Die Energiewende ist in vollem Gange, und als Ingenieurin sehe ich jeden Tag, wie sich unser Netz von einer Einbahnstraße in ein hochkomplexes, atmendes Ökosystem verwandelt. Wir integrieren Millionen von PV-Anlagen, Wärmepumpen und Elektrofahrzeuge. Doch diese Dezentralität und die damit verbundene Digitalisierung – denken wir nur an die Steuerung nach §14a EnWG – erhöhen die Angriffsfläche massiv. Im Jahr 2026 stehen wir an einem Wendepunkt: Cyber-Sicherheit und physische Resilienz sind keine „IT-Themen“ mehr. Sie sind das Fundament, auf dem die Versorgungssicherheit von morgen steht.
Warum Sie sich jetzt mit KRITIS beschäftigen müssen
Vielleicht fragen Sie sich: „Warum muss ausgerechnet ich mich in meiner strategischen Rolle mit Registrierungsfristen und Meldesystemen befassen?“ Die Antwort ist zweigeteilt: Systemverantwortung und persönliche Haftung.
Als Stadtwerk sind Sie nicht mehr nur ein lokaler Versorger; Sie sind ein Knotenpunkt in einem vernetzten europäischen Energiesystem. Ein Ausfall Ihrer IT oder eine Sabotage an Ihren Anlagen hat im Zeitalter der Sektorkopplung kaskadierende Effekte. Gleichzeitig hat der Gesetzgeber die Zügel angezogen. Mit dem NIS-2-Umsetzungsgesetz und dem KRITIS-Dachgesetz wird die Resilienz zur Chef-Sache – im wahrsten Sinne des Wortes. Wer die Sicherheit vernachlässigt, haftet persönlich. Ein Verzicht des Unternehmens auf Ersatzansprüche gegen die Geschäftsführung? Rechtlich unwirksam.
Die duale Pflicht: NIS-2 und das KRITIS-Dachgesetz
Wir bewegen uns weg von punktuellen Sicherheitsmaßnahmen hin zu einem „All-Gefahren-Ansatz“. Das bedeutet, wir müssen den Schutz unserer Infrastruktur ganzheitlich denken. Dabei spielen zwei zentrale Gesetzgebungen die Hauptrolle:
- Digitale Sicherheit (NIS-2 / BSIG): Seit dem 6. März 2026 müssen alle Stadtwerke, die als „besonders wichtige Einrichtungen“ (BWE) gelten, beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registriert sein. Hier geht es um Incident Response, Cyber-Hygiene und die Absicherung der Lieferketten.
- Physische Resilienz (KRITIS-DachG): Am 28. Januar 2026 verabschiedet, adressiert dieses Gesetz die physische Welt. Die Frist für die Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) läuft am 17. Juli 2026 ab. Hier stehen Sabotage, Naturkatastrophen (Stichwort: Klimafolgenanpassung) und der Schutz der Anlagenstandorte im Fokus.
Der Zeitplan der Resilienz: Wichtige Meilensteine
Um den Überblick zu behalten, müssen wir die regulatorischen Anforderungen in unseren operativen Fahrplan integrieren. Hier ist die Roadmap für 2026 und darüber hinaus:
| Frist / Zyklus | Inhaltliche Anforderung | Zielsetzung |
|---|---|---|
| 06.03.2026 | Registrierung BSI (NIS-2) | Meldung als BWE, Benennung Ansprechpartner |
| 17.07.2026 | Registrierung BBK (KRITISDachG) | Meldung physischer Anlagenstandorte |
| Laufend | Risikomanagement (§ 30 BSIG) | Backup-Konzepte, Incident Response, Cyber-Hygiene |
| Alle 3 Jahre | Mitarbeiterschulung | Verpflichtende Schulung Geschäftsleitung (mind. 4h) |
| Alle 4 Jahre | Risikoanalysen | Umfassende Bewertung physischer & digitaler Gefahren |
| Sofort (24h) | Meldung Sicherheitsvorfälle | Gestaffeltes Meldesystem bei erheblichen Störungen |
Die technische Realität: Systeme zur Angriffserkennung (SzA)
Als Ingenieurin betrachte ich besonders die Anforderungen an die Technik. Gemäß § 11 EnWG müssen Betreiber kritischer Energieinfrastrukturen bereits seit 2023 Systeme zur Angriffserkennung (SzA) einsetzen. Diese müssen nun proaktiv in ein Security Operations Center (SOC) integriert werden.
Warum ist das so kritisch? Die Meldefristen sind brutal: Eine erste Frühmeldung muss innerhalb von 24 Stunden nach Kenntnisnahme eines Vorfalls beim BSI eingehen. Das ist manuell kaum zu leisten. Wir benötigen automatisierte SIEM-Systeme (Security Information and Event Management), die Anomalien im Netzbetrieb – etwa ungewöhnliche Schaltvorgänge bei steuerbaren Verbrauchseinrichtungen nach §14a EnWG – sofort identifizieren.
Integration in die Netzplanung und Nachhaltigkeitsstrategie
Resilienz ist für mich ein integraler Bestandteil der Nachhaltigkeit (ESG). Ein Stadtwerk, das nicht resilient ist, kann seine Rolle als Treiber der Dekarbonisierung nicht erfüllen. Wenn wir über die Integration von Erneuerbaren sprechen, müssen wir die Steuerungsschnittstellen (Smart Meter Gateway) absichern.
Ein robuster Netzbetrieb bedeutet heute:
- Spannungshaltung durch Flexibilität: Aber nur, wenn die Flexibilität (Batteriespeicher, Wärmepumpen) nicht durch Cyber-Angriffe manipuliert werden kann.
- Monitoring: Echtzeit-Daten aus dem Verteilnetz sind für die Netzplanung essenziell, müssen aber vor unbefugtem Zugriff geschützt sein (ISO 27001 / BSI-Grundschutz).
- Sektorkopplung: Die Verbindung von Strom-, Wärme- und Verkehrsnetz schafft neue Abhängigkeiten. Ein Ausfall im Stromnetz darf nicht automatisch das Trinkwassernetz lahmlegen (physische Redundanz).
Fazit: Vom Pflichtprogramm zur Kür
Die Umsetzung von NIS-2 und dem KRITIS-Dachgesetz ist ohne Zweifel eine gewaltige Aufgabe, die Ressourcen bindet und Investitionen erfordert. Doch sehen wir es als Chance: Ein hochsicheres, resilientes Stadtwerk ist ein attraktiver Partner für Industrie und Gewerbe, die auf eine unterbrechungsfreie, grüne Energieversorgung angewiesen sind.
Die Energiewende 2030 wird nur gelingen, wenn wir das Vertrauen der Bürger und der Wirtschaft in unsere Infrastruktur bewahren. Fangen Sie nicht erst im Juni 2026 an, über physische Resilienz nachzudenken. Integrieren Sie Sicherheit in jedes PV-Projekt, in jede Netzplanung und in jede Vorstandsentscheidung.
Wir bauen nicht nur ein grüneres Netz – wir bauen ein sichereres Fundament für unsere Gesellschaft.