Der Portalstatus ist nicht die Sicherheitslage
Das Bundesamt für Sicherheit in der Informationstechnik veröffentlicht unter "NIS-2 in Zahlen" Registrierungsstände für regulierte Unternehmen. Für den Stand 30. Juni 2026 nennt das BSI insgesamt 17.729 registrierte Unternehmen, davon 11.501 wichtige Einrichtungen und 6.215 besonders wichtige Einrichtungen. Die Zahlen zeigen, dass NIS-2 in der regulierten Wirtschaft angekommen ist. Für Stadtwerke ist damit aber noch wenig darüber gesagt, ob die Sicherheitsorganisation im Alltag belastbar funktioniert.
Die Registrierung ist ein wichtiger formaler Schritt. Sie beantwortet jedoch nicht die operative Frage, ob ein kommunaler Versorger einen erheblichen Sicherheitsvorfall erkennt, bewertet, intern eskaliert, extern meldet und anschließend technisch wie organisatorisch nacharbeitet. Gerade Stadtwerke sind häufig Mehrspartenunternehmen. Strom, Gas, Wärme, Wasser, Telekommunikation, Bäder, Mobilität und kommunale IT-nahen Dienste können unterschiedliche Kritikalitäten, Dienstleisterketten und Betriebsrealitäten haben. NIS-2 wird deshalb nicht durch ein einzelnes Portal erledigt, sondern durch eine Sicherheitsroutine, die über Sparten und Rollen hinweg funktioniert.
Betroffenheitsprüfung braucht eine Geschäftsmodellkarte
Der erste Stolperstein ist die Betroffenheitsprüfung. Sie ist keine reine Rechtsabfrage und auch kein reiner IT-Fragebogen. Ein Stadtwerk muss fachlich beschreiben, welche Dienste es erbringt, welche Gesellschaften beteiligt sind, welche kritischen Anlagen oder wichtigen Einrichtungen betroffen sein können und welche externen Dienstleister wesentliche Funktionen übernehmen. Ohne eine solche Geschäftsmodellkarte bleibt die Einordnung unscharf.
Diese Karte muss nicht öffentlich sein und sollte keine vertraulichen Betriebsdetails unnötig verbreiten. Intern sollte sie aber klar genug sein, damit Geschäftsführung, IT, Netzbetrieb, Recht, Einkauf und Spartenleitungen dieselbe Ausgangslage sehen. Welche Systeme sind für Versorgung, Abrechnung, Marktkommunikation, Leitwarte, Messwesen und Kundenkommunikation kritisch? Welche Dienstleister haben administrativen Zugriff? Welche Cloud- oder Rechenzentrumsleistungen sind wesentlich? Welche Prozesse laufen im Notbetrieb? Daraus entsteht die Grundlage für Risikomanagement, Maßnahmenplanung und Meldewege.
Meldewege müssen geübt werden
Viele Organisationen schreiben Meldewege auf, ohne sie zu proben. Bei NIS-2 ist das besonders gefährlich, weil Sicherheitsvorfälle unter Zeitdruck bewertet werden müssen. Ein Stadtwerk sollte nicht erst im echten Vorfall klären, wer die Erstbewertung vornimmt, wer die Geschäftsführung informiert, wer das BSI-Portal bedient, wer Dienstleister koordiniert und wer mit Kommune, Kundenservice oder Presse spricht.
Ein wirksamer Test ist klein und wiederholbar: ein fiktiver, aber plausibler Vorfall in einem energiewirtschaftlichen Kernprozess. Beispielhaft kann ein ungewöhnlicher Zugriff auf ein System der Marktkommunikation, eine Störung beim Messdatenempfang oder ein Dienstleistervorfall durchgespielt werden. Wichtig ist nicht die Dramatisierung, sondern die Ablaufprüfung. Wird der Vorfall rechtzeitig erkannt? Gibt es eine Klassifizierung? Sind Kontaktlisten aktuell? Gibt es Stellvertretungen? Ist dokumentiert, welche Informationen für eine Meldung benötigt werden? Werden technische Eindämmung, rechtliche Bewertung und Kommunikation sauber getrennt?
Dienstleistersteuerung wird zur Sicherheitsaufgabe
Stadtwerke arbeiten in vielen Kernprozessen mit Dienstleistern: Rechenzentrum, Abrechnung, Marktkommunikation, Messwesen, Leittechnik, Telekommunikation, IT-Betrieb, Wartung und Beratung. NIS-2 macht diese Lieferketten nicht automatisch sicherer. Sie werden nur sicherer, wenn das Stadtwerk weiß, welche Leistungen wesentlich sind, welche Sicherheitsanforderungen gelten und wie Vorfälle beim Dienstleister in die eigene Melderoutine einfließen.
Praktisch bedeutet das: Dienstleisterlisten müssen nach Kritikalität sortiert werden. Für wesentliche Leistungen braucht es Ansprechpartner, Eskalationswege, Nachweise, Notfallkontakte, Regelungen zu Unterauftragnehmern und klare Erwartungen an Vorfallinformationen. Das ist kein Misstrauensprogramm gegen Partner. Es ist die Voraussetzung dafür, dass im Vorfall nicht erst Verträge gesucht und Zuständigkeiten ausgehandelt werden.
Risikomanagement als Betriebskalender
Risikomanagement scheitert selten daran, dass Risiken unbekannt sind. Es scheitert daran, dass sie nicht regelmäßig in Entscheidungen zurückkehren. Ein Stadtwerk sollte NIS-2 daher als Betriebskalender führen: quartalsweise Risiko-Reviews, jährliche Übung der Meldewege, regelmäßige Prüfung kritischer Dienstleister, Aktualisierung der Systemlandkarte, Nachverfolgung offener Maßnahmen und Bericht an Geschäftsführung oder Aufsichtsgremium.
Der Ton ist dabei wichtig. NIS-2 sollte weder als Panikthema noch als reine Compliance-Last behandelt werden. Gute Sicherheitsroutine schützt die kommunale Daseinsvorsorge, reduziert Blindstellen und macht auch normale Betriebsstörungen beherrschbarer. Sie schafft Klarheit darüber, was im Notfall zuerst zählt: Versorgung, Menschen, Systeme, Nachweise und Kommunikation.
Der nächste machbare Schritt
Wer heute starten will, braucht keinen perfekten Gesamtplan. Sinnvoll ist ein Vier-Wochen-Start: Betroffenheitskarte aktualisieren, kritische Dienstleister priorisieren, Meldeweg als Ablaufskizze prüfen und einen kurzen Vorfalltest terminieren. Danach ist sichtbar, welche Lücken tatsächlich bestehen. Genau darin liegt der Nutzen: NIS-2 wird nicht als abstrakte Pflicht verwaltet, sondern als geübte Sicherheitsfähigkeit im Stadtwerk aufgebaut.