Meldefähigkeit ist eine Betriebsfähigkeit
Die Antwort zuerst: Stadtwerke sollten KRITIS- und NIS-2-Anforderungen nicht nur als Compliance-Dokumente behandeln, sondern als geübte Betriebsroutine. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt für regulierte Unternehmen und Betreiber kritischer Anlagen Pflichten rund um Registrierung, Kontaktstellen, Meldung von IT-Störungen und Nachweis angemessener organisatorischer und technischer Vorkehrungen. Zugleich ändern sich Begriffe und Einordnungen, etwa mit besonders wichtigen und wichtigen Einrichtungen sowie kritischen Anlagen.
Für die Praxis ist die entscheidende Frage weniger, ob ein Papier vorhanden ist. Entscheidend ist, ob das Stadtwerk in einem Ereignisfall handlungsfähig ist. Wer erkennt eine meldepflichtige Lage? Wer entscheidet, ob gemeldet wird? Wer hält die Verbindung zum BSI oder zu weiteren Stellen? Wer informiert Geschäftsführung, Netzbetrieb, IT, Kommunikation und gegebenenfalls kommunale Verantwortungsträger? Welche Nachweise liegen bereit, ohne dass im Ereignisfall Ordner gesucht werden müssen?
Informationssicherheit wird damit zur Organisationsfrage. Sie beginnt in der IT, endet dort aber nicht. Netzbetrieb, Messwesen, Kundenservice, Leitstelle, Geschäftsführung, Einkauf, Dienstleistersteuerung und Kommunikation berühren dieselbe Lage aus unterschiedlichen Perspektiven. Wenn diese Perspektiven nicht vorher verbunden wurden, entsteht im Ereignisfall Reibung.
Kontaktstellen müssen erreichbar und entscheidungsfähig sein
Eine Kontaktstelle ist nur dann wirksam, wenn sie nicht bloß benannt, sondern arbeitsfähig ist. Dazu gehören Erreichbarkeit, Vertretung, Rollenverständnis, Dokumentationsweg und Entscheidungsgrenze. In vielen Häusern ist formal klar, wer zuständig ist. Schwieriger wird es nachts, am Wochenende, bei parallelen Störungen oder wenn ein externer Dienstleister zuerst ein technisches Signal sieht.
Stadtwerke sollten deshalb eine Meldewegskizze pflegen, die nicht in der Schublade liegt. Sie zeigt: Eingangssignal, erste Bewertung, Eskalationspunkt, Entscheidungsrolle, Kommunikationsrolle, Meldekanal, Nachweisablage und Rückmeldung an den Betrieb. Diese Skizze muss nicht kompliziert sein. Sie muss im Zweifel aber innerhalb weniger Minuten verstanden werden.
Besonders wichtig ist die Trennung von Fachlage und Kommunikationslage. Ein technischer Verdacht ist noch nicht automatisch eine öffentliche Aussage. Eine interne Störung ist nicht automatisch ein meldepflichtiger Vorfall. Umgekehrt darf Unsicherheit nicht dazu führen, dass niemand entscheidet. Die Routine sollte daher klare Zwischenstufen enthalten: beobachten, qualifizieren, eskalieren, entscheiden, melden, dokumentieren, nacharbeiten.
Nachweise entstehen vor dem Audit
Nachweisführung wird oft erst sichtbar, wenn eine Prüfung bevorsteht. Für operative Sicherheit ist das zu spät. Ein Nachweis sollte nicht nachträglich aus E-Mails, Tickets und Protokollen rekonstruiert werden müssen. Er sollte während des Betriebs entstehen: Entscheidung, Verantwortlicher, Zeitpunkt, Quelle, Maßnahme, offener Punkt und nächster Prüfschritt.
Dafür reicht zunächst eine einfache Nachweismatrix. Welche Systeme oder Prozesse sind kritisch? Welche organisatorischen und technischen Vorkehrungen wurden beschrieben? Wo liegen Belege? Wann wurden sie zuletzt geprüft? Welche Abweichungen sind bekannt? Welche Maßnahme ist geplant? Diese Matrix ersetzt keine fachliche Prüfung, aber sie macht sichtbar, ob das Stadtwerk steuerungsfähig ist.
Dienstleister gehören ausdrücklich in diese Betrachtung. Viele Sicherheitsereignisse berühren Hosting, Leitstellenkomponenten, Fernwartung, Abrechnungssysteme, Marktkommunikation, Messdaten oder Kommunikationsplattformen. Wer externe Leistungen nutzt, braucht interne Verantwortlichkeit. Der Dienstleister kann Informationen liefern; die Führungsfrage bleibt im Stadtwerk.
Übungen verhindern Scheinsicherheit
Der beste Test für Meldewege ist eine kleine Übung. Sie muss nicht dramatisch sein. Ein realistisches Szenario genügt: Ein Dienstleister meldet ungewöhnliche Zugriffe, ein Fachsystem fällt aus, mehrere Kunden melden widersprüchliche Zählerdaten oder ein Netzprozess erhält unplausible Daten. Die Übung fragt nicht zuerst nach Schuld, sondern nach Ablauf. Wer wird informiert? Welche Information fehlt? Welche Entscheidung wird vertagt? Welche Vorlage ist unklar?
Nach einer Übung sollte es keine lange Schuldzuweisung geben, sondern eine kurze Verbesserungsnotiz: Was hat funktioniert? Wo war die Rollenklärung unklar? Welche Telefonnummer oder Vertretung fehlte? Welche Nachweise waren nicht auffindbar? Welche Formulierung für Geschäftsführung oder Kommune war zu unscharf?
Solche Übungen machen Informationssicherheit anschlussfähig für Fachbereiche. Sie zeigen, dass Meldefähigkeit kein Spezialthema der IT ist, sondern Teil der Daseinsvorsorge. Gerade Stadtwerke profitieren von dieser Übersetzung, weil ihre Verantwortung technisch, organisatorisch und kommunal zugleich ist.
Der kleine Anfang ist besser als die große Lücke
Viele Häuser warten, bis alle regulatorischen Details endgültig sortiert sind. Das ist verständlich, aber riskant. Rollen, Kontaktstellen, Störungsmeldungen, Nachweise und Übungsszenarien lassen sich schon jetzt verbessern, ohne abschließende Einzelfallbewertung vorwegzunehmen.
Die praktische Führungsfrage lautet: Können wir heute erklären, wer im Sicherheitsereignis entscheidet, was dokumentiert wird und wie der Betrieb wieder in eine stabile Lage kommt? Wenn ja, wird Compliance zur gelebten Betriebsfähigkeit. Wenn nein, sollte die nächste Maßnahme keine weitere Grundsatzpräsentation sein, sondern eine Meldewegsübung mit klarer Nacharbeit.