Sicherheit beginnt bei Zuordnung
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt für Betreiber kritischer Anlagen weiterhin Pflichten wie Registrierung, Meldung erheblicher Sicherheitsvorfälle, technische und organisatorische Maßnahmen sowie Nachweise. Zugleich zeigt die öffentliche KRITIS-Statistik, dass im Sektor Energie zahlreiche Betreiber und Anlagen registriert sind. Für Stadtwerke ist daran nicht nur die Zahl interessant, sondern die Struktur dahinter. Jede registrierte Anlage steht in Fachprozessen, Dienstleisterbeziehungen, Leittechnik, Kommunikation, Meldewegen und Verantwortlichkeiten.
Genau hier entsteht eine Datenaufgabe. Sicherheitsnachweise werden oft in IT-Sicherheitsmanagement, Auditordnern oder Projektablagen geführt. Anlageninformationen liegen dagegen im technischen Assetmanagement, in GIS-Systemen, im Netzbetrieb, im Messwesen oder in kaufmännischen Systemen. Prozesswissen sitzt in Köpfen und Arbeitsanweisungen. Wenn diese Ebenen nicht verbunden sind, wird jede Nachweisrunde mühsam und jede Störungslage langsamer.
KRITIS ist kein isoliertes Register
Die öffentliche BSI-Kommunikation macht deutlich, dass Betreiber kritischer Anlagen nicht nur abstrakte Einrichtungen sind. Sie müssen Kontaktstellen benennen, Vorfälle melden, Maßnahmen treffen und Nachweise führen. Das klingt formal, ist aber im Alltag sehr konkret. Welche Anlage fällt unter welche Einstufung? Welche Dienstleistung hängt daran? Welche Systeme sind für Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit relevant? Welche Dienstleister haben Zugriff? Welche Person oder Rolle ist rund um die Uhr erreichbar?
Wenn diese Fragen erst im Audit oder im Ereignisfall zusammengesucht werden, entsteht Organisationsrisiko. Ein Stadtwerk sollte deshalb nicht nur wissen, dass es eine KRITIS- oder NIS-2-Pflicht gibt. Es sollte eine gepflegte Zuordnung besitzen: Anlage, kritische Dienstleistung, unterstützende IT- und OT-Systeme, Fachprozess, Ansprechpartner, Meldeweg, Nachweisdokument, Aktualitätsdatum und offene Lücke.
Datenqualität wird zur Sicherheitsmaßnahme
In vielen Häusern wird Datenqualität noch als Thema für Messwerte, Stammdaten oder Abrechnung verstanden. Für KRITIS und NIS-2 ist Datenqualität selbst eine Sicherheitsmaßnahme. Ein falscher Ansprechpartner, ein veralteter Dienstleisterkontakt oder eine unklare Systemzuordnung kann im Ereignisfall genauso problematisch sein wie eine technische Schwachstelle.
Das bedeutet nicht, dass jedes Stadtwerk sofort eine neue Plattform braucht. Entscheidend ist zunächst ein gemeinsames Mindestmodell. Welche Objekte werden geführt? Welche Pflichtfelder sind wirklich erforderlich? Wer darf sie ändern? Wie wird Aktualität nachgewiesen? Wann wird ein Eintrag überprüft? Und wie werden Änderungen aus Projekten, Lieferantenwechseln oder Anlagenumbauten in die Sicherheitsakte übernommen?
Die 24/7-Kontaktstelle ist nur der sichtbare Teil
Eine erreichbare Kontaktstelle klingt einfach. Operativ hängt daran aber ein ganzer Prozess. Die Kontaktstelle muss wissen, welche Meldung wohin gehört, wer intern einzubinden ist, welche Schwellenwerte gelten, welche Informationen noch fehlen und welche Kommunikation nach außen zulässig ist. Sie braucht also nicht nur eine Telefonnummer, sondern eine Fallakte.
Diese Fallakte sollte PII-sparsam und zweckgebunden sein. Es geht nicht darum, möglichst viele personenbezogene Daten zu sammeln, sondern um robuste Rollen. Vertretungen, Bereitschaften, Eskalationsstufen und Dienstleisterkontakte können so geführt werden, dass sie aktuell, nachvollziehbar und im Notfall verwendbar sind. Gleichzeitig muss klar bleiben, welche Detailbewertung durch Fachleute erfolgt und welche nur eine operative Erstmeldung ist.
Anlagenregister und Prozessregister verbinden
Der praktische Hebel liegt in der Verbindung von Anlagen- und Prozessregistern. Eine Anlage ist nicht nur ein technisches Objekt. Sie erbringt eine Dienstleistung, nutzt Systeme, erzeugt Daten, hat Schnittstellen und hängt an Personenrollen. Ein Prozess ist nicht nur eine Ablaufbeschreibung. Er braucht Anlagen, Systeme, Daten und Entscheidungen.
Stadtwerke können dafür mit einer Matrix beginnen. Zeilen sind kritische Anlagen oder relevante Dienste. Spalten sind Fachprozess, System, Dienstleister, Kontaktstelle, Nachweis, letzter Test, offene Maßnahme und nächster Prüftermin. Diese Matrix ersetzt kein Informationssicherheitsmanagement. Sie macht aber sichtbar, ob die Fachorganisation auskunftsfähig ist.
Von der Prüfung zur laufenden Pflege
Viele Nachweissysteme werden rund um Prüftermine gepflegt. Das führt zu zyklischer Hektik. Besser ist ein Betriebsregelkreis: Änderungen an Anlagen, Systemen, Dienstleistern oder Prozessen lösen automatisch die Frage aus, ob die Sicherheitsakte angepasst werden muss. Wird ein Leitsystem erweitert, ein Dienstleister gewechselt oder ein Meldeweg verändert, gehört das nicht nur ins Projektprotokoll, sondern auch in die Nachweisstruktur.
Dieser Regelkreis muss klein genug sein, um gelebt zu werden. Ein monatlicher Datenqualitätscheck für kritische Einträge kann mehr bewirken als ein großer jährlicher Aufräumtag. Wichtig ist, dass Abweichungen nicht als Schuldfrage behandelt werden. Sie sind ein Steuerungssignal: Hier fehlt eine Zuordnung, hier ist ein Kontakt veraltet, hier wurde ein Prozess nicht nachgezogen.
Führung braucht ein Lagebild, keine Aktenberge
Die Geschäftsführung oder Bereichsleitung braucht keine Liste aller technischen Details. Sie braucht ein Lagebild: Welche kritischen Dienste sind geführt? Welche Nachweise sind aktuell? Welche offenen Lücken haben Betriebsrelevanz? Welche Dienstleisterabhängigkeiten bestehen? Welche Tests oder Übungen fehlen?
Wenn Stadtwerke KRITIS-Zahlen und BSI-Pflichten so lesen, entsteht ein klarer Auftrag: Sicherheitsfähigkeit ist auch Datenfähigkeit. Wer Anlagen, Prozesse und Nachweise zusammenführt, reduziert Reibung in Prüfungen und gewinnt Zeit in Störungen. Das ist kein Produktversprechen, sondern eine nüchterne Betriebslogik für eine Energieversorgung, deren digitale Abhängigkeiten weiter wachsen.