Die Antwort zuerst: NIS-2 ist ein Betriebsprozess, kein Aktenordner
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt das NIS-2-Umsetzungsgesetz als umfassende Modernisierung des Cybersicherheitsrechts. In der öffentlichen Kommunikation werden höhere Anforderungen, zusätzliche betroffene Einrichtungen, Registrierungsschritte, Portalzugänge und Meldewege benannt. Für Stadtwerke und Energieversorger ist daran besonders wichtig: Cybersicherheit wird nicht allein dadurch wirksam, dass eine Richtlinie bekannt ist oder ein Zugang eingerichtet wurde. Wirksam wird sie, wenn Fachprozesse wissen, was im Störfall zu tun ist.
Die Energieversorgung ist ein Verbund aus IT, OT, Netzbetrieb, Marktkommunikation, Kundenservice, kaufmännischen Abläufen, Dienstleistern und Führung. Ein Sicherheitsvorfall bleibt selten in einer einzelnen Abteilung. Er kann die Erreichbarkeit von Systemen betreffen, Datenflüsse stören, Kommunikation mit Marktpartnern verändern, Kundenanfragen auslösen oder Entscheidungen über Prioritäten erzwingen. Deshalb muss NIS-2 im Energiealltag als geübte Prozesskette verstanden werden.
Der erste Fehler ist die reine IT-Zuordnung
Natürlich braucht ein Unternehmen technische Schutzmaßnahmen, Rollen und Fachwissen in der Informationssicherheit. Das BSI betont Risiko- und Informationssicherheitsmanagement und beschreibt für betroffene Einrichtungen auch organisatorische Anforderungen. Trotzdem entsteht in der Umsetzung häufig ein zu enger Blick: NIS-2 wird als IT-Projekt eingeordnet, während die Fachbereiche darauf warten, im Ernstfall informiert zu werden.
Das ist riskant. Der Fachbereich erkennt häufig zuerst, dass ein Ablauf nicht normal funktioniert. Eine Abrechnungskette stockt, ein Portal liefert ungewöhnliche Fehlermeldungen, Marktkommunikation bleibt stehen, Kundenservice erhält gehäufte Rückfragen oder Dienstleistermeldungen passen nicht zum erwarteten Betriebsbild. Diese Hinweise sind nicht automatisch ein Sicherheitsvorfall. Aber sie sind Beobachtungen, die in ein Lagebild gehören. Wenn die Fachprozesse nicht wissen, wie sie solche Beobachtungen melden, einordnen und dokumentieren sollen, verliert die Organisation Zeit.
Meldewege müssen vor dem Ereignis geübt werden
Ein Meldeweg ist mehr als eine E-Mail-Adresse oder ein Portal. Er beantwortet mehrere praktische Fragen: Wer darf einen Verdacht melden? Welche Mindestinformationen gehören in die Erstmeldung? Wer entscheidet, ob der Sachverhalt sicherheitsrelevant ist? Welche Fachbereiche werden eingebunden? Welche Informationen dürfen intern breit geteilt werden und welche müssen begrenzt bleiben? Wie wird dokumentiert, dass eine Entscheidung getroffen wurde?
Diese Fragen sollten nicht zum ersten Mal im Ereignisfall diskutiert werden. Eine kurze Übung reicht oft aus, um Schwachstellen sichtbar zu machen. Man nimmt ein realistisches Szenario, etwa eine Störung in einem Dienstleisterprozess oder ungewöhnliche Ausfälle in einem Fachsystem, und prüft die ersten zwei Stunden. Wer merkt was? Wer ruft wen an? Welche Daten werden benötigt? Wo liegen Kontaktdaten? Welche Entscheidung trifft die Führung? Welche Kommunikation erhält der Kundenservice?
Nachweise entstehen im laufenden Betrieb
Ein weiteres Missverständnis betrifft Nachweise. Sie werden manchmal als Dokumentensammlung verstanden, die nachträglich für Prüfung oder Aufsicht zusammengestellt wird. Im Alltag sind gute Nachweise jedoch Nebenprodukte sauberer Prozesse. Wenn Risiken bewertet, Maßnahmen beschlossen, Übungen durchgeführt, Vorfälle beurteilt und Dienstleistersteuerung dokumentiert werden, entsteht eine nachvollziehbare Spur.
Für Energieversorger ist diese Spur besonders wertvoll, weil Fachprozesse reguliert, fristgebunden und öffentlich relevant sind. Es genügt nicht, abstrakt zu erklären, dass Informationssicherheit wichtig ist. Entscheidend ist, ob die Organisation zeigen kann, wie ein Risiko erkannt, priorisiert, adressiert und nachverfolgt wurde. Dafür braucht es Verantwortlichkeiten, Versionierung, Entscheidungsnotizen und klare Übergaben.
Dienstleister gehören in die Übung
Viele Stadtwerke arbeiten mit Dienstleistern für IT, Abrechnung, Marktkommunikation, Messwesen oder Portale. Das ist normal und effizient. Im Sicherheitskontext entsteht daraus aber eine weitere Schnittstelle. Wenn ein Dienstleistersystem betroffen ist, muss klar sein, welche Informationen wann geliefert werden, wer erreichbar ist und wie fachliche Auswirkungen bewertet werden.
Auch hier hilft eine einfache Prozessakte. Sie enthält kritische Dienstleistungen, Ansprechpartner, Leistungs- und Betriebsschnittstellen auf fachlicher Ebene, Abhängigkeiten, Eskalationszeiten, alternative Arbeitsweisen und offene Fragen. Diese Akte ersetzt keine formale Einordnung durch die zuständigen Stellen. Sie macht jedoch sichtbar, wo der Betrieb im Ereignisfall handlungsfähig ist und wo nicht.
Führung entscheidet über Prioritäten
NIS-2 erhöht nicht nur Anforderungen an Technik, sondern auch an Verantwortung. Führungskräfte müssen Risikoentscheidungen nachvollziehbar treffen können. Das bedeutet nicht, dass jede Führungskraft technische Details beherrschen muss. Sie muss aber verstehen, welche fachlichen Folgen ein Risiko hat, welche Maßnahmen möglich sind und welche Restunsicherheit bleibt.
Im Energiealltag sind Prioritäten oft unbequem. Ein System kann technisch isoliert werden, aber dadurch entsteht fachliche Arbeit. Eine Meldung kann vorsorglich vorbereitet werden, aber sie bindet Kapazität. Ein Dienstleister kann aufgefordert werden, zusätzliche Informationen zu liefern, aber die Bewertung bleibt intern. Solche Entscheidungen brauchen eine gemeinsame Sprache zwischen IT-Sicherheit und Fachprozess.
Der praktische Prüfpfad
Ein Stadtwerk kann seinen NIS-2-Reifegrad mit vier Arbeitsfragen prüfen. Erstens: Gibt es einen geübten Erstmeldeweg für ungewöhnliche Fachprozessbeobachtungen? Zweitens: Können kritische Geschäftsprozesse ihren IT- und Dienstleisterbezug erklären? Drittens: Werden Risikoentscheidungen mit Datum, Owner, Begründung und Folgeschritt dokumentiert? Viertens: Hat der Kundenservice vorbereitete, sachliche Informationsbausteine für Störungen, ohne Ursachen zu behaupten, die noch nicht belegt sind?
Die Stärke von NIS-2 liegt nicht im zusätzlichen Papier. Sie liegt in der Chance, Cybersicherheit und Energieprozesse enger zu koppeln. Wer diese Kopplung übt, gewinnt im Störfall Zeit, Klarheit und Verantwortungsfähigkeit.