Die Antwort zuerst: NIS2 wird für Stadtwerke nur dann beherrschbar, wenn Cybersicherheit in konkrete Fachprozesse übersetzt wird. Eine Richtlinie, ein Sicherheitskonzept oder ein Auditplan reichen nicht aus. Entscheidend ist, ob Netzbetrieb, IT, OT, Marktkommunikation, Kundenservice, Einkauf und Geschäftsführung im Störungsfall dieselben Rollen, Schwellenwerte und Nachweise kennen. Cybersicherheit ist damit nicht weniger technisch, aber deutlich organisatorischer, als viele Programme starten.
Was NIS2 für die Energiebranche bedeutet
Die NIS2-Richtlinie der Europäischen Union zielt auf ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie erweitert den Blick auf Risikomanagement, Meldepflichten, Lieferketten, Geschäftsleitung und technische sowie organisatorische Maßnahmen. Energie gehört zu den besonders relevanten Sektoren. Für Stadtwerke und kommunale EVU ist wichtig: Die genaue nationale Umsetzung entscheidet über Details, aber die Richtung ist klar. Cybersicherheit wird stärker nachweis-, melde- und governancepflichtig.
Das betrifft nicht nur große Übertragungsnetzbetreiber oder klassische KRITIS-Strukturen. Viele kommunale Unternehmen verbinden Strom, Gas, Wärme, Wasser, Telekommunikation, Rechenzentrum, Messstellenbetrieb und Kundenprozesse. Dadurch entstehen Abhängigkeiten, die in Organigrammen oft sauber getrennt aussehen, technisch aber eng gekoppelt sind. Ein Ausfall im Identitätsmanagement kann den Kundenservice treffen. Eine kompromittierte Schnittstelle kann Marktkommunikation stören. Ein Dienstleisterproblem kann OT-Wartung verzögern.
Warum Fachprozesse der Schlüssel sind
Cybersicherheit wird häufig aus der IT heraus aufgebaut: Firewalls, Endpoint-Schutz, Rechtekonzepte, Monitoring, Backup, Schwachstellenmanagement. All das ist notwendig. Für NIS2-Reife genügt es aber nicht, wenn die Fachbereiche nicht wissen, was diese Maßnahmen für ihren Alltag bedeuten.
Ein Beispiel ist die Marktkommunikation. Der BDEW beschreibt sie als standardisierte Sprache und Prozesswelt des Energiemarkts. Wenn diese Kommunikationsketten gestört sind, entsteht nicht nur ein IT-Ticket. Es können Fristen, Lieferantenwechsel, Abrechnung, Stammdatenänderungen oder Klärfälle betroffen sein. Der Sicherheitsprozess muss daher fachlich bewerten können, welche Marktrollen, Fristen und Kundenwirkungen betroffen sind.
Ähnlich im Netzbetrieb: Ein OT-Vorfall ist nicht automatisch eine Versorgungskrise, aber er kann die Beobachtbarkeit oder Bedienbarkeit einschränken. Dann muss klar sein, welche Ersatzverfahren greifen, wer Lageentscheidungen trifft, welche Informationen an wen gehen und welche Dokumentation später prüfbar sein muss.
Die fünf Prozessfelder für Stadtwerke
Erstens: Rollen und Verantwortlichkeiten. Geschäftsleitung, Informationssicherheitsbeauftragte, IT-Betrieb, OT-Verantwortliche, Datenschutz, Kommunikation und Fachbereichsleitungen brauchen definierte Entscheidungsrechte. Im Krisenfall darf nicht neu verhandelt werden, wer abschaltet, informiert oder priorisiert.
Zweitens: Melde- und Eskalationswege. NIS2 betont Vorfallbehandlung und Meldungen. Stadtwerke sollten Schwellenwerte nicht nur technisch definieren, sondern fachlich: Welche Störung ist ein beobachteter Verdacht, welche ist ein Sicherheitsvorfall, welche ist ein melde- oder geschäftsleitungsrelevantes Ereignis? Welche Uhr startet wann? Wer dokumentiert?
Drittens: Lieferketten und Dienstleister. Viele Stadtwerke betreiben kritische Systeme nicht vollständig selbst. Abrechnung, EDM, Marktkommunikation, Leitstellenkomponenten, Fernwartung, Cloud-Dienste oder Security Operations können ausgelagert sein. Entscheidend ist, ob Verträge, Ansprechpartner, Reaktionszeiten, Nachweise und Notfallzugänge aktuell sind. Ein Dienstleisterregister ohne operative Tests ist zu wenig.
Viertens: IT/OT-Übergänge. Die Grenze zwischen Büro-IT und Betriebstechnik ist in der Energiewirtschaft besonders sensibel. Fernwartung, Datenexporte, Netzmodelle, Messdaten und Steuerbefehle benötigen klare Segmentierung und Freigabeprozesse. Jede Ausnahme sollte befristet, begründet und dokumentiert sein.
Fünftens: Kommunikation und Kundenwirkung. Ein Sicherheitsvorfall kann öffentlich werden, bevor alle Fakten vorliegen. Stadtwerke brauchen vorbereitete Sprachregelungen, die korrekt, nicht beschwichtigend und nicht spekulativ sind. Kundenservice und Pressestelle müssen wissen, welche Aussagen zulässig sind und wann an die Lageleitung verwiesen wird.
KI und Automatisierung nur mit Guardrails
Automatisierung kann NIS2-Prozesse verbessern: Tickets klassifizieren, Logs korrelieren, Nachweise sammeln, Dienstleisterfristen überwachen oder Lagebilder strukturieren. Besonders KI-gestützte Verfahren sind aber nur dann nützlich, wenn sie klare Grenzen haben. Sie dürfen keine ungeprüften Entscheidungen über Abschaltungen, Meldungen oder Kundeninformationen treffen. Sie sollten Quellen anzeigen, Änderungen protokollieren und menschliche Freigaben erzwingen, wo Fachrisiken bestehen.
Der sinnvolle Einsatz liegt nicht in der vollautomatischen Krise, sondern in der besseren Vorbereitung: Checklisten, Abhängigkeitskarten, Übungsprotokolle, Auswertungen von Lessons Learned und konsistente Nachweisordner. Damit zahlt Digitalisierung auf Prüfbarkeit ein, statt neue Intransparenz zu erzeugen.
Praktischer Startpunkt
Ein Stadtwerk kann innerhalb von 30 Tagen eine erste NIS2-Prozesslandkarte erstellen. Dazu werden zehn kritische Fachprozesse ausgewählt: Netzleitstelle, Marktkommunikation, Messdatenmanagement, Abrechnung, Kundenservice, Fernwartung, Identitätsmanagement, Backup/Restore, Dienstleisterstörung und Krisenkommunikation. Für jeden Prozess werden Verantwortliche, kritische Systeme, externe Dienstleister, maximale tolerierbare Ausfallzeit, Ersatzverfahren, Meldewege und Nachweise erfasst.
Danach folgt eine Übung mit einem realistischen Szenario, zum Beispiel gestörte Marktkommunikation durch kompromittierte Zugangsdaten oder eingeschränkte OT-Fernwartung. Wichtig ist nicht, ob alles perfekt läuft. Wichtig ist, welche Lücken sichtbar werden: fehlende Telefonnummern, unklare Freigaben, nicht getestete Backups, widersprüchliche Kundenaussagen oder fehlende Fachbewertung.
Fazit
NIS2 erhöht den Druck, aber auch die Chance zur Professionalisierung. Stadtwerke, die Cybersicherheit nur als IT-Nachweis behandeln, werden viele Dokumente erzeugen und trotzdem im Ernstfall unsicher bleiben. Wer sie in Fachprozesse übersetzt, baut Resilienz auf: klare Rollen, belastbare Meldewege, geprüfte Dienstleister, dokumentierte IT/OT-Übergänge und kommunikationsfähige Lagebilder. Das ist der Unterschied zwischen Compliance auf Papier und Sicherheit im Betrieb.