Meldefähigkeit ist mehr als ein Portalzugang
Die Antwort zuerst: Stadtwerke sollten NIS-2 und KRITIS-Anforderungen als Übungsroutine für Meldefähigkeit führen. Öffentliche Informationen des BSI zu regulierter Wirtschaft und NIS-2 zeigen, dass Registrierung, Pflichten, Meldungen und Nachweise zentrale Bausteine sind. Für die Praxis entscheidet aber nicht der Portalstatus allein. Entscheidend ist, ob eine Organisation im Vorfall schnell erkennt, bewertet, dokumentiert, entscheidet und kommuniziert.
Viele Stadtwerke haben Sicherheitsdokumente, Dienstleisterverträge, Notfallkontakte und technische Schutzmaßnahmen. Das ist notwendig. Im Ereignisfall treffen diese Unterlagen jedoch auf Zeitdruck, unvollständige Informationen und fachliche Unsicherheit. Ist eine Störung nur ein IT-Problem oder berührt sie eine kritische Dienstleistung? Wer bewertet die Versorgungsauswirkung? Wer spricht mit Dienstleistern? Wer hält die Geschäftsführung im Bild? Welche Nachweise werden gesichert? Welche Kommunikation bleibt intern, welche muss vorbereitet werden?
Eine Übungsroutine beantwortet diese Fragen nicht erst im Ernstfall. Sie schafft wiederkehrende Tests mit kleinen, realistischen Szenarien. Das Ziel ist nicht Theater, sondern Handlungsfähigkeit: Rollen kennen, Lagebild herstellen, Nachweise sichern, Meldeentscheidung vorbereiten und Grenzen erkennen.
Fachprozesse gehören in das Lagebild
Cybersecurity wird oft technisch begonnen. Das ist verständlich, aber im Stadtwerk reicht es nicht. Versorgung, Netzbetrieb, Messwesen, Abrechnung, Kundenservice und Kommunikation sind Fachprozesse mit eigener Wirkung. Ein IT-Sicherheitsereignis kann für die Öffentlichkeit erst sichtbar werden, wenn ein Portal nicht erreichbar ist, Messwerte fehlen, eine Leitwarte eingeschränkt arbeitet, Kunden keine Auskunft bekommen oder ein Dienstleister nicht reagiert.
Darum braucht Meldefähigkeit ein gemeinsames Lagebild. Dieses Lagebild verbindet technische Beobachtung mit fachlicher Wirkung. Es fragt: Welche Systeme sind betroffen? Welche kritische Dienstleistung könnte berührt sein? Welche Kunden- oder Marktprozesse hängen daran? Welche manuellen Ersatzprozesse gibt es? Welche Dienstleister sind eingebunden? Welche Nachweise belegen den Stand?
Die Übungsroutine sollte diese Fragen regelmäßig durchspielen. Ein Szenario kann bewusst klein sein: ein ausgefallener Zugriff auf ein Fachsystem, eine verdächtige Dienstleistermeldung, eine Manipulationswarnung bei Stammdaten, ein nicht erreichbarer Kommunikationskanal oder ein unklarer Datenabflussverdacht. Wichtig ist, dass nicht nur die IT antwortet. Auch Fachbereich, Kommunikation und Führung müssen üben, welche Information sie benötigen und welche Entscheidung sie treffen dürfen.
Nachweise müssen im Ereignis entstehen
Nachweise sind nicht nur für Prüfungen wichtig. Sie helfen der Organisation, im Ereignis nicht den Überblick zu verlieren. Wer hat wann was gesehen? Welche Systeme waren betroffen? Welche Einschätzung wurde getroffen? Welche Maßnahme wurde gestartet? Welche Information kam von welchem Dienstleister? Welche offene Frage blieb bestehen?
Wenn diese Nachweise erst nachträglich aus E-Mails, Tickets, Chats und Erinnerungen rekonstruiert werden, entsteht Unsicherheit. Eine Übungsroutine sollte deshalb auch die Dokumentation testen. Gibt es ein Ereignisprotokoll? Ist klar, wer es führt? Werden Zeitpunkte, Quellen und Entscheidungen sauber getrennt? Können sensible Informationen geschützt dokumentiert werden? Wird vermieden, dass personenbezogene oder vertrauliche Details unnötig breit verteilt werden?
Gerade hier können Automatisierung und KI unterstützen, aber nur mit Guardrails. Eine automatische Zusammenfassung kann hilfreich sein, wenn Quellen, Zeitpunkte und Verantwortlichkeiten erhalten bleiben. Sie darf jedoch keine Bewertung erfinden, keine Meldung ersetzen und keine vertraulichen Informationen unkontrolliert verbreiten. Die Meldefähigkeit bleibt eine Führungs- und Fachentscheidung.
Übungen brauchen kleine, feste Formate
Viele Organisationen scheuen Notfallübungen, weil sie nach Großprojekt klingen. Für Stadtwerke ist ein kleineres Format oft wirksamer. Ein monatlicher 45-Minuten-Tischtest kann reichen, wenn er konsequent durchgeführt wird. Ein Szenario, fünf Rollen, ein Ereignisprotokoll, drei Entscheidungen und eine Nachpflege.
Die Rollen sollten wiederkehrend sein: technische Erstbewertung, fachliche Wirkung, Dienstleisterkoordination, Kommunikation/Kundenservice, Geschäftsführung oder Krisenstab. Nicht jede Rolle muss in jeder Übung voll besetzt sein. Wichtig ist, dass die Organisation lernt, wie Übergaben funktionieren.
Nach jeder Übung bleiben wenige, konkrete Lernpunkte. Ein Kontakt ist veraltet. Ein Ersatzprozess ist unklar. Ein Dienstleistervertrag nennt keine Reaktionszeit. Ein Textbaustein ist zu technisch. Ein Fachbereich weiß nicht, wo er Meldungen einträgt. Diese Punkte gehören nicht in eine allgemeine Mängelliste, sondern in eine Meldefähigkeitsakte mit Verantwortlichkeit und Termin.
Die Grenze zur Rechtsberatung bleibt klar
NIS-2, KRITIS und Meldepflichten haben rechtliche Bedeutung. Ein Magazinartikel kann und soll keine Einzelfallbewertung liefern. Für Stadtwerke ist dennoch eine allgemeine Prozessperspektive hilfreich: Meldefähigkeit entsteht durch Rollen, Lagebild, Nachweise, Entscheidungswege und geübte Kommunikation.
Die Übungsroutine ersetzt keine juristische Prüfung, kein Sicherheitskonzept und keine technische Schutzmaßnahme. Sie macht aber sichtbar, ob diese Bausteine im Betrieb zusammenfinden. Das ist der Punkt, an dem aus Compliance tatsächliche Resilienz wird.
Wer beginnen will, braucht kein perfektes Programm. Der erste Schritt ist ein kurzes Szenario aus dem eigenen Alltag: ein nicht erreichbares Fachsystem, eine unklare Dienstleistermeldung oder eine verdächtige Datenänderung. Danach wird dokumentiert, welche Rollen beteiligt waren, welche Entscheidung offen blieb und welcher Nachweis fehlte. Aus dieser kleinen Schleife wächst Meldefähigkeit.