NIS-2 im Stadtwerk: Warum Meldewege als Störfallroutine geübt werden müssen

Die Antwort zuerst: Stadtwerke sollten NIS-2-Vorbereitung nicht bei Zuständigkeitslisten beenden. Entscheidend ist, ob ein Sicherheitsereignis im Alltag erkannt, bewertet, eskaliert, gemeldet und dokumentiert werden kann. Dafür braucht es eine geübte Störfallroutine, die IT, OT, Fachbereiche, Geschäftsführung, Kommunikation, Dienstleister und gegebenenfalls Bereitschaftsdienste verbindet.

Das BSI informiert öffentlich über NIS-2-regulierte Unternehmen und die Einordnung regulierter Wirtschaft. Für Stadtwerke ist der regulatorische Rahmen wichtig, aber die eigentliche Bewährungsprobe liegt im Prozess. Ein Vorfall hält sich nicht an Organigramme. Er beginnt vielleicht mit einer auffälligen E-Mail, einem gestörten Fernzugriff, einer nicht plausiblen Messwertkette, einem ausgefallenen Dienstleistersystem oder einer ungewöhnlichen Häufung von Tickets. Die Frage lautet dann nicht, ob ein Dokument existiert. Die Frage lautet: Wer tut jetzt was, mit welchen Informationen und bis wann?

Meldewege beginnen vor der Meldung

Viele Diskussionen über NIS-2 konzentrieren sich auf Meldepflichten. Das ist verständlich, aber zu spät angesetzt. Vor einer belastbaren Meldung steht eine interne Bewertung. Ist es ein IT-Ticket, ein Datenschutzthema, ein Sicherheitsvorfall, eine Störung mit Versorgungsbezug, ein Dienstleisterproblem oder eine Kombination? Welche Systeme sind betroffen? Gibt es Hinweise auf Ausbreitung? Welche Fachprozesse stehen still oder laufen eingeschränkt weiter?

Diese Bewertung muss schnell genug erfolgen, darf aber nicht beliebig werden. Deshalb braucht ein Stadtwerk eine Vorfalltriage. Sie beschreibt, welche Informationen in den ersten Minuten oder Stunden gesammelt werden: Zeitpunkt, Melder, betroffenes System, betroffener Fachprozess, beobachtete Wirkung, erste Gegenmaßnahmen, bekannte Dienstleister, offene Fragen und Eskalationsstufe.

Eine solche Triage verhindert zwei Risiken. Das erste Risiko ist Unterschätzung: Ein Vorfall wird als normales Ticket behandelt, obwohl er melde- oder krisenrelevant sein könnte. Das zweite Risiko ist Übereskalation ohne Faktenbasis: Viele Rollen werden alarmiert, aber niemand weiß, was tatsächlich passiert ist. Beides kostet Zeit und Vertrauen.

Fachprozesse gehören in den Meldeweg

Cybersecurity wird oft als IT-Thema geführt. Im Stadtwerk reicht das nicht. Ein Sicherheitsereignis kann Marktkommunikation, Abrechnung, Messwesen, Netzleitstelle, Kundenservice, Erzeugung, Wärmebetrieb oder kaufmännische Systeme betreffen. Die rechtliche und technische Bewertung braucht deshalb fachliche Wirkungsmeldungen.

Ein Beispiel: Wenn ein System für Messwerte ausfällt, ist nicht nur relevant, ob ein Server erreichbar ist. Relevant ist auch, welche Fristen, Abrechnungsläufe, Ersatzprozesse und Kundeninformationen betroffen sind. Wenn ein Dienstleisterportal nicht verfügbar ist, muss geklärt werden, ob interne Ausweichverfahren existieren. Wenn ein Fernzugriff im OT-Umfeld auffällig ist, zählt nicht nur die technische Sperre, sondern auch der sichere Weiterbetrieb.

Die Störfallroutine sollte deshalb Fachprozess-Steckbriefe enthalten. Für kritische Prozesse wird beschrieben: verantwortliche Rolle, Stellvertretung, beteiligte Systeme, Dienstleisterkontakt, maximale tolerierbare Unterbrechung, Ersatzverfahren, Kommunikationsbedarf und Nachweisdokumentation. Diese Steckbriefe müssen nicht perfekt sein. Sie müssen im Ereignisfall auffindbar, aktuell und verständlich sein.

Dienstleister sind Teil der Übung

Viele Stadtwerke betreiben zentrale Systeme nicht vollständig selbst. Rechenzentrum, Leitstellenkomponenten, Abrechnung, Gateway-Administration, Kommunikationsplattformen, Security-Services oder Spezialanwendungen können bei Dienstleistern liegen. Damit entsteht eine Schnittstellenfrage: Wer meldet wem was? Welche Reaktionszeit gilt? Welche Informationen dürfen oder müssen geteilt werden? Wer entscheidet über Abschaltung, Sperrung, Wiederanlauf oder Kundeninformation?

Diese Punkte sollten nicht erst im Vorfall verhandelt werden. Ein NIS-2-fähiger Meldeweg enthält Dienstleisterkontakte, Eskalationsstufen und Mindestinformationen. Noch wichtiger: Er wird geübt. Eine kurze Tabletop-Übung mit einem plausiblen Szenario zeigt oft mehr als ein langer Vertragsanhang. Funktioniert die Telefonnummer? Ist die Rufbereitschaft bekannt? Kann der Dienstleister fachliche Wirkung beschreiben oder nur technische Logs liefern? Wissen interne Fachbereiche, wann sie direkt einbezogen werden?

Nachweisführung ohne Dokumentenfriedhof

Regulierung erzeugt leicht Dokumente. Der Nutzen entsteht aber nicht durch Ablagevolumen, sondern durch Nachweisfähigkeit. Nachweisfähig ist ein Stadtwerk, wenn es zeigen kann, dass Risiken bewertet, Rollen benannt, Meldewege geübt, Abweichungen erkannt und Verbesserungen verfolgt wurden.

Dafür eignet sich eine Ereignisakte. Sie sammelt nicht jede Kleinigkeit, sondern die entscheidenden Punkte: Anlass, Zeitleiste, betroffene Systeme, fachliche Wirkung, Entscheidungen, Kommunikation, externe Kontakte, offene Punkte und Lessons Learned. Auch Übungen können so dokumentiert werden. Das hat zwei Vorteile. Erstens entsteht eine Lernspur. Zweitens kann die Geschäftsführung erkennen, ob der Meldeweg praktisch funktioniert oder nur formal existiert.

Wichtig ist eine klare Sprache. Begriffe wie Verdacht, bestätigter Vorfall, Betriebsstörung, Sicherheitsereignis und meldepflichtiger Sachverhalt sollten intern unterschieden werden. Diese Unterscheidung ersetzt keine rechtliche Prüfung, verhindert aber Missverständnisse.

Führung muss entscheidungsfähig bleiben

In einem ernsten Vorfall braucht die Geschäftsführung keine technische Detailflut, sondern ein belastbares Lagebild. Was ist bekannt? Was ist unsicher? Welche Prozesse sind betroffen? Welche Entscheidungen stehen an? Welche Fristen laufen? Welche Kommunikation ist notwendig? Welche Fachverantwortlichen empfehlen welche Maßnahme?

Die Störfallroutine sollte deshalb ein Führungsformat enthalten. Eine Seite reicht oft: Lage, Wirkung, Optionen, Empfehlung, offene Risiken, nächster Zeitpunkt. Das klingt einfach, ist aber nur möglich, wenn die Fachinformationen vorher strukturiert eingesammelt wurden. Ohne Routine entsteht im Vorfall improvisierte Berichterstattung.

Fazit

NIS-2 macht Cybersecurity im Stadtwerk zur Führungs- und Prozessaufgabe. Meldewege sind dabei kein Organigramm, sondern eine geübte Störfallroutine. Wer Triage, Fachprozess-Steckbriefe, Dienstleisterkontakte, Ereignisakte und Führungsformat verbindet, verbessert nicht nur Compliance. Er erhöht die Chance, im echten Ereignis schnell, nachvollziehbar und angemessen zu handeln. Genau diese operative Belastbarkeit wird wichtiger als die Frage, ob ein einzelnes Dokument formal vollständig wirkt.