Die Antwort zuerst: NIS2 wird in Stadtwerken nicht durch Toolgläubigkeit beherrschbar. Ein Security-Tool kann helfen, aber die entscheidenden Nachweise entstehen in Fachprozessen. Wer darf im Netzbetrieb entscheiden? Welche Dienstleister haben Zugriff? Wie werden Vorfälle gemeldet? Welche Systeme sind für Marktkommunikation, Messstellenbetrieb, Abrechnung und Kundenservice kritisch? Welche Übungen wurden durchgeführt? Welche Entscheidungen sind dokumentiert? Diese Fragen sind organisatorisch, nicht nur technisch.
Das BSI informiert öffentlich über NIS2-regulierte Unternehmen und den IT-Grundschutz. Für Stadtwerke liegt die praktische Herausforderung in der Übersetzung: Cybersicherheit betrifft nicht nur die IT-Abteilung, sondern alle Prozesse, in denen digitale Systeme Versorgung, Marktrollen, Zahlungsflüsse und Kundenkommunikation tragen. Wenn diese Prozesse nicht prüfbar beschrieben sind, entsteht im Ernstfall ein Nachweisproblem, selbst wenn einzelne technische Schutzmaßnahmen vorhanden sind.
Warum Toollisten nicht genügen
Viele Organisationen beginnen bei NIS2 mit der Frage nach Software: Asset Management, Ticketing, Risiko-Tool, SIEM, Awareness-Plattform. Diese Werkzeuge können sinnvoll sein. Sie beantworten aber nicht automatisch die Führungsfrage: Kann das Stadtwerk im Ereignisfall nachvollziehen, wer was wusste, wer was entschieden hat, welche Meldewege galten und welche Wirkung auf Versorgung und Marktprozesse entstand?
Wenn diese Antworten nur in Köpfen, E-Mails oder Dienstleisterverträgen verteilt sind, ist die Nachweisfähigkeit schwach. Deshalb braucht es Fachprozess-Akten. Sie müssen nicht bürokratisch sein. Sie müssen auffindbar, aktuell und prüfbar sein. Der Begriff Akte meint dabei keine Papierablage, sondern eine belastbare Struktur: Prozess, Rolle, Systemabhängigkeit, Nachweis, Entscheidung, Übung, Verbesserung.
Die ersten fünf Aktenfelder
Erstens: Rollen und Entscheidungsrechte. Wer entscheidet bei einem Cybervorfall über Notbetrieb, Kundeninformation, externe Meldungen, Dienstleisterfreigaben und Wiederanlauf? Diese Rollen müssen Stellvertretungen und Erreichbarkeit enthalten. Entscheidend ist nicht nur die Namensliste, sondern die Frage, ob die Rollen in Übungen funktioniert haben.
Zweitens: die kritische Prozesslandkarte. Stadtwerke sollten nicht nur Systeme listen, sondern Prozesse: Netzführung, Messwertverarbeitung, Marktkommunikation, Abrechnung, Zahlungsverkehr, Kundenportal, Leitwarte, Wärmenetzbetrieb, Dienstleisterzugänge. Eine Systemliste ohne Prozessbezug erklärt nicht, welche Wirkung eine Störung auf Kunden, Marktrollen oder Versorgung hat.
Drittens: Dienstleister- und Zugriffsnachweise. Viele kritische Fähigkeiten hängen an externem Support, Fernzugriffen, Plattformbetrieb oder Bereitschaftsleistungen. Eine Fachprozess-Akte sollte zeigen, welcher Dienstleister wofür gebraucht wird, welche Zugriffe bestehen, welche Eskalation vereinbart ist und welche Mindestinformationen im Ereignisfall verfügbar sein müssen.
Viertens: Melde- und Kommunikationswege. Wer informiert wen, in welcher Reihenfolge und mit welcher Aussagegrenze? Gerade hier entstehen Risiken durch gut gemeinte, aber nicht abgestimmte Kommunikation. Eine belastbare Akte trennt interne Lageklärung, regulatorische Meldung, kommunale Abstimmung, Kundeninformation und öffentliche Kommunikation.
Fünftens: Übungs- und Verbesserungsnachweise. NIS2-Fähigkeit entsteht nicht durch einmalige Dokumentation. Sie entsteht, wenn Störungen, Tests und Übungen zu Verbesserungsakten führen: Was fehlte? Welche Daten waren unklar? Welche Rolle war nicht erreichbar? Welche Entscheidung dauerte zu lange? Welche technische Abhängigkeit war nicht sichtbar?
Wie der Einstieg ohne Bürokratiemonster gelingt
Der Start sollte klein, aber verbindlich sein. Ein Stadtwerk kann mit drei bis fünf Kernprozessen beginnen und je Prozess eine Seite Nachweislogik erstellen. Darin stehen: Prozessziel, kritische Systeme, verantwortliche Rolle, Dienstleister, wichtigste Nachweise, Meldeweg, letzte Übung, offene Verbesserungen. Diese Struktur ist einfacher als ein umfassendes Sicherheitsprogramm, aber deutlich wirksamer als verstreute Dokumente.
Wichtig ist die gemeinsame Verantwortung. Die IT kann die technische Sicht liefern. Netzbetrieb, Messstellenbetrieb, Marktkommunikation, Vertrieb, Kundenservice und Geschäftsführung müssen aber erklären, welche Wirkung ein Ausfall in ihrem Bereich hätte und welche Entscheidungen dann nötig sind. Cybersicherheit wird dadurch nicht verwässert, sondern fachlich geerdet.
Wo Automatisierung helfen darf und wo nicht
Automatisierung kann Akten aktuell halten, Nachweise auffindbar machen, Übungen auswerten und offene Punkte erinnern. Sie darf aber nicht den Eindruck erzeugen, dass Compliance automatisch entsteht. Gerade in sicherheitsrelevanten Prozessen braucht es menschliche Verantwortliche, klare Freigaben und nachvollziehbare Grenzen. Ein System kann einen fehlenden Nachweis markieren. Es kann nicht allein entscheiden, welche operative Maßnahme im Versorgungsfall angemessen ist.
Der Beitrag ist keine Rechtsberatung zur NIS2-Betroffenheit und keine Compliance-Zusage. Er beschreibt eine Arbeitsform: Stadtwerke sollten die Nachweisfähigkeit dort beginnen, wo kritische Leistung wirklich entsteht. In Fachprozessen, Rollen, Dienstleisterketten, Übungen und Entscheidungen. Wer diese Ebene ordnet, macht Sicherheit führbar. Wer nur Tools beschafft, riskiert eine schöne Oberfläche ohne belastbare Organisation.