KRITIS nach NIS-2 als Rollenmodell: Warum Energieversorger Kontaktstellen und Nachweise prozessfest machen müssen

Aus Pflichten werden Betriebsrollen

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt für Betreiber kritischer Anlagen eine Reihe von Pflichten, die nach der Weiterentwicklung des BSI-Gesetzes im Kern bestehen bleiben und zugleich neu eingeordnet werden. Betreiber müssen sich registrieren, erhebliche Sicherheitsvorfälle melden, technische und organisatorische Maßnahmen ergreifen und dies nachweisen. Für Betreiber kritischer Anlagen kommt die jederzeit erreichbare Kontaktstelle hinzu; außerdem verweist das BSI auf die Einordnung als besonders wichtige Einrichtungen und auf die Registrierung im BSI-Portal.

Für Stadtwerke und kommunale Energieversorger ist daran nicht nur die juristische Einordnung relevant. Entscheidend ist die betriebliche Übersetzung. Jede Pflicht erzeugt Rollen, Daten, Fristen, Zuständigkeiten und Nachweise. Wenn diese Elemente in getrennten Ablagen liegen, entsteht im Alltag eine Lücke: Die Organisation weiß formal, dass sie Pflichten hat, kann aber im Ereignisfall nicht schnell genug zeigen, wer handelt, welche Anlage betroffen ist, welche Dienstleistung kritisch ist und welcher Nachweis zuletzt aktuell war.

KRITIS und NIS-2 sollten deshalb nicht als Sonderthema einer Sicherheitsabteilung behandelt werden. Sie bilden ein Rollenmodell für den gesamten Versorgungsbetrieb. Netzbetrieb, IT, OT, Leitstelle, Messwesen, Kundenservice, Geschäftsführung, Dienstleistersteuerung und Kommunikation sind jeweils unterschiedlich betroffen. Wer diese Rollen nicht vorab klärt, verschiebt die Klärung in den schlechtesten Zeitpunkt: die Störung.

Die 24/7-Kontaktstelle ist ein Prozessversprechen

Eine jederzeit erreichbare Kontaktstelle klingt zunächst wie ein Eintrag in einem Portal. Operativ ist sie mehr. Sie ist ein Prozessversprechen gegenüber einer Behörde und gegenüber der eigenen Organisation. Eine Kontaktstelle muss nicht nur erreichbar sein, sondern eingehende Informationen einordnen, intern eskalieren und die richtigen Rollen aktivieren können.

Dafür braucht es eine Kette: Wer nimmt Meldungen entgegen? Welche Vertretungen gelten nachts, am Wochenende und in Urlaubszeiten? Welche Informationen dürfen oder müssen weitergegeben werden? Welche Systeme liefern ein aktuelles Lagebild? Welche Dienstleister sind einzubinden? Wer entscheidet über Priorisierung? Wer dokumentiert den Verlauf?

Stadtwerke sollten diese Fragen nicht in einer umfangreichen Richtlinie verstecken. Nützlich ist eine kurze Kontaktstellenakte mit Rollen, Rufbereitschaften, Vertretungen, Kommunikationswegen, Eskalationsstufen und Übungsterminen. Diese Akte muss regelmäßig geprüft werden, weil Personalwechsel, Dienstleisterwechsel und Systemänderungen die Erreichbarkeit schnell entwerten.

Nachweise entstehen nicht im Audit

Das BSI verweist auf Nachweise über die Umsetzung von Maßnahmen. In vielen Organisationen werden Nachweise erst dann zusammengezogen, wenn ein Prüfungstermin näher rückt. Dieses Vorgehen erzeugt Stress und begünstigt Lücken. Besser ist eine laufende Nachweismatrix, die Fachprozesse und Anlagen verbindet.

Eine solche Matrix beantwortet einfache Fragen: Welche kritische Anlage oder welcher kritische Dienst ist betroffen? Welche Systeme und Dienstleister unterstützen ihn? Welche Risikomanagementmaßnahmen gelten? Wann wurde die Maßnahme zuletzt geprüft? Welche Abweichung ist offen? Wer besitzt die fachliche Verantwortung? Wo liegt die Evidenz?

Der Wert entsteht durch Verknüpfung. Ein Sicherheitskonzept ohne Anlagenbezug bleibt abstrakt. Eine Anlagenliste ohne Prozessbezug bleibt technisch. Ein Dienstleistervertrag ohne Nachweisbezug bleibt kaufmännisch. Erst wenn diese Ebenen zusammengeführt werden, kann das Stadtwerk in einer Prüfung oder Störung zeigen, dass Sicherheitsmaßnahmen nicht nur beschrieben, sondern betrieben werden.

Energieversorgung braucht eine gemeinsame Sprache

Im Energiesektor treffen sehr unterschiedliche Fachsprachen aufeinander. Die Leitstelle spricht über Schalthandlungen, Verfügbarkeit und Netzsituationen. IT spricht über Systeme, Identitäten und Protokolle. Regulierungsmanagement spricht über Pflichten und Fristen. Geschäftsführung fragt nach Verantwortung und Risiko. Kundenservice benötigt erklärbare Aussagen, ohne operative Details preiszugeben.

KRITIS- und NIS-2-Organisation gelingt nur, wenn diese Sprachen verbunden werden. Dafür eignet sich ein gemeinsames Vokabular aus kritischer Dienstleistung, Anlage, Fachprozess, unterstützendem System, Dienstleister, Kontaktstelle, Nachweis und offener Maßnahme. Dieses Vokabular sollte in Besprechungen, Registern und Lagebildern gleich verwendet werden.

Die Alternative ist eine gefährliche Übersetzungskette. Jede Abteilung führt eigene Begriffe, und im Ereignisfall muss erst geklärt werden, ob dasselbe gemeint ist. Gerade bei kritischen Anlagen ist diese Verzögerung unnötig. Ein Rollenmodell schafft keine absolute Sicherheit, aber es verkürzt Wege und verhindert Missverständnisse.

Übung ist Teil der Nachweisfähigkeit

Eine Pflicht ist erst dann betrieblich verstanden, wenn sie geübt wurde. Das gilt besonders für Melde- und Eskalationsprozesse. Stadtwerke sollten regelmäßig kleine Szenarien durchführen: Ausfall eines unterstützenden Systems, Verdacht auf Sicherheitsvorfall, Dienstleister nicht erreichbar, unklare Anlagenzuordnung, parallele Störung im Netzbetrieb.

Diese Übungen müssen nicht groß sein. Wichtig ist, dass sie die Schnittstellen testen. Erreicht die Kontaktstelle die richtigen Personen? Liegt die aktuelle Anlagen- und Dienstleisterzuordnung vor? Gibt es ein Entscheidungsschema für Meldungen? Wird dokumentiert, wer wann was entschieden hat? Entsteht aus der Übung eine konkrete Verbesserungsmaßnahme?

So wird Übung selbst zum Nachweis. Sie zeigt, dass der Prozess nicht nur auf Papier existiert, sondern in der Organisation verankert ist. Gleichzeitig deckt sie Lücken auf, bevor diese in einer echten Lage sichtbar werden.

Führung muss die Prozessfähigkeit sehen

Für die Geschäftsführung eines Stadtwerks reicht es nicht, den Status „KRITIS bearbeitet“ zu hören. Aussagekräftiger sind wenige Prozesskennzahlen: Ist die Kontaktstellenakte aktuell? Sind kritische Dienste und Anlagen vollständig zugeordnet? Gibt es offene Maßnahmen mit Verantwortlichen? Wurde der Meldeprozess geübt? Sind Dienstleister in die Nachweismatrix eingebunden? Gibt es ein Lagebild über Änderungen seit der letzten Prüfung?

Diese Fragen sind unbequem, aber sie machen Sicherheitsorganisation führbar. KRITIS nach NIS-2 ist kein isoliertes Compliance-Paket. Es ist ein Betriebssystem für Verantwortung, Erreichbarkeit und Nachweisfähigkeit. Energieversorger, die daraus ein klares Rollenmodell machen, gewinnen nicht nur Prüfungssicherheit. Sie erhöhen die Fähigkeit, in einer unübersichtlichen Lage handlungsfähig zu bleiben.