KRITIS- und Cyberresilienz wird in Stadtwerken häufig über Dokumente beschrieben: Sicherheitskonzepte, Notfallhandbücher, Dienstleisterverträge, Rollenmodelle, Meldewege, Wiederanlaufpläne. Diese Dokumente sind notwendig. Sie beweisen aber noch nicht, dass die Organisation unter Stress handlungsfähig bleibt. Der Unterschied zeigt sich erst in Übungen. Wer ruft wen an? Welche Lageinformation gilt? Wer darf entscheiden? Welche Dienstleister reagieren wie schnell? Welche Kunden- und Kommunalaussage ist zulässig? Und wann wird aus einem IT-Vorfall ein energiewirtschaftlicher Betriebsfall?
Öffentliche Informationen des BBK zu Kritischen Infrastrukturen, des BSI zum IT-Grundschutz und die europäische NIS2-Richtlinie unterstreichen den organisatorischen Charakter von Resilienz. Sicherheit ist nicht nur Technik. Sie ist ein Zusammenspiel aus Prävention, Detektion, Reaktion, Wiederherstellung, Nachweisführung und Verantwortung. Für Stadtwerke bedeutet das: Übungen müssen nicht nur Server und Firewalls testen, sondern die Fachprozesse, die an digitaler Infrastruktur hängen.
Answer first: Eine gute Übung testet Entscheidungen, nicht nur Checklisten
Der Kern einer KRITIS-Übung ist nicht, ob alle Beteiligten das Handbuch kennen. Der Kern ist, ob sie mit unvollständiger Lage, Zeitdruck und widersprüchlichen Informationen gute Entscheidungen treffen. Eine Übung sollte deshalb bewusst Prozessbrüche sichtbar machen: Ein Dienstleister ist nicht erreichbar. Ein Systemstatus ist unklar. Der Kundenservice erhält Anrufe, bevor die Lage offiziell bestätigt ist. Die Kommune fragt nach einer Einschätzung. Ein Fachbereich fordert Freigabe für einen Workaround.
Solche Szenarien sind unbequem, aber wertvoll. Sie zeigen, ob Rollen nur auf Papier existieren oder tatsächlich funktionieren. Sie zeigen auch, ob Sicherheitsorganisation und energiewirtschaftlicher Betrieb dieselbe Sprache sprechen. Ein Incident-Status aus der IT hilft dem Netzbetrieb nur, wenn klar ist, welche Auswirkungen auf Leitwarte, Messdaten, Marktkommunikation, Kundenportal oder Bereitschaftsdienst möglich sind.
Fachprozesse gehören in den Übungsraum
Viele Übungen konzentrieren sich auf IT-Wiederherstellung. Das ist wichtig, aber zu eng. Stadtwerke sind Prozessorganisationen. Ein Ausfall oder eine Kompromittierung kann Marktkommunikation, Abrechnung, Messwesen, Netzanschluss, Redispatch, Kundenservice, Wärmenetzbetrieb oder Beschaffung betreffen. Deshalb muss jede Übung definieren, welche Fachprozesse im Szenario betroffen sind und welche Mindestfähigkeit erhalten bleiben muss.
Beispiel Kundenservice: Wenn ein Portal gestört ist, müssen Mitarbeitende wissen, welche Aussagen sie treffen dürfen. Ist es eine allgemeine Störung, ein Datenschutzverdacht, ein Abrechnungsproblem oder ein Angriff? Welche Informationen dürfen aufgenommen werden? Welche Versprechen sind verboten? Wann wird an Kommunikation, Datenschutz oder Geschäftsführung eskaliert?
Beispiel Marktkommunikation: Wenn Nachrichten nicht verarbeitet werden, zählt nicht nur die technische Wiederherstellung. Fristen, Clearingfälle, Marktpartnerkommunikation und Kundenwirkung müssen beurteilt werden. Wer entscheidet, ob ein Workaround fachlich zulässig ist? Welche Fälle werden priorisiert? Welche Nachweise werden später benötigt?
Dienstleister sind Teil des Betriebs, nicht Randnotiz
Stadtwerke arbeiten mit IT-Dienstleistern, Rechenzentren, Fachverfahrensanbietern, Messdienstleistern, Telekommunikationsanbietern, Bau- und Wartungspartnern. In der Krise entscheidet nicht der Vertragstext allein, sondern die geübte Schnittstelle. Deshalb sollten Dienstleister in KRITIS-Übungen nicht nur als abstrakte Abhängigkeit auftauchen. Sie brauchen konkrete Kontaktwege, Eskalationsstufen, Reaktionszeiten, Vertretungen und gemeinsame Lageformate.
Eine einfache Frage deckt viele Lücken auf: Kann das Stadtwerk innerhalb von 30 Minuten eine belastbare Liste der kritischen Dienstleister für den betroffenen Fachprozess erstellen, inklusive Notfallkontakt, Vertragsbezug, technischer Abhängigkeit und fachlicher Auswirkung? Wenn nicht, ist die Übung bereits erfolgreich, weil sie eine echte Schwachstelle gefunden hat.
Meldewege brauchen fachliche Vorprüfung
Regulatorische Meldepflichten und interne Eskalationen dürfen nicht erst im Ernstfall interpretiert werden. Gleichzeitig sollten Stadtwerke nicht vorschnell melden, was fachlich noch unklar ist, oder zu lange warten, weil niemand die Schwelle einordnet. Deshalb braucht der Meldeweg eine Vorprüfung: Welche Kriterien sprechen für eine Sicherheitslage? Welche für eine Versorgungslage? Welche für Datenschutz? Welche für reine Betriebsstörung? Welche Stellen müssen beteiligt werden, bevor eine externe Meldung erfolgt?
Diese Vorprüfung ist keine Rechtsberatung im Krisenraum. Sie ist eine vorbereitete Entscheidungshilfe. Sie sollte Rollen, Quellen, Mindestinformationen und Zeitpunkte benennen. Dadurch wird aus Unsicherheit kein Aktionismus und aus Vorsicht kein Stillstand.
Nach der Übung beginnt die eigentliche Arbeit
Der größte Nutzen entsteht nach der Übung. Nicht die perfekte Durchführung ist das Ziel, sondern die Verbesserung des Systems. Jede Übung sollte deshalb in eine Maßnahmenakte führen: erkannte Lücken, Prozessänderungen, Verantwortliche, Fristen, notwendige Vertragsklärungen, Schulungsbedarf, Kommunikationsbausteine und offene Entscheidungen der Geschäftsführung.
Wichtig ist, dass die Maßnahmen nicht nur in der IT landen. Wenn der Kundenservice falsche Statusbegriffe nutzt, ist das eine Fachprozessaufgabe. Wenn ein Dienstleisterkontakt fehlt, betrifft es Einkauf und Vertragsmanagement. Wenn eine kommunale Lageinformation unklar ist, betrifft es Geschäftsführung und Kommunikation. Wenn ein Workaround nicht geprüft ist, betrifft es Fachbereich und Compliance.
Fazit
KRITIS-Resilienz ist nur so stark wie der geübte Prozess unter Stress. Stadtwerke sollten Übungen deshalb als Führungsinstrument verstehen: Sie verbinden IT, OT, Fachprozesse, Dienstleister, Kundenservice, Geschäftsführung und Kommune. Gute Übungen produzieren keine Show, sondern belastbare Erkenntnisse. Sie machen sichtbar, wo Rollen tragen, wo Meldewege unscharf sind und wo Fachprozesse für den Ernstfall noch entscheidungsfähig gemacht werden müssen.