Die Antwort zuerst: Nachweise dürfen nicht erst zur Prüfung entstehen
Das BSI beschreibt für Kritische Infrastrukturen Änderungen durch das NIS-2-Umsetzungsgesetz und das novellierte BSI-Gesetz. Betreiber kritischer Anlagen sind eine Teilmenge besonders wichtiger Einrichtungen; für sie bestehen Registrierungs-, Melde- und Nachweispflichten. Auf der Seite KRITIS in Zahlen wird zudem sichtbar, welche besondere Rolle der Energiesektor spielt: Energieversorgung ist Grundlage vieler anderer kritischer Dienstleistungen, mit registrierten Betreibern und Anlagen in Strom, Gas, Mineralöl und Fernwärme.
Für Stadtwerke ist daraus eine einfache, aber anspruchsvolle Schlussfolgerung abzuleiten: Nachweise dürfen nicht als spätes Prüfungsprodukt verstanden werden. Sie müssen aus dem laufenden Betrieb entstehen. Risikomanagement, Einsatz von Systemen zur Angriffserkennung, Meldewege, Dienstleistersteuerung, Anlagenabgrenzung und Verantwortlichkeiten gehören in einen wiederkehrenden Prozess. Nur dann kann die Organisation im Ereignisfall handeln und im Nachweisfall erklären, was tatsächlich gelebt wird.
Der Energiesektor ist nicht nur ein weiterer Sektor
Die BSI-Darstellung betont die Abhängigkeit anderer KRITIS-Sektoren von Energie. Das ist für kommunale Energieversorger kein abstrakter Satz. Strom, Gas und Fernwärme sind lokal sichtbar, politisch sensibel und betrieblich eng mit Wasser, Telekommunikation, Verkehr, Gesundheit und Verwaltung verbunden. Eine Störung im Energiesektor wird deshalb selten als rein interne IT-Störung wahrgenommen. Sie berührt Versorgungssicherheit, Krisenkommunikation und Vertrauen.
Daraus folgt: Informationssicherheit muss zwischen IT, OT, Netzbetrieb, Leitwarte, Geschäftsführung, Kommunikation, Einkauf und Dienstleistern organisiert sein. Ein isoliertes Sicherheitskonzept reicht nicht aus, wenn im Ernstfall niemand sicher weiß, wer meldet, wer entscheidet, welche Systeme Priorität haben und welche externen Partner einbezogen werden müssen.
Registrierung, Meldeweg und Anlagenabgrenzung gehören zusammen
Die öffentlichen BSI-Informationen weisen auf Registrierung, Meldepflicht und Nachweiserbringung hin. Für die Praxis ist entscheidend, diese Punkte nicht getrennt zu behandeln. Eine Registrierung ist nur belastbar, wenn klar ist, welche Anlagen, Dienste, Rollen und Verantwortlichkeiten gemeint sind. Ein Meldeweg funktioniert nur, wenn er vor dem Vorfall geübt wurde. Ein Nachweis überzeugt nur, wenn die Maßnahmen aus dem realen Betrieb ableitbar sind.
Stadtwerke sollten deshalb eine KRITIS-Betriebsakte aufbauen. Sie enthält keine unnötigen Detailgeheimnisse für die Öffentlichkeit, aber intern eine klare Struktur: betroffene Anlagen und Dienste, verantwortliche Rollen, Ansprechpartner, Meldepfade, Nachweiszyklen, Risikobehandlungen, Dienstleisterbezüge, Übungsnachweise und offene Verbesserungsmaßnahmen. Diese Akte ersetzt nicht die Facharbeit. Sie sorgt dafür, dass die Facharbeit auffindbar, prüfbar und fortschreibbar bleibt.
Angriffserkennung braucht fachliche Anschlussfähigkeit
Systeme zur Angriffserkennung sind kein Selbstzweck. Ihr Wert entsteht erst, wenn technische Hinweise in betriebliche Entscheidungen übersetzt werden. Welche Meldung ist kritisch? Welche Anlage ist betroffen? Welche Abhängigkeit besteht zu Leitwarte, Netzführung, Kundenservice oder Abrechnung? Welche Dienstleister müssen einbezogen werden? Welche Entscheidung kann lokal getroffen werden, welche muss eskaliert werden?
Die technische Sicht muss deshalb mit Fachprozessen verbunden werden. Ein Alarm ohne Kontext erzeugt entweder Überreaktion oder Ignoranz. Ein Alarm mit Anlagenbezug, Betriebsrelevanz, klarer Zuständigkeit und dokumentiertem Eskalationsweg kann handlungsfähig machen. Für Stadtwerke ist das besonders wichtig, weil knappe Personalressourcen und heterogene Systeme häufig zusammenkommen.
Dienstleistersteuerung ist Teil der Nachweisfähigkeit
Viele kommunale Versorger arbeiten mit IT-Dienstleistern, Rechenzentren, Leitsystempartnern, Messstellen-Dienstleistern oder spezialisierten Sicherheitsanbietern. Dadurch verschwindet Verantwortung nicht. Sie verändert ihre Form. Nachweisfähigkeit bedeutet dann auch, Schnittstellen, Leistungsabgrenzungen, Meldepflichten, Kontaktwege und Reaktionszeiten zu kennen.
Ein praktischer Test lautet: Kann die Organisation an einem Montagmorgen ohne Spezialwissen einer Einzelperson erklären, welcher Dienstleister für welchen sicherheitsrelevanten Baustein zuständig ist, wie ein Vorfall gemeldet wird und welche internen Stellen informiert werden müssen? Wenn diese Antwort nicht stabil ist, fehlt keine Hochglanzdokumentation, sondern Prozessreife.
Übungen sind keine Formalie
Eine Betriebsakte bleibt schwach, wenn sie nie gegen die Realität geprüft wird. Kleine Übungen reichen oft aus, um Lücken sichtbar zu machen. Ein Szenario kann lauten: Auffälligkeit in einem energiewirtschaftlich relevanten System, eingeschränkte Erreichbarkeit eines Dienstleisters, unklare Betroffenheit einer Anlage, parallele Rückfragen aus Geschäftsführung und Kundenservice. Die Übung prüft nicht nur Technik, sondern Rollen, Sprache und Geschwindigkeit.
Wichtig ist die Auswertung. Welche Entscheidung dauerte zu lange? Welche Information fehlte? Wo war die Kontaktliste veraltet? Welche Begriffe wurden unterschiedlich verstanden? Die Ergebnisse gehören zurück in die KRITIS-Betriebsakte. So entsteht ein Nachweis, der nicht behauptet, sondern zeigt: Die Organisation lernt aus überprüften Abläufen.
Die Grenze der Einordnung
Diese redaktionelle Betrachtung ersetzt keine konkrete Pflichtprüfung für einzelne Unternehmen. Sie übersetzt öffentliche BSI-Informationen in eine operative Perspektive: Energieversorger sollten KRITIS und NIS-2 nicht als einmaliges Dokumentationsprojekt behandeln. Entscheidend ist ein belastbarer Betriebsprozess, der Registrierung, Meldewege, Risikomanagement, Angriffserkennung, Dienstleistersteuerung und Nachweise regelmäßig zusammenführt.