KRITIS ist konkreter als viele Organigramme
Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht mit KRITIS in Zahlen grundlegende Statistiken zu Kritischen Infrastrukturen. Besonders wichtig ist die Unterscheidung zwischen Betreibern und Anlagen. Zum Stichtag 30. Juni 2026 nennt das BSI insgesamt 1.231 Betreiber und 2.180 kritische Anlagen. Für den Sektor Energie weist die Übersicht 339 Betreiber und 552 Anlagen aus. Diese Zahlen sind keine bloße Statistik. Sie erinnern daran, dass Resilienz nicht an einer abstrakten Unternehmensbezeichnung hängt, sondern an konkreten Anlagen, Diensten, Standorten, Verantwortlichen und Abhängigkeiten.
Stadtwerke sollten diese Unterscheidung ernst nehmen. Ein kommunaler Versorger ist häufig Mehrspartenunternehmen. Stromverteilung, Gasverteilung, Fernwärme, Wasser, Erzeugung, Handel, Bäder, Telekommunikation oder Mobilität können in unterschiedlichen Gesellschaften, Betriebsführungen oder Dienstleisterketten liegen. Wer nur fragt, ob das Unternehmen KRITIS ist, übersieht schnell die operativen Details. Entscheidend ist, welche Anlage welche kritische Dienstleistung unterstützt, wer dafür verantwortlich ist und welche Melde- und Nachweispflichten daran hängen.
Die Anlagenkarte ist der Anfang
Eine belastbare Resilienzroutine beginnt mit einer Anlagenkarte. Sie muss nicht öffentlich sein und sollte keine sicherheitskritischen Details unnötig verbreiten. Intern muss sie aber so klar sein, dass Geschäftsführung, Netzbetrieb, IT, Informationssicherheit, Recht, Einkauf und Krisenstab dieselbe Grundlage nutzen. Dazu gehören die betroffenen Anlagen, ihre kritische Dienstleistung, zuständige Organisationseinheit, technische Betreiberrolle, Dienstleisterabhängigkeiten, Kommunikationswege und Nachweisstatus.
Diese Karte ist mehr als eine Inventarliste. Sie beantwortet Führungsfragen. Welche Anlage hätte bei Störung die größte Wirkung auf die kommunale Versorgung? Welche Systeme hängen daran? Welche Dienstleister müssten in den ersten Stunden erreichbar sein? Welche Meldung wäre vorzubereiten? Welche Ersatzverfahren sind geübt und welche existieren nur auf Papier? Ohne eine solche Karte bleibt Resilienz eine Sammlung guter Absichten.
Energie hat eine besondere Abhängigkeit
Das BSI beschreibt die Energieversorgung als Sektor mit herausragender Bedeutung, weil andere Sektoren von ihr abhängen. Für Stadtwerke ist diese Aussage praktisch. Strom, Gas, Kraftstoff- und Heizölversorgung sowie Fernwärme werden als Bereiche kritischer Dienstleistungen genannt. Vor Ort verschränken sich diese Bereiche mit Wasser, Abwasser, Krankenhäusern, Verwaltung, Verkehr und Telekommunikation. Ein Ausfall ist deshalb selten isoliert.
Resilienzplanung sollte diese Abhängigkeiten sichtbar machen, ohne Katastrophenszenarien unnötig aufzublähen. Es geht nicht um Dramatisierung, sondern um Priorisierung. Welche kommunalen Partner brauchen bei einer Störung zuerst Informationen? Welche Schnittstelle zur Kommune ist verbindlich? Welche Lagebilder können schnell erstellt werden, ohne operative Teams mit Sonderabfragen zu überlasten? Welche Informationen dürfen extern geteilt werden und welche bleiben im Sicherheitskreis?
Rollenbilder verhindern Ad-hoc-Management
Viele Organisationen besitzen Notfallhandbücher, aber nicht immer ein geübtes Rollenbild. Im Ereignisfall reicht es nicht, dass irgendwo ein Meldeweg beschrieben ist. Es muss klar sein, wer bewertet, wer entscheidet, wer kommuniziert, wer dokumentiert und wer technische Maßnahmen freigibt. Gerade in Mehrsparten-Stadtwerken überschneiden sich Linienorganisation, Bereitschaftsdienst, Geschäftsführung und Dienstleistersteuerung.
Ein gutes Rollenbild ist knapp. Es benennt Primär- und Stellvertretungsrollen, Erreichbarkeiten, Schwellen für Eskalation, Dokumentationsort und Kommunikationsgrenzen. Es trennt technische Entstörung von Lagebewertung und externer Kommunikation. Diese Trennung schützt operative Teams, weil sie nicht zugleich reparieren, berichten und strategisch entscheiden müssen. Sie schützt auch die Geschäftsführung, weil Entscheidungen auf einer nachvollziehbaren Faktenbasis getroffen werden.
Nachweise werden zur Lernquelle
Das BSI weist darauf hin, dass zukünftige Aktualisierungen stärker Reife- und Umsetzungsgrade sowie Auswertungen zur Mängelbeseitigung aus Nachweisen betrachten sollen. Für Stadtwerke ist das ein Signal: Nachweise sollten nicht nur für Prüfungen gesammelt werden, sondern als Lernquelle dienen. Jede Übung, jeder Vorfall und jede Nachweisanforderung zeigt, wo Abläufe funktionieren und wo Lücken bestehen.
Die beste Nachweisführung ist daher nah am Betrieb. Eine Übung mit drei realistischen Fragen kann wertvoller sein als ein umfangreiches Dokument, das niemand im Ereignisfall nutzt: Wer erkennt die Störung? Wer bewertet KRITIS-Relevanz? Wer informiert wen in den ersten 60 Minuten? Wenn diese Fragen regelmäßig getestet werden, entsteht organisatorische Reife.
Vom Status zur Routine
Die KRITIS-Zahlen helfen Stadtwerken, die eigene Perspektive zu korrigieren. Es geht nicht darum, einen Status zu tragen. Es geht darum, kritische Anlagen und Dienste so zu führen, dass Verantwortung, Daten, Meldewege und Ersatzverfahren zusammenpassen. Diese Arbeit ist nie vollständig abgeschlossen, weil Anlagen, Dienstleister, Regulatorik und Bedrohungslage sich verändern.
Ein sinnvoller Startpunkt ist eine halbtägige Resilienzwerkstatt mit Anlagenkarte, Rollenbild und Meldewegprobe. Daraus entsteht keine fertige Sicherheitsarchitektur, aber ein gemeinsames Lageverständnis. Genau dieses Lageverständnis entscheidet im Ernstfall darüber, ob ein Stadtwerk ad hoc improvisiert oder strukturiert handelt.