Regulierung wird im Ereignisfall konkret
Das Bundesamt für Sicherheit in der Informationstechnik beschreibt auf seinen öffentlichen KRITIS-Seiten die veränderten Begriffe, Zuständigkeiten und Zahlen rund um kritische Anlagen und Betreiber. Mit der Umsetzung von NIS-2 und dem erweiterten Resilienzrahmen rückt für Stadtwerke eine einfache praktische Frage in den Vordergrund: Kann die Organisation im Ereignisfall belastbar sagen, welche Anlage betroffen ist, welche Rolle zuständig ist, welche Kontaktstelle gilt und welcher Meldeweg ausgelöst werden muss?
Diese Frage klingt administrativ. Tatsächlich entscheidet sie über die Wirksamkeit von Informationssicherheit und Resilienz. Ein Stadtwerk kann ein Informationssicherheitsmanagement betreiben, Dienstleistervereinbarungen haben, Notfallhandbücher pflegen und trotzdem im Ereignisfall Zeit verlieren, wenn Anlagenlisten, Kontaktrollen, Bereitschaftswege und Meldegrenzen nicht zusammenpassen. Regulierung wird dann nicht durch fehlenden Willen schwierig, sondern durch organisatorische Reibung.
Eine Meldefähigkeitsakte hilft, diese Reibung sichtbar zu machen. Sie ist kein Ersatz für rechtliche Prüfung und kein vollständiges Compliance-Handbuch. Sie ist die operative Brücke zwischen regulatorischem Rahmen, Anlagenrealität und Störungsorganisation. Ihr Zweck ist klar: Im Ereignisfall soll nicht erst geklärt werden müssen, wer was weiß, sondern nur noch, was konkret passiert ist.
Begriffe ändern sich, Betriebsverantwortung bleibt
Die BSI-Informationen zeigen, dass sich Begriffe und Kategorien weiterentwickeln. Aus der klassischen KRITIS-Sprache werden differenziertere Kategorien wie kritische Anlagen, Betreiber kritischer Anlagen sowie wichtige und besonders wichtige Einrichtungen. Für Fachabteilungen kann das abstrakt wirken. Für den Betrieb ist entscheidend, dass die Zuordnung von Anlagen, Dienstleistungen und Verantwortlichkeiten nachvollziehbar bleibt.
Energieversorgung ist dabei besonders sensibel, weil Strom, Gas, Fernwärme, Erzeugung, Verteilung, Handel, Leittechnik, IT-Dienste und externe Dienstleister eng zusammenhängen. Eine Störung betrifft selten nur eine organisatorische Schublade. Ein Cybervorfall kann eine Leitwarte berühren, ein Dienstleisterproblem kann Meldeketten auslösen, eine physische Beeinträchtigung kann IT- und OT-Prozesse zugleich betreffen.
Deshalb darf die Meldefähigkeit nicht nur in der Informationssicherheit liegen. Sie braucht Beiträge aus Netzbetrieb, IT, OT, Recht, Kommunikation, Geschäftsführung, Datenschutz, Kundenservice und gegebenenfalls kommunaler Lageführung. Jede Rolle muss wissen, wann sie informiert wird, was sie liefern kann und welche Aussagegrenzen gelten.
Was in eine Meldefähigkeitsakte gehört
Eine gute Meldefähigkeitsakte beginnt mit einem Anlagen- und Dienstleistungsbild. Welche kritischen oder potenziell relevanten Anlagen, Prozesse und Dienstleistungen gibt es? Welche Zuordnung besteht zu Strom, Gas, Wärme, Wasser oder weiteren Sparten? Welche Betreiberrolle liegt vor? Welche Dienstleister haben Zugriff auf Systeme, Daten oder Betriebsabläufe?
Der zweite Baustein ist die Kontakt- und Rollenmatrix. Sie enthält nicht nur Namen, sondern Funktionen, Vertretungen, Erreichbarkeiten, Eskalationsstufen und Verantwortungsgrenzen. Besonders wichtig sind Übergänge: Wann wird aus einer technischen Störung ein meldepflichtig zu prüfendes Ereignis? Wer entscheidet, ob externe Stellen informiert werden? Wer dokumentiert die Begründung, wenn keine Meldung erfolgt?
Der dritte Baustein ist die Ereignislogik. Ein Stadtwerk braucht keine juristische Entscheidungsmatrix in jeder Schicht. Es braucht aber klare Ereignisklassen, die eine Prüfung auslösen: Ausfall oder Einschränkung kritischer Dienste, erhebliche IT- oder OT-Beeinträchtigung, Kompromittierungsverdacht, Dienstleistervorfall, physischer Zugriff, Kommunikationsausfall oder unklare gleichzeitige Störungen in mehreren Bereichen. Diese Klassen führen nicht automatisch zu einer bestimmten Meldung. Sie führen zu einer strukturierten Prüfung.
Der vierte Baustein ist der Nachweispfad. Im Ereignisfall muss nachvollziehbar sein, wann ein Hinweis einging, wer informiert wurde, welche Fakten gesichert wurden, welche Entscheidung getroffen wurde und welche offene Unsicherheit blieb. Genau hier scheitern viele Übungen: Fachlich wurde richtig gehandelt, aber die Nachvollziehbarkeit bleibt lückenhaft.
Übungen statt Papiervertrauen
Meldefähigkeit entsteht nicht durch eine Datei allein. Sie entsteht durch Übung. Einmal pro Quartal kann ein kleines Szenario reichen: ein Dienstleister meldet verdächtige Aktivitäten, eine Anlage ist nicht erreichbar, ein Kommunikationsweg fällt aus, oder ein physischer Zutritt ist unklar. Die Aufgabe besteht nicht darin, den dramatischsten Fall zu spielen. Die Aufgabe besteht darin, Rollen, Kontaktdaten, Bewertungspfad und Dokumentation zu testen.
Solche Übungen zeigen schnell, wo die Organisation unscharf ist. Vielleicht kennt der Bereitschaftsdienst die Meldekategorien nicht. Vielleicht hat die Kommunikation keinen abgestimmten Satz für interne Lageinformationen. Vielleicht ist die Dienstleistervereinbarung fachlich gut, enthält aber keinen operativen Eskalationskontakt. Vielleicht sind Anlagenlisten aktuell, aber nicht mit kritischen Dienstleistungen verknüpft.
Der Nutzen liegt gerade in diesen kleinen Befunden. Sie können ohne große Programme verbessert werden und erhöhen trotzdem die Fähigkeit der Organisation, in einem echten Ereignis geordnet zu handeln.
Rechtliche Bewertung und bessere Entscheidungsfähigkeit
Stadtwerke sollten regulatorische Pflichten weiterhin fachkundig prüfen lassen. Eine Meldefähigkeitsakte ersetzt diese Prüfung nicht. Sie sorgt aber dafür, dass rechtliche Bewertung und operative Realität zusammenfinden. Wer nicht weiß, welche Anlage betroffen ist, welche Dienstleistung eingeschränkt ist und welche Rolle verantwortlich ist, kann auch die beste Rechtsauslegung nur schwer anwenden.
Die Meldefähigkeitsakte schafft deshalb eine gemeinsame Sprache: Anlage, Dienstleistung, Ereignis, Rolle, Kontakt, Entscheidung, Nachweis. Diese Sprache ist unspektakulär. Genau darin liegt ihre Stärke. Sie macht aus abstrakter Regulierung eine prüfbare Organisationsfähigkeit.
Für Stadtwerke ist das ein angemessener Einstieg in die neue KRITIS- und NIS-2-Welt. Nicht jede Unsicherheit lässt sich sofort auflösen. Aber jede relevante Unsicherheit sollte einen Ort haben, an dem sie sichtbar, verantwortlich und regelmäßig geprüft wird.