Die Antwort zuerst: Zugriff ist ein Fachprozess
NIS-2 wird in vielen Organisationen zuerst als IT-Sicherheitsprogramm gelesen. Für Stadtwerke ist das nur die halbe Wahrheit. Die öffentlichen Informationen des BSI zu KRITIS und NIS-2 zeigen, dass Registrierung, Kontaktstellen, Meldungen und Nachweise organisatorisch belastbar sein müssen. Die FAQ zu NIS-2-regulierten Unternehmen machen zudem deutlich, wie wichtig die Einordnung von Dienstleisterrollen und Managed-Service-Konstellationen sein kann. Daraus folgt für Energieversorger eine einfache Arbeitsregel: Jeder technische Zugriff von Dienstleistern ist ein Fachprozess und braucht eine dokumentierte Rolle.
Diese Aussage ist keine verbindliche rechtliche Einordnung und ersetzt keine Einzelfallprüfung. Sie ist ein Betriebsprinzip. Stadtwerke arbeiten selten vollständig autark. Abrechnungssysteme, Marktkommunikation, Leitsystemnähe, Portale, Messdatenprozesse, Cloud-Dienste, Security-Werkzeuge und Supportleistungen werden oft gemeinsam mit externen oder konzerninternen Dienstleistern betrieben. Wenn dabei administrative Zugriffe, Fernwartung oder operative Eingriffe entstehen, reicht eine allgemeine Dienstleisterliste nicht aus. Benötigt wird eine Nachweisakte, die technische Realität, fachliche Verantwortung und Sicherheitsanforderungen verbindet.
Warum klassische Lieferantenlisten nicht genügen
Eine Lieferantenliste beantwortet meist die Frage, mit wem ein Vertrag besteht. Sie beantwortet nicht zuverlässig, wer in welchem System welche Berechtigung hat, ob der Zugriff personalisiert ist, welche Tätigkeit tatsächlich durchgeführt wird und wer im Fachbereich die Notwendigkeit bestätigt. Genau hier entstehen im Alltag die Lücken. Ein Dienstleister kann vertraglich bekannt sein, aber operativ über Altzugänge arbeiten. Ein Projektzugang kann nach Abschluss offen bleiben. Ein Notfallzugang kann zur Dauerlösung werden.
Für NIS-2-nahe Nachweisführung ist deshalb die Schnittstelle zwischen Einkauf, IT, Fachbereich und Informationssicherheit entscheidend. Die operative Frage lautet nicht nur: Ist der Dienstleister seriös? Sondern: Passt der konkrete Zugriff zur Aufgabe, zum System, zur Kritikalität und zur internen Verantwortung?
Sechs Felder für die Dienstleister-Zugriffsakte
Eine praktikable Akte muss nicht kompliziert sein. Sie sollte mindestens sechs Felder enthalten. Erstens die Rolle: Ist der Dienstleister Betreiber, Supportpartner, Integrator, Hostingpartner, Fachprozessdienstleister oder nur beratend tätig? Zweitens das System oder der Prozess: Marktkommunikation, EDM, Abrechnung, Messstellenbetrieb, Netzbetrieb, Portal, Infrastruktur oder Security. Drittens die Berechtigung: lesend, schreibend, administrativ, zeitlich begrenzt oder break-glass.
Viertens braucht es die fachliche Freigabe. Ein technischer Administrator kann einen Zugriff einrichten, aber der Fachprozess muss bestätigen, dass er erforderlich ist. Fünftens gehört die Protokollierung dazu: Wo wird nachvollzogen, wann der Zugriff genutzt wurde? Sechstens braucht jede Berechtigung eine Wiedervorlage. Ohne Termin zur Prüfung werden Ausnahmen zum Normalzustand.
Diese sechs Felder schaffen keine perfekte Sicherheit. Sie machen aber sichtbar, ob die Organisation weiß, welche Abhängigkeiten sie eingegangen ist. Genau diese Sichtbarkeit ist im Ereignisfall wertvoller als eine nachträglich zusammengesuchte Tabelle.
Kontaktstelle bedeutet Erreichbarkeit und Entscheidungsfähigkeit
Das BSI beschreibt bei KRITIS-Betreibern unter anderem die Benennung erreichbarer Kontaktstellen. Für Stadtwerke ist das ein Hinweis, dass Kommunikationswege nicht nur formal hinterlegt sein dürfen. Eine Kontaktstelle muss wissen, welche internen Rollen sie aktivieren kann. Wenn ein Dienstleisterzugriff in einem Sicherheitsvorfall relevant wird, darf die Organisation nicht erst klären müssen, wer den Dienstleister steuert, wer die Freigabe erteilt hat und wer Logs bewerten kann.
Darum gehört die Dienstleisterakte in eine Notfall- und Meldekette. Sie sollte nicht als isoliertes Excel in der IT liegen. Fachbereiche, Informationssicherheit, Datenschutz, Einkauf und Geschäftsführung benötigen einen gemeinsamen Ausschnitt. Der Ausschnitt muss knapp genug sein, um genutzt zu werden: kritische Dienste, verantwortliche Rolle, Erreichbarkeit, Eskalation, Nachweisort und letzte Prüfung.
Automatisierung hilft nur mit Guardrails
Viele Stadtwerke versuchen, Zugriffslisten über Identity-Management, Ticketsysteme oder Security-Plattformen zu automatisieren. Das ist sinnvoll, wenn die fachliche Logik mitgeführt wird. Automatisierung ohne Rollenverständnis erzeugt hingegen nur aktuelle, aber bedeutungsarme Listen. Ein Account ist dann aktiv oder inaktiv, aber niemand weiß, warum er existiert.
Der bessere Ansatz verbindet technische Signale mit Fachklassifikation. Ein monatlicher Report kann zeigen: neue Dienstleisterzugriffe, ablaufende Berechtigungen, ungenutzte administrative Konten, Notfallzugriffe, Systeme ohne Fachowner und Tickets ohne Wiedervorlage. Diese Signale sollten nicht nur an die IT gehen, sondern an die Prozessowner. Denn die Entscheidung, ob ein Zugriff noch gebraucht wird, ist fachlich.
Der kleinste sinnvolle Start
Ein Stadtwerk kann mit einer Liste der zehn kritischsten Dienstleisterzugriffe beginnen. Für jeden Eintrag werden Rolle, System, Berechtigung, Fachowner, Protokollort und nächster Reviewtermin ergänzt. Danach folgt ein kurzer Termin mit IT, Informationssicherheit und Fachbereich. Ziel ist nicht Vollständigkeit, sondern ein belastbarer Arbeitsmodus.
NIS-2 zwingt Energieversorger nicht dazu, jeden Prozess künstlich zu verkomplizieren. Es erhöht aber den Wert von nachvollziehbarer Verantwortlichkeit. Dienstleisterzugriffe sind dafür ein guter Prüfstein: Wenn sie transparent, begründet und wiederkehrend geprüft sind, entsteht aus Compliance ein operatives Sicherheitsinstrument.