Die Antwort zuerst: Kritisch ist der Verbund, nicht nur die einzelne Anlage
Das Bundesamt für Sicherheit in der Informationstechnik unterscheidet zwischen Betreibern und kritischen Anlagen. Zum Stichtag 30. Juni 2026 waren nach den veröffentlichten Kennzahlen insgesamt 1.231 Betreiber mit 2.180 Anlagen registriert. Im Sektor Energie weist das BSI 339 Betreiber und 552 Anlagen aus. Die Unterscheidung ist für Stadtwerke praktisch wichtig: Ein Betreiber kann mehrere Anlagen führen, und eine kritische Dienstleistung entsteht häufig erst durch deren Zusammenspiel.
Eine vollständige Liste von Standorten und technischen Komponenten bleibt notwendig. Für die betriebliche Resilienz reicht sie jedoch nicht aus. Ein Umspannwerk, eine Wärmeerzeugungsanlage oder eine Leitstelle kann technisch verfügbar sein und trotzdem seine Funktion verlieren, wenn Kommunikation, Hilfsenergie, Fernzugriff, Identitätsdienste oder ein spezialisierter Dienstleister ausfallen. Deshalb sollte das Anlageninventar um eine Abhängigkeitskarte ergänzt werden.
Von der Anlage zur kritischen Dienstleistung denken
Der Ausgangspunkt ist nicht das Gerät, sondern die Dienstleistung, die aufrechterhalten werden soll. Im Energiesektor nennt das BSI unter anderem Stromerzeugung, Stromübertragung, Stromverteilung, Stromhandel, Gasversorgung sowie Erzeugung, Verteilung, Steuerung und Überwachung von Fernwärme. Für ein Stadtwerk bedeutet das: Dieselbe technische Komponente kann je nach Prozess eine andere Bedeutung haben.
Die Leitfrage lautet daher: Welche minimale Funktionskette muss bestehen, damit die Dienstleistung in einem definierten Betriebszustand weiterläuft? Diese Kette umfasst technische Anlagen, Steuerung, Daten, Kommunikation, Personal und externe Leistungen. Erst auf dieser Ebene wird sichtbar, welche Abhängigkeit mehrere Anlagen gleichzeitig betrifft und welcher Ausfall lokal begrenzt bleibt.
Fünf Abhängigkeiten gehören in jede Karte
Erstens ist die Energieversorgung selbst zu betrachten. Dazu zählen Eigenbedarf, Hilfsenergie, unterbrechungsfreie Versorgung und die Dauer möglicher Ersatzversorgung. Zweitens braucht es die Kommunikationswege zwischen Anlage, Leitstelle und verantwortlichem Personal. Dabei sollte nicht nur die Hauptverbindung dokumentiert werden, sondern auch, ob ein unabhängiger Ersatzweg vorhanden ist.
Drittens sind digitale Basisdienste relevant: Identitäten, Berechtigungen, Zeitquellen, Namensauflösung, Protokollierung und Konfigurationszugriff. Viertens kommen externe Dienstleister hinzu, etwa für Wartung, Fernzugriff, Ersatzteile oder spezielle Software. Fünftens muss die personelle Abhängigkeit sichtbar werden. Ein technisch redundantes System bleibt verwundbar, wenn nur eine Person die notwendige Umschaltung beherrscht oder wenn Rufbereitschaften nicht für einen längeren Störungsverlauf ausgelegt sind.
Diese Kategorien helfen, die Karte einheitlich aufzubauen. Sie ersetzen keine Detailanalyse, verhindern aber blinde Flecken zwischen klassischen Zuständigkeiten. OT, IT, Netzbetrieb, Einkauf und Notfallmanagement betrachten dann denselben Betriebsverbund statt getrennte Listen.
Gemeinsame Abhängigkeiten verdienen Vorrang
Der größte Nutzen der Karte liegt in der Priorisierung. Eine einzelne Komponente mit hoher Bedeutung ist meist bekannt. Weniger sichtbar sind Dienste, von denen viele kritische Prozesse gleichzeitig abhängen. Ein zentraler Identitätsdienst, eine gemeinsame Fernzugangslösung oder ein einzelner Kommunikationsknoten kann mehrere Standorte verbinden. Sein Ausfall hat deshalb eine andere Reichweite als der Ausfall einer lokal redundanten Komponente.
Die Abhängigkeitskarte sollte solche gemeinsamen Punkte markieren. Dafür genügt zunächst eine einfache Frage: Welche drei bis fünf Dienste werden von den meisten kritischen Funktionsketten genutzt? Danach wird geprüft, ob Ausweichmöglichkeiten tatsächlich unabhängig sind. Zwei technische Wege sind keine echte Redundanz, wenn beide dieselbe Stromversorgung, dasselbe Gebäude oder denselben Dienstleister benötigen.
Dienstleister müssen als Betriebsrolle sichtbar werden
Verträge und Leistungsbeschreibungen allein zeigen nicht, wie ein Dienstleister im Störungsfall Teil des Betriebs wird. Für jede kritische externe Leistung sollte geklärt sein, wie der Kontakt außerhalb üblicher Zeiten funktioniert, welche Zugänge erforderlich sind, welche Daten bereitgestellt werden und wie gearbeitet wird, wenn die normale Kommunikationsplattform nicht verfügbar ist.
Wichtig ist auch die Rückfallebene. Kann das Stadtwerk eine Anlage zeitweise ohne Fernwartung betreiben? Welche lokalen Handlungen sind möglich? Welche Dokumentation liegt vor Ort oder offline vor? Welche Entscheidung darf nur internes Personal treffen? Diese Fragen verbinden Lieferantenmanagement mit Betriebsführung, ohne jede externe Leistung pauschal als Risiko zu behandeln.
Die Karte muss in Übungen benutzt werden
Eine Abhängigkeitskarte wird erst belastbar, wenn sie einen konkreten Störungsverlauf erklären kann. Übungen sollten deshalb nicht nur den Ausfall einer Anlage simulieren. Aussagekräftiger ist der Ausfall einer gemeinsamen Abhängigkeit: keine zentrale Anmeldung, keine Fernverbindung, kein Mobilfunk oder kein verfügbarer Spezialdienstleister. Die Teams prüfen dann, welche Funktionsketten betroffen sind und welche Ersatzverfahren tatsächlich funktionieren.
Nach der Übung werden nicht nur technische Fehler dokumentiert. Ebenso wichtig sind unklare Entscheidungsrechte, fehlende Kontaktdaten, widersprüchliche Bestandslisten und nicht verfügbare Unterlagen. Jede Feststellung erhält eine verantwortliche Rolle und einen Prüftermin. So wird die Karte schrittweise präziser, ohne dass vor der ersten Nutzung Vollständigkeit behauptet werden muss.
Ein pragmatischer Einstieg in vier Schritten
Im ersten Schritt wählt das Stadtwerk eine kritische Dienstleistung und beschreibt den minimalen Betriebszustand, der auch in einer Störung gehalten werden soll. Im zweiten Schritt werden die dafür notwendigen Anlagen, Systeme, Kommunikationswege, Personen und externen Leistungen auf einer Seite verbunden. Im dritten Schritt markieren die Beteiligten gemeinsame Abhängigkeiten und vorhandene Ersatzwege. Im vierten Schritt wird ein einzelner Ausfall dieser Abhängigkeiten als kurze Übung durchgespielt.
Dieser Einstieg ist bewusst klein. Er vermeidet, dass das Vorhaben an einem unternehmensweiten Vollständigkeitsanspruch scheitert. Nach jeder Übung kann eine weitere Dienstleistung oder ein weiterer Standort ergänzt werden. Entscheidend ist, dass Begriffe, Rollen und Darstellungslogik gleich bleiben. Dann wächst aus einzelnen Karten ein konsistentes Bild des Anlagenverbunds.
Kennzahlen als Kontext, nicht als Risikobeweis
Die vom BSI veröffentlichten Zahlen zeigen die Breite Kritischer Infrastrukturen und die besondere Bedeutung des Energiesektors. Sie sagen jedoch nichts über das konkrete Risiko eines einzelnen Stadtwerks oder einer einzelnen Anlage aus. Öffentliche Kennzahlen sollten daher als Kontext genutzt werden, nicht als Ersatz für die eigene Analyse.
Für die interne Steuerung sind andere Maße hilfreicher: Wie viele kritische Funktionsketten hängen von einem gemeinsamen Dienst ab? Für welche Abhängigkeit ist kein unabhängiger Ersatzweg nachgewiesen? Wann wurde ein Ersatzverfahren zuletzt praktisch getestet? Wie viele offene Feststellungen aus Übungen sind überfällig? Diese Fragen führen direkt zu bearbeitbaren Maßnahmen.
Was eine gute Abhängigkeitskarte leistet
Eine gute Karte ermöglicht drei schnelle Antworten. Erstens: Welche Dienstleistung ist bei einem bestimmten Ausfall betroffen? Zweitens: Welche Ersatzfahrweise ist vorgesehen und wer entscheidet darüber? Drittens: Welche anderen Anlagen oder Prozesse teilen dieselbe Abhängigkeit? Wenn diese Antworten im Störungsfall ohne lange Suche verfügbar sind, erfüllt die Karte ihren Zweck.
Das Anlageninventar bleibt die Grundlage. Die Abhängigkeitskarte macht daraus jedoch ein Führungsinstrument für Resilienz. Sie verbindet technische Realität, digitale Basisdienste, externe Partner und menschliche Handlungsfähigkeit zu einem gemeinsamen Betriebsbild.
Grenzen der Einordnung
Ob eine Organisation oder Anlage unter konkrete gesetzliche Pflichten fällt, muss anhand der geltenden Regelungen und der individuellen Situation geprüft werden. Dieser Beitrag nimmt keine rechtliche Einordnung vor. Er beschreibt eine organisatorische Methode, mit der Stadtwerke betriebliche Abhängigkeiten transparent machen und Übungen gezielter vorbereiten können.