NIS-2 im Stadtwerk: Warum Meldewege als Betriebsübung vorbereitet werden müssen

Cybersicherheit endet nicht am IT-Ticket

NIS-2 und KRITIS sind für Stadtwerke keine abstrakten Compliance-Begriffe. Energieversorgung, Wasser, Telekommunikation, Kundenservice, Abrechnung und Leitstellenarbeit hängen an digitalen Verfahren. Wenn ein Sicherheitsvorfall eintritt, entsteht nicht nur eine technische Aufgabe. Es entsteht eine Führungsaufgabe: Wer bewertet die Lage? Wer entscheidet über Eskalation? Wer informiert wen? Welche Fachprozesse sind betroffen? Welche Nachweise werden gesichert? Welche Aussagen bleiben intern, und welche Kommunikation wird vorbereitet?

Das BSI verweist im Zusammenhang mit NIS-2 auf neue Anforderungen, Unterstützungsleistungen und Informationsmaterialien. Für Stadtwerke ist diese Orientierung hilfreich, ersetzt aber nicht die eigene Betriebsübung. Ein Meldeweg, der nur in einer Richtlinie steht, ist im Ernstfall zu langsam. Er muss geübt, verstanden und in den Fachprozessen verankert sein.

Die zentrale Frage lautet deshalb nicht: Haben wir ein Dokument? Sie lautet: Kann die Organisation innerhalb kurzer Zeit erkennen, klassifizieren, eskalieren, dokumentieren und arbeitsfähig bleiben? Genau dafür braucht es eine Meldewegübung. Sie übersetzt regulatorische Anforderungen nicht in Angst, sondern in wiederholbare Routinen.

Der Vorfall beginnt vor der Meldung

Viele Unternehmen denken bei Meldepflichten zuerst an den Zeitpunkt, an dem eine externe Meldung notwendig werden könnte. Operativ beginnt der Vorfall jedoch früher. Ein ungewöhnliches Login, ein gestörter Dienst, eine auffällige Datei, ein Ausfall in der Fernwartung oder eine Meldung aus einem Fachbereich kann der erste Hinweis sein. Wenn diese Signale nicht sauber aufgenommen werden, verliert die Organisation Zeit und Kontext.

Eine gute Meldewegübung startet daher beim Eingangssignal. Welche Mitarbeitenden dürfen oder müssen einen Verdacht melden? Über welchen Kanal? Welche Mindestinformationen werden benötigt? Wer nimmt den Verdacht entgegen? Wer trennt technische Störung, Sicherheitsverdacht und Fachprozessauswirkung? Wer entscheidet, ob weitere Fachbereiche eingebunden werden?

Diese Fragen klingen einfach, sind aber im Alltag anspruchsvoll. Der Kundenservice bemerkt vielleicht Beschwerden über ein Portal. Die Leitstelle sieht technische Auffälligkeiten. Die IT erkennt Log-Ereignisse. Die Abrechnung bemerkt Datenfehler. Jede Beobachtung kann für sich klein wirken. Erst die Verbindung ergibt ein Lagebild. Deshalb darf die Meldekette nicht nur in der IT beginnen. Sie muss den Fachbetrieb einbeziehen.

Rollen vorab festlegen

Ein Sicherheitsvorfall ist kein guter Zeitpunkt, Zuständigkeiten auszuhandeln. Stadtwerke sollten vorab Rollen definieren: technische Erstbewertung, Fachprozessbewertung, Leitungslage, Dokumentation, Kommunikation, Datenschutzkoordination und externe Schnittstellen. Nicht jede Rolle muss dauerhaft besetzt sein. Aber jede Rolle muss im Übungsfall auffindbar sein.

Wichtig ist die Unterscheidung zwischen Entscheiden und Zuarbeiten. Fachbereiche müssen beschreiben können, welche Geschäftsprozesse betroffen sind. Die IT muss technische Indikatoren liefern. Die Leitung muss Prioritäten setzen. Kommunikation muss vorbereitet sein, ohne vorschnell Aussagen zu treffen. Dokumentation muss sichern, welche Fakten bekannt sind und welche Annahmen noch offen bleiben.

Eine Meldewegübung sollte deshalb nicht nur ein Planspiel mit großer Lage sein. Sie sollte auch kleine Szenarien enthalten: ein verdächtiger Dienstleisterzugang, ein nicht erreichbares Fachsystem, eine auffällige Massendatei, eine Verzögerung in der Marktkommunikation, ein unerklärlicher Datenabbruch. Kleine Übungen zeigen, ob die Organisation den ersten Schritt beherrscht.

Nachweise entstehen im Prozess

Nachweise werden oft als spätere Dokumentationspflicht verstanden. Im Vorfall müssen sie aber während des Prozesses entstehen. Wer erst nachträglich rekonstruiert, wann welche Entscheidung getroffen wurde, verliert Genauigkeit. Eine Meldewegübung sollte daher eine einfache Nachweisstruktur verwenden: Zeitpunkt, Beobachtung, Quelle, Bewertung, Entscheidung, nächste Handlung, offene Fragen und Verantwortliche.

Diese Struktur schützt die Organisation doppelt. Sie hilft intern, die Lage zu führen. Und sie schafft eine Grundlage, falls später gegenüber Aufsicht, Partnern oder internen Gremien nachvollzogen werden muss, was passiert ist. Dabei geht es nicht um perfekte Protokolle. Es geht um belastbare Mindestinformationen.

Gerade Stadtwerke mit begrenzten Ressourcen profitieren von Standardisierung. Eine einfache Lagekarte, eine definierte Erstmeldung, eine Kontaktliste, ein Entscheidungslog und eine Abschlussauswertung können mehr Wirkung haben als ein umfangreiches Konzept, das niemand im Alltag nutzt.

Keine Rechtsberatung, aber klare Organisationsfrage

Die konkrete rechtliche Bewertung von Pflichten, Schwellen und Meldefristen gehört in den jeweils geprüften Prozess. Für die operative Vorbereitung ist dennoch klar: Wer mögliche Pflichten ernst nimmt, muss Meldewege so bauen, dass die Organisation entscheidungsfähig wird. Das ist keine juristische Detailfrage, sondern eine Organisationsfrage.

Stadtwerke sollten deshalb mindestens einmal pro Quartal eine kurze Meldewegübung durchführen. Der Umfang muss nicht groß sein. Entscheidend ist, dass die Rollen zusammenkommen und die Kette tatsächlich durchlaufen wird: Signal aufnehmen, Lage bilden, Zuständigkeit klären, Fachfolge bewerten, Entscheidung dokumentieren, Kommunikation vorbereiten und Lernpunkt festhalten.

Nach jeder Übung sollte eine einfache Frage beantwortet werden: Was hätte im Ernstfall gebremst? Fehlte ein Kontakt? War ein Begriff unklar? Wurde ein Fachprozess zu spät einbezogen? War die Dokumentation zu schwer? Aus diesen Antworten entsteht die eigentliche Resilienz. Nicht das Dokument macht sicherer, sondern die wiederholte Fähigkeit, im Ereignis geordnet zu handeln.

NIS-2 und KRITIS erhöhen damit den Druck, aber auch die Chance. Stadtwerke können Cybersicherheit als Führungsroutine verstehen: fachlich, technisch und organisatorisch verbunden. Wer Meldewege übt, reduziert nicht jedes Risiko. Aber er verhindert, dass ein Vorfall zuerst eine Zuständigkeitskrise wird.