KRITIS-Nachweise: Warum Stadtwerke den Geltungsbereich als Führungsakte pflegen sollten

Der Nachweis beginnt mit der Grenze

Die Antwort zuerst: Stadtwerke sollten KRITIS-Nachweise nicht als periodisches Prüfprojekt behandeln, sondern als fortlaufende Führungsakte. Das BSI beschreibt in seiner Orientierungshilfe, dass die Dokumentation des Geltungsbereichs den grundlegenden Rahmen für Vorbereitung und Durchführung der Prüfung bildet. Sie soll für Betreiber, Prüfende und BSI nachvollziehbar machen, welche Anlage, welche Versorgungsfunktion, welche Informationstechnik und welche Grenzen betrachtet werden. Genau diese Grenzziehung ist im Stadtwerk selten statisch.

Kommunale Energieunternehmen verändern laufend ihre Systemlandschaft. Netzleitstellen werden modernisiert, Messwesenprozesse digitalisiert, Dienstleister eingebunden, Fernwartungswege angepasst, Datenplattformen ergänzt, Cloud-Dienste geprüft und Fachverfahren miteinander verbunden. Gleichzeitig bleiben Versorgungspflichten, Bereitschaftsorganisation und operative Verantwortung bestehen. Wenn der KRITIS-Geltungsbereich nur kurz vor der Prüfung aktualisiert wird, entsteht ein hohes Risiko: Die formale Dokumentation läuft der realen Betriebsarchitektur hinterher.

Eine Führungsakte bedeutet nicht, dass jede technische Änderung sofort ein großes Audit auslöst. Sie bedeutet, dass relevante Veränderungen nachvollziehbar in einer gemeinsamen Sicht landen. Welche kritische Dienstleistung ist betroffen? Welche Prozesse stützen sie? Welche Systeme sind direkt oder indirekt notwendig? Welche Schnittstellen verbinden IT, OT, Messwesen, Marktkommunikation, Leitstelle, Dienstleister und externe Kommunikationswege? Welche Annahmen haben sich seit dem letzten Nachweis geändert?

IT-Sicherheit ist ohne Fachprozesse blind

Viele Sicherheitsprogramme beginnen bei Systemen: Server, Clients, Netzsegmente, Firewalls, Identitäten, Protokolle. Für KRITIS reicht das nicht. Stadtwerke müssen die Versorgungsfunktion verstehen. Ein System ist nicht nur ein technisches Objekt, sondern Teil eines fachlichen Ablaufes. Ein Ausfall kann Abrechnung verzögern, Marktkommunikation stören, Netzbetrieb beeinträchtigen oder Meldewege blockieren. Ohne Prozesssicht bleibt unklar, welche Schutzmaßnahme tatsächlich kritische Versorgung schützt.

Das BSI nennt für die Geltungsbereichsdokumentation unter anderem Kontext, Prozesse, Informationstechnik, Schnittstellen und Externe. Für Stadtwerke ist diese Struktur hilfreich, weil sie IT- und Fachsprache verbindet. Der Kontext beschreibt die Rolle der Anlage und der kritischen Dienstleistung. Die Prozesssicht zeigt, welche Tätigkeiten notwendig sind. Die IT- und OT-Sicht zeigt, welche Systeme und Kommunikationswege beteiligt sind. Die Schnittstellensicht zeigt Abhängigkeiten. Die Sicht auf Externe verhindert, dass Dienstleister zwar operativ entscheidend, aber dokumentarisch unsichtbar bleiben.

Gerade externe Abhängigkeiten verdienen Aufmerksamkeit. Viele Stadtwerke nutzen spezialisierte Dienstleister für Rechenzentrum, Marktkommunikation, Gateway-Administration, Leitstellentechnik, Fernwirksysteme, Wartung oder Security Monitoring. Das ist fachlich sinnvoll, entbindet aber nicht von der Pflicht, die eigene Versorgungsfunktion nachvollziehbar zu beschreiben. Eine Führungsakte hält fest, welche Leistung extern erbracht wird, welche Schnittstelle genutzt wird, welche Nachweise vorliegen, welche Eskalationswege gelten und welche Entscheidung beim Betreiber bleibt.

Der Prüfbericht ist nicht der einzige Zweck

Wer den Nachweis nur als Prüfbericht versteht, verschenkt Nutzen. Eine gepflegte Geltungsbereichsakte hilft auch im Alltag. Sie macht sichtbar, welche Systeme wirklich kritisch sind, welche Änderungen eine Sicherheitsbewertung brauchen und welche Teams bei Störungen zusammenarbeiten müssen. Sie unterstützt Notfallübungen, Dienstleistersteuerung, Investitionsentscheidungen und die Kommunikation mit Geschäftsführung und Aufsichtsgremien.

Das ist besonders wichtig, weil KRITIS- und NIS-2-Diskussionen in vielen Organisationen parallel laufen. Die Begriffe ändern sich, Pflichten werden angepasst, Übergangsfristen und Zuständigkeiten müssen verfolgt werden. Der stabile Kern bleibt aber: Wer seine kritischen Prozesse, Systeme und Grenzen nicht erklären kann, kann Risiken nur schwer steuern. Die Führungsakte ist daher kein Ersatz für rechtliche Prüfung, aber eine Voraussetzung für belastbare Prüfung.

Praktisch kann sie schlank beginnen. Eine Tabelle mit Prozess, System, Schnittstelle, Betreiberrolle, Dienstleister, Kritikalität, Nachweisquelle, letzter Prüfung und offener Unsicherheit ist oft hilfreicher als ein umfangreiches Dokument, das niemand pflegt. Wichtig ist die Verantwortlichkeit. Jemand muss Änderungen einsammeln, fachlich einordnen und regelmäßig mit IT, OT, Informationssicherheit und Fachbereichen abgleichen.

Änderungen brauchen eine eigene Spur

Der häufigste Fehler ist die Vermischung von Bestandsdokumentation und Änderungssteuerung. Eine KRITIS-Akte beschreibt den aktuellen Geltungsbereich. Eine Änderungsspur beschreibt, was sich verändert und warum das relevant sein könnte. Neue Fernwartungswege, Systemmigrationen, Dienstleisterwechsel, Netzsegmentänderungen, zusätzliche Schnittstellen oder veränderte Bereitschaftsprozesse gehören nicht nur in Projektunterlagen. Sie gehören als Hinweis in die KRITIS-Führungsakte.

Daraus entsteht kein Automatismus für große Freigaben. Es entsteht ein Frühwarnsystem. Wenn eine Änderung die kritische Dienstleistung nicht berührt, kann das dokumentiert werden. Wenn sie eine Schnittstelle oder einen externen Dienstleister betrifft, kann eine gezielte Prüfung folgen. Wenn sie Notfall- oder Meldewege berührt, kann eine Übung angepasst werden. So wird aus Compliance ein Entscheidungsprozess.

Für Geschäftsführungen ist diese Form besonders wertvoll, weil sie Fragen beantwortet, die über Technik hinausgehen: Wissen wir, welche Systeme unsere kritische Leistung tragen? Wissen wir, wer im Störungsfall entscheidet? Wissen wir, welche externen Abhängigkeiten bestehen? Können wir erklären, warum ein Nachweis vollständig ist?

Keine Rechtsberatung, aber bessere Steuerbarkeit

Eine redaktionelle Einordnung ersetzt keine verbindliche Rechts- oder Prüfberatung. Sie kann aber zeigen, worauf Stadtwerke organisatorisch achten sollten. Der Geltungsbereich ist nicht nur ein Anhang im Nachweisverfahren. Er ist die Landkarte der Verantwortung. Wenn diese Landkarte aktuell ist, werden Prüfungen, Sicherheitsmaßnahmen und Investitionen zielgenauer. Wenn sie veraltet ist, entsteht Unsicherheit genau dort, wo Nachvollziehbarkeit gefordert ist.

Die operative Konsequenz ist einfach: KRITIS-Nachweise gehören in den Führungskalender, nicht nur in den Auditordner. Regelmäßige Aktualisierung, klare Änderungsindikatoren und eine gemeinsame Sicht auf Prozesse, IT/OT und Externe machen den Unterschied zwischen Papiernachweis und belastbarer Sicherheitsroutine.