Wenn Begriffe wechseln, müssen Routinen stabil bleiben
Das BSI beschreibt für KRITIS-Betreiber im Zuge des neuen BSI-Gesetzes und der NIS-2-Umsetzung eine veränderte Begriffswelt. Aus Kritischen Infrastrukturen werden im Gesetz stärker kritische Anlagen, Betreiber kritischer Anlagen und besonders wichtige oder wichtige Einrichtungen. Gleichzeitig bleiben zentrale Pflichten für Betreiber kritischer Anlagen im Kern bestehen: Registrierung, erreichbare Kontaktstelle, Meldung erheblicher Sicherheitsvorfälle, technische und organisatorische Maßnahmen sowie Nachweise.
Für Stadtwerke liegt die Herausforderung weniger im Auswendiglernen neuer Begriffe als in der Betriebssicherheit der Routinen. Wenn ein Sicherheitsvorfall, eine IT-Störung oder eine unklare Lage eintritt, muss das Unternehmen wissen, wer bewertet, wer meldet, wer entscheidet und wer dokumentiert. Genau diese Kette sollte nicht erst im Ernstfall entstehen.
Die Kontaktstelle ist kein Adressbucheintrag
Eine 24/7 erreichbare Kontaktstelle klingt formal. Praktisch ist sie ein Betriebsversprechen. Sie muss auch funktionieren, wenn die Lage nachts, am Wochenende oder während paralleler technischer Störungen entsteht. Wer nimmt Informationen entgegen? Wie wird geprüft, ob es sich um einen meldepflichtigen Vorfall handeln könnte? Wie wird die Fachbereitschaft einbezogen? Welche Vertretung greift, wenn Schlüsselpersonen nicht erreichbar sind?
Stadtwerke sollten die Kontaktstelle deshalb nicht nur organisatorisch benennen, sondern regelmäßig testen. Ein kurzer Übungslauf zeigt oft mehr als ein langes Dokument. Kommt die Meldung an? Wird sie verstanden? Gibt es eine Eskalationsregel? Ist klar, welche Informationen zunächst fehlen dürfen und welche zwingend benötigt werden? Eine gute Kontaktstelle ist nicht perfekt, aber sie ist verlässlich und anschlussfähig an die Fachprozesse.
Vorfallmeldung braucht fachliche Übersetzung
Informationssicherheitsvorfälle sind selten von Anfang an eindeutig. Ein Ausfall kann technisch, organisatorisch oder extern verursacht sein. Ein Angriff kann vermutet, aber noch nicht bestätigt sein. Eine Beeinträchtigung kann lokal beginnen und später betriebliche Bedeutung gewinnen. Deshalb braucht die Meldekette eine fachliche Übersetzung zwischen IT, OT, Netzbetrieb, Kommunikation, Geschäftsführung und gegebenenfalls Dienstleistern.
Diese Übersetzung sollte vorbereitet sein. Welche Mindestinformationen werden in der ersten Lage benötigt? Welche Systeme oder Prozesse sind betroffen? Gibt es Auswirkungen auf kritische Dienstleistungen im Energiesektor? Welche Annahmen sind gesichert, welche offen? Wer darf externe Aussagen freigeben? Solche Fragen sind keine abstrakte Normauslegung, sondern operative Vorbereitung. Sie helfen, auch unter Unsicherheit strukturiert zu handeln.
Nachweise entstehen im Alltag
Das BSI verweist auf angemessene organisatorische und technische Vorkehrungen sowie auf Nachweise. In der Praxis werden Nachweise häufig als Auditordner gedacht. Das ist zu eng. Gute Nachweise entstehen im Alltag: aus geübten Meldewegen, dokumentierten Entscheidungen, gepflegten Rollen, überprüften Dienstleisterketten, aktualisierten Notfallkontakten, Lessons Learned und nachvollziehbaren Maßnahmen.
Für Stadtwerke ist die Verbindung zu Fachprozessen entscheidend. Informationssicherheit betrifft nicht nur zentrale IT. Sie berührt Leitstellen, Messwesen, Marktkommunikation, Kundenservice, Fernwärme, Wasser, Abrechnung, Portale und externe Betriebsführer. Ein Nachweis, der diese Prozessrealität nicht abbildet, bleibt formal. Ein Nachweis, der aus echten Übungen und Verbesserungen entsteht, ist belastbarer.
Dienstleister müssen in die Übung
Viele Stadtwerke arbeiten mit IT-Dienstleistern, Rechenzentren, Softwareanbietern, Abrechnungsdienstleistern, Messdienstleistern oder Betriebsführern zusammen. Gerade deshalb darf die Meldekette nicht an der Unternehmensgrenze enden. Wer informiert wen, wenn ein Dienstleister eine relevante Störung erkennt? Welche Zeiten gelten? Welche Informationen dürfen und müssen geteilt werden? Wie werden parallel Kundendialog und Behördenkommunikation vorbereitet?
Eine einfache Übung kann hier viel klären. Ein fiktiver Vorfall bei einem Dienstleister, der Auswirkungen auf ein energiewirtschaftliches Kernverfahren haben könnte, reicht aus. Entscheidend ist nicht die Dramatik des Szenarios, sondern die Beobachtung der Übergaben. Wird der richtige Kontakt genutzt? Sind Verantwortlichkeiten eindeutig? Gibt es Lücken zwischen Vereinbarung, Technik und Betriebspraxis?
Keine Panik, aber Wiederholbarkeit
NIS-2 und KRITIS-Kommunikation neigen manchmal zu Alarmton. Für die operative Arbeit ist das wenig hilfreich. Stadtwerke brauchen keine Panik, sondern Wiederholbarkeit. Ein guter Prozess ist verständlich, trainierbar und verbesserbar. Er unterscheidet zwischen Erstmeldung, Lagebild, Entscheidung, Dokumentation und Nachbereitung. Er ist nicht abhängig von einer einzelnen Person. Und er passt zur Größe und Komplexität des Unternehmens.
Dabei ist auch wichtig, Grenzen sauber zu markieren. Nicht jede Störung ist automatisch ein meldepflichtiger Sicherheitsvorfall. Nicht jede technische Auffälligkeit ist ein Angriff. Aber jede unklare Lage braucht einen Weg zur Bewertung. Diese Bewertungsroutine schützt vor Überreaktion und vor gefährlicher Verzögerung.
Die nächste Übung klein beginnen
Ein praktikabler Einstieg ist eine zweistündige Tischübung. Ausgangspunkt kann ein gestörter externer Dienst, ein verdächtiger Zugriff auf ein Fachsystem oder eine parallele Kommunikationslage sein. Die Übung sollte prüfen, ob Kontaktstelle, Fachbewertung, Geschäftsführung, Dienstleister und Dokumentation zusammenspielen. Am Ende stehen keine Schuldfragen, sondern drei konkrete Verbesserungen: ein fehlender Kontakt, eine unklare Rolle, eine unbrauchbare Vorlage oder ein ungeklärter Entscheidungsweg.
So wird aus Regulierung Betrieb. Die öffentliche BSI-Information liefert den Rahmen. Die eigentliche Sicherheit entsteht aber erst, wenn Stadtwerke die Anforderungen in ihre eigenen Abläufe übersetzen und regelmäßig erproben. Genau dort entscheidet sich, ob NIS-2 und KRITIS nur Dokumentationspflichten bleiben oder im Ernstfall tragfähige Handlungsfähigkeit schaffen.