Sicherheitsorganisation beginnt im Fachprozess
NIS2 wird in Stadtwerken häufig als Compliance-Projekt gestartet. Zuständigkeiten werden geklärt, Richtlinien aktualisiert, Dienstleisterlisten geprüft und technische Maßnahmen bewertet. Das ist notwendig, aber nicht ausreichend. Der praktische Prüfstein liegt nicht im Vorhandensein eines Dokuments, sondern in der Frage, ob ein kritischer Fachprozess bei Störung, Angriff oder Verdacht handlungsfähig bleibt.
Für Stadtwerke ist diese Perspektive besonders wichtig, weil ihre Wertschöpfung über viele gekoppelte Prozesse läuft: Netzbetrieb, Messstellenbetrieb, Marktkommunikation, Kundenservice, Abrechnung, Energiebeschaffung, Leittechnik, Dienstleister und kommunale Krisenkommunikation greifen ineinander. Ein Nachweis ist deshalb nur dann belastbar, wenn er zeigt, wie diese Kette im Ereignisfall geführt wird.
Der Ordner ist nicht der Nachweis
Eine klassische Schwäche vieler Sicherheitsprogramme ist die Verwechslung von Dokumentation und Nachweis. Ein Notfallplan, eine Dienstleistervereinbarung oder eine Risikoanalyse sind wichtig. Sie beweisen aber noch nicht, dass die Organisation im Ernstfall weiß, welche Entscheidung wann zu treffen ist.
Ein belastbarer Nachweis verbindet Dokument, Rolle, Prozess und Übung. Er beantwortet konkrete Fragen: Wer erkennt einen Vorfall? Wer bewertet die fachliche Auswirkung? Wer entscheidet über Trennung, Weiterbetrieb oder Wiederanlauf? Wer informiert welche Marktrolle, welche Kommune, welche Aufsicht oder welchen Dienstleister? Welche Datenstände gelten als verlässlich? Welche Ersatzprozesse sind zulässig? Diese Fragen sind nicht nur IT-Fragen. Sie betreffen die fachliche Betriebsführung.
Dienstleistersteuerung braucht operative Tiefe
Stadtwerke arbeiten in vielen kritischen Bereichen mit Dienstleistern. Das ist normal und oft sinnvoll. Unter Sicherheitsgesichtspunkten reicht es jedoch nicht, Verträge und Ansprechpartner zu kennen. Entscheidend ist, ob die Abhängigkeit im Fachprozess verstanden ist.
Ein Beispiel: Wenn ein Abrechnungssystem nicht verfügbar ist, ist das eine IT-Störung. Wenn dadurch aber Marktkommunikationsfristen, Kundenkommunikation oder Liquiditätssteuerung betroffen sind, wird daraus ein fachlicher Steuerungsfall. Die Dienstleisterakte muss deshalb mehr enthalten als Kontaktdaten. Sie sollte zeigen, welche Fachprozesse betroffen sind, welche Wiederherstellungsreihenfolge gilt, welche manuellen Alternativen möglich sind und welche Eskalationsschwellen vereinbart wurden.
Meldewege sind nur so gut wie ihre Schwellen
Viele Organisationen definieren Meldewege, aber zu spät die Auslöseschwellen. Dadurch entsteht im Ereignisfall Unsicherheit: Ist das schon ein meldepflichtiger Vorfall? Muss die Geschäftsführung informiert werden? Welche Informationen dürfen intern oder extern weitergegeben werden? Wer formuliert den fachlichen Sachstand?
Für Stadtwerke ist es hilfreich, Schwellen nicht abstrakt, sondern pro Fachprozess zu beschreiben. Eine Störung im Kundenportal hat andere Folgen als ein Problem in der Netzleitstelle, im Messdatenmanagement oder in der Marktkommunikation. Gute Schwellen kombinieren technische Indikatoren mit fachlichen Auswirkungen: Dauer, betroffene Rollen, Versorgungsrelevanz, Datenintegrität, Fristen, Kundenwirkung und Wiederanlaufprognose.
Übungen sind kein Theater
NIS2-Reife entsteht nicht durch einmalige Projektabnahme. Sie entsteht durch Übungen, Nachschärfung und sichtbare Lernkurven. Eine Übung sollte nicht nur prüfen, ob ein Notfallplan gefunden wird. Sie sollte zeigen, ob die richtigen Personen die richtigen Informationen bekommen, ob Entscheidungen dokumentiert werden und ob die Fachprozesse realistisch priorisiert sind.
Ein wirksames Übungsformat ist der fachprozessbezogene Tabletop-Test. Dabei wird ein konkreter Ablauf simuliert, etwa eine Störung im Messdatenmanagement mit Auswirkungen auf Abrechnung und Kundenservice. Die Beteiligten müssen nicht nur technisch reagieren, sondern fachlich entscheiden: Welche Daten sind belastbar? Welche Frist ist kritisch? Welche Kundeninformation ist angemessen? Welche Dienstleisterreaktion wird erwartet? Was wird protokolliert?
Nachweismatrix statt Dokumentensammlung
Ein praktisches Arbeitsmittel ist eine Nachweismatrix. Sie verbindet die kritischen Fachprozesse mit Risiken, Rollen, Dienstleistern, technischen Abhängigkeiten, Meldewegen, Ersatzverfahren, Übungen und offenen Maßnahmen. Diese Matrix ersetzt keine Detaildokumente. Sie macht aber sichtbar, wo Nachweise zusammenpassen und wo Lücken bestehen.
Für die Geschäftsführung ist eine solche Matrix wertvoll, weil sie nicht in technischen Einzelmaßnahmen stecken bleibt. Sie zeigt, ob Sicherheitsorganisation in der betrieblichen Wirklichkeit angekommen ist. Sie macht Prioritäten diskutierbar und verhindert, dass einzelne Bereiche sehr weit sind, während Schnittstellen offen bleiben.
Fazit
NIS2 ist für Stadtwerke keine reine IT-Checkliste. Die entscheidende Frage lautet, ob kritische Fachprozesse unter Störung geführt, nachgewiesen und verbessert werden können. Wer Nachweise an reale Prozesse bindet, schafft mehr als Compliance. Er schafft eine Sicherheitsorganisation, die im Betrieb anschlussfähig ist.