Cybersicherheit wird zur Betriebsarchitektur
Für Stadtwerke ist NIS-2 nicht einfach ein weiteres Compliance-Kapitel. Die öffentliche BSI-Kommunikation zu NIS-2-regulierten Unternehmen und die sektorspezifischen FAQ für Energie zeigen, dass Informationssicherheit stärker mit operativen Rollen, Meldewegen und Fachgesetzen verbunden wird. Besonders deutlich wird das bei digitalen Energiediensten. Das BSI beschreibt, dass mit Inkrafttreten des NIS-2-Umsetzungsgesetzes Änderungen an BSIG, BSI-KritisV und EnWG wirksam wurden und dass die bisherige Kategorie zur Steuerung oder Bündelung elektrischer Leistung als digitaler Energiedienst gefasst wird. Zugleich werden Zuständigkeiten und Nachweise differenzierter: Für bestimmte energiewirtschaftliche Konstellationen rückt die Bundesnetzagentur beziehungsweise das EnWG in den Vordergrund, während Melde- und Registrierungspflichten gegenüber dem BSI weiterhin relevant bleiben können.
Für die Praxis bedeutet das: Stadtwerke dürfen Cybersicherheit nicht allein als Aufgabe der IT-Sicherheitsbeauftragten behandeln. Betroffen sind Netzbetrieb, Leitstelle, Messwesen, Vertrieb, Dienstleistersteuerung, Unternehmensleitung, Datenschutz, Krisenkommunikation und Regulierung. Ein Vorfall in einem steuernden System ist nicht nur eine technische Störung. Er kann Meldefristen, externe Zuständigkeiten, Kundenkommunikation, Dienstleisterverträge, Netzbetrieb und interne Entscheidungsrechte berühren.
Die erste Frage lautet: Wer weiß was wann?
Viele Sicherheitskonzepte beschreiben Maßnahmen: Rollen, Passwortrichtlinien, Segmentierung, Backup, Patch-Management, Monitoring. Diese Maßnahmen bleiben wichtig. Im Ereignisfall entscheidet aber häufig eine andere Frage: Wer weiß was wann? Ein Stadtwerk braucht eine Lagekette, die technische Signale in entscheidungsfähige Informationen übersetzt. Ein Alarm aus einem OT-System, ein Hinweis eines Dienstleisters oder eine ungewöhnliche Fernzugriffsaktivität muss schnell genug bewertet werden, ohne vorschnell falsche Sicherheit oder unnötige Dramatik zu erzeugen.
Dafür hilft eine Melde- und Nachweisakte. Sie enthält keine geheimen technischen Details für den Alltag, sondern die strukturierte Prozesssicht: mögliche Ereignisklassen, interne Erstbewertung, fachliche Eskalation, externe Meldewege, Dokumentationspflichten, Kommunikationsgrenzen, Ansprechpartner und vorbereitete Faktenblätter. Der Wert liegt darin, dass im Ernstfall nicht erst geklärt werden muss, ob Netzbetrieb, IT, Geschäftsführung oder Dienstleister zuständig sind.
Digitale Energiedienste verlangen Schnittstellenklarheit
Der Begriff digitaler Energiedienst macht sichtbar, wie stark energiewirtschaftliche Steuerungsfähigkeit, Datenwege und Informationssicherheit zusammenwachsen. Anlagen oder Systeme, die standortübergreifend Zugriff auf Steuerung oder unmittelbare Beeinflussung von Energieanlagen ermöglichen, sind nicht nur IT-Assets. Sie sind Teil der energiewirtschaftlichen Betriebsfähigkeit. Deshalb reicht ein klassisches Inventar von Servern und Anwendungen nicht aus. Stadtwerke brauchen eine Schnittstellenkarte: Welche Systeme beeinflussen Energieflüsse? Welche Dienstleister haben Zugriff? Welche Daten werden übertragen? Welche Marktrollen sind betroffen? Welche Abhängigkeiten bestehen zu Leitstelle, Smart-Meter-Gateway-Administration, Flexibilitätsplattformen oder dezentralen Anlagen?
Diese Karte sollte bewusst fachlich formuliert sein. Sie muss von technischen Teams verstanden werden, aber auch von Geschäftsführung und Krisenstab. Ein guter Test lautet: Kann das Haus innerhalb kurzer Zeit erklären, welche Dienste steuerungsrelevant sind, welche Meldewege gelten und welche Belege für Maßnahmen vorliegen? Wenn diese Antwort nur in einzelnen Köpfen existiert, ist der Prozess zu fragil.
Dienstleister sind Teil der Lage, nicht nur Lieferanten
Stadtwerke arbeiten in vielen Bereichen mit externen Dienstleistern: Rechenzentrum, Leitstellenkomponenten, Telekommunikation, Fernwartung, Messstellenbetrieb, Abrechnung, Portale, Sicherheitsmonitoring. NIS-2-nahe Prozesse sollten diese Dienstleister nicht nur vertraglich erwähnen, sondern operativ einbinden. Wer meldet einen Vorfall? In welcher Form? Mit welchen Mindestinformationen? Wer entscheidet über Abschaltung, Einschränkung oder Wiederanlauf? Welche Kommunikationswege funktionieren, wenn das normale Ticketsystem betroffen ist?
Das ist kein Plädoyer für überzogene Formalisierung. Es geht um einfache, geübte Schnittstellen. Eine Kontaktliste ohne Übung ist im Ernstfall wenig wert. Ein Dienstleisterbericht ohne gemeinsame Ereignisklassen erzeugt Interpretationsaufwand. Ein Fernzugriff ohne dokumentierte Verantwortung wird zur Schwachstelle. Stadtwerke sollten daher mindestens für kritische Dienstleister einen kleinen Betriebsstandard definieren: Erreichbarkeit, Ereigniskategorien, Meldeweg, Nachweisformat, Wiederanlaufregeln und jährliche Probe.
Automatisierung braucht Guardrails
Viele Häuser prüfen inzwischen automatisierte Auswertungen, SIEM-Prozesse, KI-gestützte Lagebilder oder Assistenzsysteme für Sicherheitsdokumentation. Solche Werkzeuge können helfen, wenn sie klare Grenzen haben. Sie dürfen keine Verantwortung ersetzen und keine ungeprüften Rechts- oder Sicherheitsbewertungen erzeugen. Nützlich sind sie dort, wo sie Fakten sortieren: Logquellen zusammenführen, offene Maßnahmen verfolgen, Wiederholungsmuster erkennen, Prüffragen vorbereiten oder Vorfallakten strukturieren.
Die Guardrails sind entscheidend. Welche Daten dürfen verarbeitet werden? Welche Systeme bleiben ausgeschlossen? Wer prüft automatisch erzeugte Zusammenfassungen? Welche Aussagen sind nur interne Arbeitshypothesen? Welche Informationen dürfen extern verwendet werden? Gerade bei Energie- und OT-Bezug muss Automatisierung sparsam, nachvollziehbar und sicher betrieben werden.
Vom Dokument zur Übung
Ein belastbares NIS-2-Betriebsmodell entsteht nicht durch ein einzelnes Dokument. Es entsteht durch Wiederholung. Stadtwerke sollten mindestens einmal jährlich einen kleinen Meldeweg-Test durchführen: ein plausibles Ereignis, eine technische Erstmeldung, eine fachliche Bewertung, eine Entscheidung der Geschäftsführung, eine externe Meldeentscheidung als Trockenübung und ein Abschluss mit Lessons Learned. Dabei geht es nicht darum, Angst zu erzeugen. Es geht darum, Reibung sichtbar zu machen, bevor ein echter Vorfall sie erzwingt.
Die wichtigste Erkenntnis lautet: Cybersicherheit ist keine Parallelwelt neben dem Energiesystem. Sie ist Teil der Betriebsarchitektur. Wer digitale Energiedienste, Meldewege, Dienstleister und Nachweise gemeinsam denkt, reduziert nicht nur Compliance-Risiken. Er verbessert die Fähigkeit des Stadtwerks, in einer Störung ruhig, prüfbar und handlungsfähig zu bleiben.