Cybersicherheit beginnt nicht beim Formular
Das Bundesamt für Sicherheit in der Informationstechnik stellt für NIS-2-regulierte Unternehmen mehrere Einstiegspunkte bereit: Betroffenheitsprüfung, Registrierung im BSI-Portal, Informationen zu Meldepflicht, Risikoanalyse und sicherer Lieferkette sowie eine Roadmap mit Phasen von Analyse und Grundsatzklärung bis zur Verstetigung. Für Stadtwerke ist diese Struktur hilfreich, weil sie den Kern des Themas sichtbar macht. NIS-2 ist kein einzelnes Dokument und kein reines IT-Projekt. Es ist eine wiederkehrende Managementroutine, die technische Systeme, operative Prozesse, Dienstleister, Verantwortlichkeiten und Nachweise miteinander verbindet.
Gerade kommunale Energieversorger arbeiten in einer besonderen Mischlage. IT-Systeme, OT-nahe Netztechnik, Messwesen, Marktkommunikation, Kundenservice, Abrechnung, kaufmännische Systeme und externe Dienstleister greifen ineinander. Viele dieser Elemente sind historisch gewachsen und wurden nicht für eine einheitliche Sicherheitsakte entworfen. NIS-2 verschärft deshalb nicht nur Anforderungen, sondern legt offen, ob ein Stadtwerk seine digitale Wirklichkeit ausreichend erklären kann.
Betroffenheit ist der Anfang, nicht das Ergebnis
Die Betroffenheitsprüfung klärt, ob und in welcher Rolle ein Unternehmen von NIS-2 erfasst ist. Für die operative Arbeit reicht diese Ja-Nein-Logik aber nicht. Nach der Grundsatzklärung beginnt die eigentliche Aufgabe: Welche Organisationseinheiten, Gesellschaften, Sparten, Systeme und Dienstleister gehören in den Geltungsbereich? Welche Rollen sind fachlich verantwortlich? Welche Schnittstellen sind kritisch? Welche Nachweise existieren bereits, welche müssen aufgebaut werden?
Stadtwerke sollten diese Klärung als Datenmodell verstehen. Eine gute NIS-2-Akte enthält nicht nur einen Status, sondern eine begründete Zuordnung: Gesellschaft, Marktrolle, Prozess, System, Asset, Dienstleister, Risiko, Maßnahme, Verantwortlichkeit und Nachweis. Diese Struktur verhindert, dass Cybersicherheit in parallelen Listen zerfällt. Ein Assetverzeichnis der IT, eine Dienstleisterliste im Einkauf und eine Risikobewertung im Informationssicherheitsmanagement sind nur dann belastbar, wenn sie miteinander verbunden werden können.
Geschäftsleitung und Fachbereiche gehören in denselben Prozess
Das BSI weist in seinem Informationspaket ausdrücklich auf Geschäftsleitungsschulung und die Frage hin, ob NIS-2 nur ein Thema für die IT-Abteilung ist. Die praktische Antwort für Stadtwerke lautet: nein. Die IT kann viele technische Maßnahmen umsetzen und betreiben. Sie kann aber nicht allein entscheiden, welche Betriebsprozesse kritisch sind, welche Dienstleister abhängigkeitsrelevant sind, welche Ausfallfolgen für Netze, Messstellenbetrieb, Marktkommunikation oder Kundenservice entstehen und welche Risiken das Unternehmen akzeptieren darf.
Deshalb braucht NIS-2 eine Rollenroutine. Geschäftsleitung, Informationssicherheitsbeauftragte, IT, OT-nahe Bereiche, Fachabteilungen, Einkauf, Datenschutz, Kommunikation und Krisenorganisation müssen wissen, wann sie beteiligt sind. Die Routine muss nicht bürokratisch sein, aber sie muss verbindlich sein. Ein Risiko ohne fachlichen Eigentümer bleibt abstrakt. Eine Maßnahme ohne Betriebsverantwortung bleibt ein Projektpunkt. Ein Lieferkettenrisiko ohne Einkaufs- und Fachbereichssicht bleibt unvollständig.
Asset-Daten sind keine Inventarliste, sondern Entscheidungsgrundlage
Viele Sicherheitsprogramme beginnen mit der Frage nach Assets. Für Stadtwerke ist das anspruchsvoll, weil relevante Assets nicht nur Server und Anwendungen sind. Dazu gehören auch Schnittstellen, Kommunikationswege, Fernwirkkomponenten, Marktkommunikationssysteme, Zertifikate, Benutzerrollen, Dienstleisterzugänge, Datenflüsse und Betriebsverfahren. Eine reine Inventarliste liefert zwar Menge, aber noch keine Entscheidungsfähigkeit.
Entscheidend ist die Verknüpfung: Welcher Prozess hängt von welchem Asset ab? Welche Daten werden verarbeitet? Welche Ausfallwirkung entsteht? Welche Schutzmaßnahme ist vorhanden? Welche Schwachstelle ist bekannt? Wer darf eine Änderung freigeben? Welche Nachweise liegen vor? Wenn diese Fragen nicht gemeinsam beantwortet werden, kann eine Organisation zwar viele Sicherheitsdaten besitzen, aber im Ereignisfall trotzdem langsam reagieren.
Lieferkette ist mehr als Lieferantenbewertung
Das BSI führt sichere Lieferketten als eigenes Informationspaket. Für Stadtwerke ist das besonders relevant, weil wesentliche Teile der digitalen Betriebsfähigkeit von Dienstleistern abhängen: Rechenzentrum, Abrechnung, EDM, Messstellenbetrieb, Marktkommunikation, Wartung, Cloud-Dienste, Leitsystemkomponenten, Telekommunikation oder spezialisierte Fachsoftware. Eine Lieferantenliste beantwortet jedoch nur, wer beteiligt ist. Sie beantwortet noch nicht, welche Leistung kritisch ist und welcher Ausfallpfad entsteht.
Eine belastbare Lieferkettenroutine fragt daher pro Dienstleister: Welche Prozesse werden unterstützt? Welche Systeme oder Daten sind betroffen? Welche Sicherheitsanforderungen gelten? Welche Nachweise liegen vor? Welche Melde- und Eskalationswege bestehen? Welche Ersatz- oder Übergangsverfahren sind bekannt? Welche Leistungs- und Zuständigkeitsgrenzen müssen intern beachtet werden? Diese Fragen sollten nicht erst in einer Krise gestellt werden.
Risikoanalyse braucht Taktung
Risikoanalyse ist kein einmaliger Workshop. In Stadtwerken ändern sich Systeme, Schnittstellen, Dienstleister, gesetzliche Anforderungen, Bedrohungslage und Organisationszuständigkeiten laufend. Eine NIS-2-Routine sollte deshalb eine Taktung festlegen: regelmäßige Überprüfung kritischer Assets, Aktualisierung von Lieferketteninformationen, Nachverfolgung offener Maßnahmen, Auswertung von Vorfällen und Übungen sowie Entscheidung über Restrisiken.
Der Vorteil einer solchen Taktung liegt in der Führbarkeit. Geschäftsleitung und Fachbereiche müssen nicht jedes technische Detail kennen, aber sie brauchen eine verlässliche Sicht auf Ampeln, offene Entscheidungen und Begründungen. Welche Risiken sind reduziert? Welche bleiben offen? Welche Maßnahme ist verspätet? Wo blockiert eine Abhängigkeit? Welche Annahme hat sich geändert? Cybersicherheit wird so von einer Expertenliste zu einem steuerbaren Unternehmensprozess.
Meldefähigkeit entsteht vor dem Vorfall
NIS-2-Infopakete thematisieren auch Meldepflichten. Für die Praxis ist wichtig: Meldefähigkeit entsteht nicht erst, wenn ein Ereignis erkannt wurde. Sie entsteht durch vorbereitete Klassifikationen, Zuständigkeiten, Kommunikationswege und Dokumentationsregeln. Ein Stadtwerk muss im Ereignisfall schnell genug wissen, ob ein Sicherheitsereignis relevant ist, welche Systeme betroffen sind, welche Auswirkungen wahrscheinlich sind, wer entscheidet und welche Informationen belastbar vorliegen.
Dafür braucht es Übungen und einfache Entscheidungsbäume. Nicht jede Störung ist ein Sicherheitsvorfall, nicht jeder Sicherheitsvorfall hat dieselbe Tragweite. Aber ohne vorbereitete Kriterien wird im Ernstfall diskutiert, während Zeit verloren geht. Eine gute Routine verbindet technische Erkennung, fachliche Auswirkungsbewertung und kommunikative Freigabe.
Verstetigung ist der wichtigste Reifegrad
Die BSI-Roadmap endet nicht bei der Umsetzung einzelner Maßnahmen, sondern bei Verstetigung und kontinuierlicher Verbesserung. Das passt zur Realität von Stadtwerken. Sicherheitsanforderungen sind dauerhaft, während Projekte enden. Wer NIS-2 als Projekt mit Abschlusspräsentation behandelt, baut kurzfristig Nachweise auf, aber keine belastbare Fähigkeit.
Verstetigung bedeutet: Asset- und Rolleninformationen werden gepflegt, Maßnahmen werden nachverfolgt, Lieferketten werden aktualisiert, Vorfälle werden ausgewertet, Übungen finden statt, Verantwortlichkeiten bleiben sichtbar und Managemententscheidungen werden dokumentiert. Das ist keine Frage maximaler Tooltiefe. Es ist eine Frage der konsequenten Prozessführung.
Der pragmatische Start
Ein Stadtwerk kann pragmatisch beginnen: Geltungsbereich klären, kritische Prozesse benennen, führende Assets und Dienstleister zuordnen, Verantwortliche festlegen, vorhandene Nachweise sammeln, offene Lücken priorisieren und eine wiederkehrende Review-Routine einrichten. Wichtig ist, dass diese Schritte miteinander verbunden werden. Sonst entstehen viele Listen, aber keine Steuerung.
NIS-2 zwingt Stadtwerke nicht nur zu mehr Cybersicherheit, sondern zu besserer Erklärfähigkeit. Wer zeigen kann, welche digitalen Abhängigkeiten bestehen, wie Risiken bewertet werden, welche Maßnahmen laufen und wer entscheidet, gewinnt operative Stabilität. Genau darin liegt der fachliche Kern: Cybersicherheit wird nicht durch einmalige Dokumentation tragfähig, sondern durch eine Daten- und Rollenroutine, die im Alltag funktioniert.