NIS-2 und KRITIS: Cyber-Resilienz wird für Stadtwerke zur Führungs- und Prozessfrage

Antwort zuerst: Cyber-Resilienz ist kein IT-Projekt mehr

Stadtwerke sollten NIS-2 und KRITIS nicht als weitere Compliance-Schicht über die IT legen. Die richtige Lesart lautet: Versorgungssicherheit hängt künftig noch stärker davon ab, ob ein Unternehmen Risiken erkennt, Zuständigkeiten festlegt, Vorfälle sauber bewertet, Meldungen vorbereitet und Wiederanlaufverfahren beherrscht. Das Bundesamt für Sicherheit in der Informationstechnik bündelt auf seiner Seite zur regulierten Wirtschaft Informationen für NIS-2-regulierte Unternehmen und Kritische Infrastrukturen. Dort wird auch deutlich, dass betroffene Einrichtungen mit Registrierungs- und Informationspflichten rechnen müssen.

Für Energieversorger ist das relevant, weil ihre Systeme nicht nur Büro-IT umfassen. Netzleittechnik, Messsysteme, Marktkommunikation, Kundenportale, Abrechnung, Fernwärmesteuerung, Ladeinfrastruktur und Dienstleisterzugänge bilden eine gekoppelte Betriebslandschaft. Ein Angriff oder eine Fehlkonfiguration erzeugt deshalb nicht nur Datenrisiken, sondern Prozessrisiken. Die Frage ist nicht, ob eine Firewall vorhanden ist. Die Frage ist, ob ein Stadtwerk unter Druck noch entscheiden, dokumentieren und versorgen kann.

Die neue Reife zeigt sich im Vorfall

Viele Organisationen können in ruhigen Zeiten Richtlinien vorzeigen. Entscheidend ist aber der Ernstfall. Wer entscheidet, ob ein Ereignis ein meldepflichtiger Sicherheitsvorfall ist? Welche Informationen werden in den ersten zwei Stunden gesammelt? Wer darf Systeme isolieren? Wie wird die Geschäftsführung informiert? Welche Dienstleister müssen erreichbar sein? Welche manuellen Ersatzverfahren gibt es für kritische Prozesse?

Ein praxistauglicher Incident-Prozess braucht drei Ebenen. Die erste Ebene ist die technische Detektion: Logs, Alarme, Anomalien, Zugriffsmuster. Die zweite Ebene ist die fachliche Bewertung: Welche Versorgungsprozesse sind betroffen, welche Marktfristen laufen, welche Kundenkontakte sind notwendig? Die dritte Ebene ist die Nachweisführung: Entscheidungen, Zeiten, Maßnahmen, Kommunikation und Wiederanlauf müssen dokumentiert werden, ohne die Einsatzteams mit Papierarbeit zu lähmen.

OT und IT gehören in ein gemeinsames Risikobild

Stadtwerke haben oft historisch gewachsene Systemgrenzen. Die IT betreibt Büro-, ERP- und Kundenplattformen, der Netzbetrieb verantwortet Leit- und Fernwirktechnik, das Messwesen arbeitet mit eigenen Dienstleistern, die Telekommunikation hängt an weiteren Verträgen. NIS-2 zwingt indirekt dazu, diese Grenzen neu zu kartieren. Nicht jedes System braucht dieselbe Schutzklasse. Aber jedes kritische Verfahren braucht einen klaren Eigentümer, bekannte Abhängigkeiten und getestete Ersatzwege.

Ein gutes Risikobild beginnt nicht mit Tools, sondern mit Prozesslandkarten. Welche fünf Prozesse dürfen auch bei einem Cybervorfall nicht vollständig stehen bleiben? Typische Kandidaten sind Netzführung, Entstörung, Marktkommunikation, Abrechnung kritischer Großkunden, Kundeninformation und Zahlungsverkehr. Für jeden Prozess sollte bekannt sein, welche Systeme, Identitäten, Dienstleister und Datenquellen zwingend benötigt werden.

Lieferantensteuerung wird zum Schwachpunkt oder zum Schutzschild

Kommunale Versorger arbeiten mit spezialisierten Dienstleistern: Rechenzentren, SaaS-Anbietern, Gateway-Administratoren, Abrechnungsdienstleistern, Fernwirkpartnern, Callcentern und Installationsbetrieben. Cyber-Resilienz endet deshalb nicht an der eigenen Firewall. Verträge sollten Mindestanforderungen an Sicherheitsmeldungen, Patchprozesse, Zugriffsschutz, Protokollierung, Wiederherstellungszeiten und Unterauftragsverhältnisse enthalten.

Wichtig ist ein realistischer Ansatz. Kleine Stadtwerke können nicht jeden Lieferanten wie einen Konzern auditieren. Sie können aber risikobasiert vorgehen: Welche Dienstleister haben Zugriff auf kritische Systeme? Welche verarbeiten besonders sensible Daten? Welche sind für den Wiederanlauf unverzichtbar? Für diese Gruppen braucht es klare Nachweise und Eskalationswege.

KI und Automatisierung nur mit Guardrails

Viele Stadtwerke prüfen KI-gestützte Verfahren für Tickets, Dokumentenanalyse, Protokolle oder Anomalieerkennung. Das kann sinnvoll sein, wenn Guardrails vorhanden sind. In sicherheitsrelevanten Prozessen darf Automatisierung nicht zur Blackbox werden. Jede KI-Unterstützung braucht klare Nicht-Ziele: keine eigenständige Freigabe kritischer Schalthandlungen, keine ungeprüfte Meldung an Behörden, keine automatische Veröffentlichung von Vorfalldetails, keine Verarbeitung sensibler Daten ohne Schutzkonzept.

Nützlich sind KI-Verfahren dort, wo sie Menschen entlasten, aber nicht ersetzen: Zusammenfassen von Log-Hinweisen, Priorisieren von Tickets, Abgleich von Checklisten, Erstellung eines ersten Lagebilds oder Prüfung, ob Pflichtfelder für eine interne Meldung fehlen. Der Prüfpfad bleibt menschlich verantwortet.

Ein 90-Tage-Programm für Stadtwerke

In den nächsten drei Monaten können Stadtwerke viel erreichen, ohne ein Großprojekt zu starten. Erstens: kritische Prozesse und Systemabhängigkeiten erfassen. Zweitens: Rollen für Sicherheitsvorfälle festlegen, einschließlich Geschäftsführung, IT, OT, Kommunikation und Recht. Drittens: Lieferanten nach Kritikalität sortieren. Viertens: einen Tabletop-Test durchführen, zum Beispiel Ransomware im Abrechnungssystem bei gleichzeitiger Störung des Kundenportals. Fünftens: Maßnahmen in ein priorisiertes Register überführen.

Cyber-Resilienz wird dadurch nicht perfekt. Aber sie wird führbar. Genau das ist der Fortschritt: weg von der Hoffnung, dass nichts passiert, hin zu einem Verfahren, das auch im Stress Entscheidungen ermöglicht.