Die Antwort zuerst: NIS-2 ist nur wirksam, wenn der Ernstfall vorher geübt wurde
Cybersicherheit in der Energieversorgung wird häufig in Dokumenten, Kontrollen und technischen Maßnahmen beschrieben. Das ist notwendig, aber nicht ausreichend. Das BSI betont die besondere Bedeutung robuster Cybersicherheit im Energiesektor und stellt Informationen für NIS-2-regulierte Unternehmen bereit. Für Stadtwerke entsteht daraus eine praktische Kernfrage: Kann die Organisation im Ereignisfall gemeinsam handeln, oder existieren nur getrennte Pläne in IT, Netzbetrieb, Kommunikation und Geschäftsführung?
Ein Cybervorfall ist im Stadtwerk nie nur ein IT-Ereignis. Er kann Leitstellenprozesse, Kundensysteme, Marktkommunikation, Fernwirktechnik, Abrechnung, Messwesen, Dienstleisterzugriffe, Pressekommunikation und kommunale Abstimmung berühren. Deshalb reicht es nicht, Anforderungen formal zuzuordnen. Entscheidend ist die Störfallroutine: Wer erkennt was? Wer bewertet die Auswirkung? Wer darf abschalten, isolieren, informieren oder eskalieren? Welche Aussage ist öffentlich zulässig, solange die Faktenlage unsicher ist? Welche Systeme gelten als führend, wenn Dashboard und Realität auseinanderfallen?
NIS-2 wirkt damit wie ein Organisationsspiegel. Reife Unternehmen erkennen, dass Cybersicherheit nicht an der Grenze der IT endet. Sie übersetzen Anforderungen in Fachprozesse, Übungen, Nachweise und Entscheidungswege. Weniger reife Organisationen sammeln Maßnahmenlisten und merken erst in der Krise, dass niemand dieselbe Lagekarte nutzt.
IT und OT brauchen gemeinsame Sprache
Viele Stadtwerke haben historisch getrennte Welten. Die IT betreibt Office-, Kunden- und Abrechnungssysteme. OT und Netzbetrieb sichern technische Anlagen, Leittechnik und Versorgungskontinuität. Beide Bereiche haben gute Gründe für eigene Routinen, aber ein Cyberereignis respektiert diese Trennung nicht. Ein kompromittiertes Benutzerkonto, ein gestörter Dienstleisterzugang oder ein unsicheres Fernwartungsfenster kann fachliche Auswirkungen haben, bevor alle technischen Details verstanden sind.
Darum braucht NIS-2 eine gemeinsame Sprache. Nicht jede Schwachstelle ist ein Versorgungsrisiko, aber jedes relevante Versorgungsrisiko braucht technische und fachliche Bewertung. Eine Lagekarte sollte deshalb nicht nur Sicherheitsereignisse aufführen, sondern betroffene Fachprozesse: Netzführung, Messdaten, Marktkommunikation, Kundenkontakt, Abrechnung, Beschaffung, Anlagenbetrieb, externe Dienstleister. So können Verantwortliche entscheiden, welche Maßnahmen Priorität haben und welche Kommunikation noch zurückgehalten werden muss.
Diese Sprache entsteht nicht im Handbuch. Sie entsteht in Übungen. Ein Tischtest mit realistischen Szenarien zeigt oft schneller als jedes Audit, wo Begriffe unklar sind. Bedeutet 'System nicht verfügbar' eine Kundenservice-Störung oder ein Risiko für den Netzbetrieb? Wer weiß, ob ein Dienstleisterzugang noch aktiv ist? Wie wird entschieden, ob eine vorsorgliche Trennung vertretbar ist? Solche Fragen sind unbequem, aber genau deshalb wertvoll.
Meldewege sind keine Telefonliste
Viele Organisationen verwechseln Meldewege mit Kontaktlisten. Eine Kontaktliste sagt, wen man erreichen könnte. Ein Meldeweg sagt, welche Information in welcher Reihenfolge, mit welchem Mindestinhalt und welcher Freigabe weitergegeben wird. Bei Cybervorfällen ist diese Unterscheidung zentral. Zu frühe oder unpräzise Aussagen können Vertrauen beschädigen; zu späte Eskalation kann Schaden vergrößern.
Ein belastbarer Meldeweg enthält daher Auslöser, Zuständigkeiten, Stellvertretungen, Entscheidungsgrenzen und Dokumentationspflichten. Er unterscheidet zwischen technischer Analyse, fachlicher Auswirkung, interner Eskalation, behördlicher Kommunikation, kommunaler Information und öffentlicher Aussage. Er legt auch fest, was bewusst nicht gesagt wird, solange die Faktenlage unklar ist. Das ist keine Verschleierung, sondern saubere Risikokommunikation.
Für Stadtwerke mit vielen Dienstleistern ist zusätzlich wichtig, externe Meldeketten zu prüfen. Wer informiert wen, wenn ein Dienstleister einen Vorfall erkennt? Welche Fristen gelten intern? Welche Logdaten sind verfügbar? Wer darf Systeme isolieren oder Zugänge sperren? Ohne Test bleibt hier viel Annahme. Mit Test entsteht Führbarkeit.
Fachprozesse als Nachweisraum
Cybersicherheit wird häufig über technische Kontrollen nachgewiesen. Für Energieunternehmen reicht das nicht. Wenn ein Vorfall die Versorgung, Marktprozesse oder Kundenkommunikation berührt, muss nachvollziehbar sein, welche fachlichen Entscheidungen getroffen wurden. Ein Stadtwerk sollte deshalb Fachprozessakten führen: Welche Systeme tragen den Prozess? Welche Abhängigkeiten bestehen? Welche Mindestfunktion muss im Notbetrieb erhalten bleiben? Welche manuellen Ersatzverfahren sind bekannt? Welche Daten werden für Wiederanlauf und Nachweis benötigt?
Diese Akten dürfen nicht zu bürokratischen Ablagen werden. Ihr Zweck ist operative Klarheit. Im Ereignisfall müssen sie helfen, Prioritäten zu setzen: Erst Versorgungssicherheit, dann Stabilisierung kritischer Fachprozesse, dann Wiederherstellung normaler Arbeitsfähigkeit. Gleichzeitig müssen sie zeigen, welche Entscheidungen dokumentiert wurden und welche Unsicherheit bestand.
Besonders wertvoll ist eine Übung, die nicht bei der technischen Eindämmung endet. Sie sollte auch die Rückkehr in den Normalbetrieb durchspielen: Wie wird ein System wieder freigegeben? Welche Daten müssen nacherfasst werden? Welche Kunden- oder Marktpartnerkommunikation ist nötig? Welche Geschäftsführungsentscheidung wird dokumentiert? Erst dann wird aus Sicherheitsmanagement echte Resilienz.
Praktischer Einstieg: Drei Übungen pro Jahr
Stadtwerke müssen nicht mit einer Großübung beginnen. Sinnvoll ist ein kleiner, regelmäßiger Übungsrhythmus. Eine Übung prüft Dienstleisterzugriff und Eskalation. Eine zweite übt die gemeinsame IT/OT-Lagekarte. Eine dritte verbindet Cybervorfall, Kundenkommunikation und Geschäftsführungsfreigabe. Jede Übung sollte mit wenigen konkreten Verbesserungen enden, nicht mit einem langen Maßnahmenkatalog ohne Priorität.
Die wichtigste Regel lautet: Üben, bevor es perfekt dokumentiert ist. Ein unvollständiger Test legt Lücken offen und schafft gemeinsames Verständnis. Ein perfekter Ordner, der nie unter Zeitdruck genutzt wurde, bleibt dagegen riskant. NIS-2 sollte deshalb nicht als einmaliger Compliance-Block verstanden werden, sondern als Anlass, die Störfallfähigkeit des Stadtwerks sichtbar zu machen.
Das Ergebnis ist keine Garantie gegen Cybervorfälle. Es ist die Fähigkeit, schneller zu erkennen, sauberer zu entscheiden und nachvollziehbarer zu kommunizieren. Genau darin liegt der praktische Wert robuster Cybersicherheit für kommunale Energieunternehmen.