtlinien sind notwendig, aber sie handeln nicht. In einer angespannten Lage hilft der Verweis auf ein Dokument nur, wenn die betroffenen Teams wissen, welche konkrete Handlung daraus folgt. Wer muss informiert werden? Welche Entscheidung darf im Fachbereich getroffen werden? Wann muss die Geschäftsführung einbezogen werden? Welche Meldung ist vorbereitet, welche nicht? Welche Daten dürfen genutzt werden?

Der bessere Satz lautet: Das ist in unserem Prozess geübt. Übungen müssen nicht immer groß sein. Auch Tischübungen, Rollenchecks oder kurze Fallbesprechungen können helfen. Ein Beispiel: Eine unplausible Datenlieferung trifft auf ein gleichzeitig gestörtes Ticketsystem. Wer erkennt, dass dies nicht nur ein IT-Fall ist, sondern Abrechnung, Marktpartnerkommunikation und Kundenservice berühren kann? Eine solche Übung prüft Übergänge, nicht nur Technik.

Dienstleister gehören in die Nachweiskette

Stadtwerke arbeiten mit IT-Dienstleistern, Rechenzentren, Messdienstleistern, Plattformen, Beratern und spezialisierten Betriebsführern. Aus Sicherheitssicht reicht es nicht, Verantwortlichkeit vertraglich zu beschreiben. Im Fachprozess muss klar sein, welche Dienstleisterrolle an welcher Stelle kritisch ist, wie Ausfallinformationen fließen und welche Ersatzwege bestehen.

Besonders heikel sind diffuse Abhängigkeiten. Wenn mehrere Systeme von demselben Dienstleister abhängen, kann ein Ausfall mehr Prozesse treffen, als die einzelne Fachabteilung sieht. Eine Prozessakte sollte deshalb Abhängigkeiten nicht nur vertikal, sondern quer darstellen: Welche Daten, Zugänge, Schnittstellen und Freigaben sind gemeinsam? Welche alternative Arbeitsweise ist für die ersten Stunden realistisch? Welche Entscheidung darf nicht automatisiert aus einem unvollständigen technischen Signal abgeleitet werden?

Nachweise brauchen Aktualität und Aussagegrenze

Ein Nachweis ist nur dann wertvoll, wenn sein Datum, seine Quelle und seine Aussagegrenze klar sind. Ein Test aus dem Vorjahr kann wichtig sein, beantwortet aber nicht jede heutige Frage. Eine Dienstleisterbestätigung kann eine technische Kontrolle belegen, aber nicht zwingend die fachliche Notfallfähigkeit des Stadtwerks. Eine interne Checkliste kann vollständig sein, aber ohne Übung unbewiesen bleiben.

Deshalb sollten Nachweise als lebende Matrix geführt werden. Jede Zeile enthält Anforderung, Prozessbezug, Nachweisart, Verantwortlichkeit, Aktualität, nächstes Review und bekannte Lücken. So wird sichtbar, ob Compliance nur dokumentiert oder im Betrieb verankert ist. Diese Transparenz schützt auch Führungskräfte: Sie sehen nicht nur grüne Haken, sondern offene Risiken und Entscheidungsbedarf.

KRITIS-Reife ist eine Organisationsfrage

Technische Sicherheit bleibt unverzichtbar. Doch im Stadtwerk entscheidet die Organisation, ob technische Befunde richtig verarbeitet werden. KRITIS-Reife bedeutet, dass Fachbereiche Sicherheitsanforderungen verstehen, ohne selbst Sicherheitsexperten werden zu müssen. Sie kennen ihre kritischen Daten, ihre Abhängigkeiten, ihre Eskalationswege und ihre Nicht-Ziele. Sie wissen, wann ein Vorgang im Normalprozess bleibt und wann ein besonderer Sicherheits- oder Krisenprozess beginnt.

Der Nutzen ist doppelt. Erstens wird die Versorgung robuster, weil Abhängigkeiten und Übergänge sichtbar sind. Zweitens wird Regulierung handhabbarer, weil Nachweise nicht nachträglich gesucht werden müssen. Für Stadtwerke ist das die eigentliche Übersetzung von KRITIS: vom abstrakten Schutzauftrag zur prüfbaren Fachprozessfähigkeit.