Der Meldeweg muss vor dem Ereignis klar sein
Die Antwort zuerst: Stadtwerke sollten NIS-2 nicht nur als einmalige Registrierungsaufgabe behandeln. Das BSI erläutert öffentlich, dass die Registrierung gemäß NIS-2 über das BSI-Portal erfolgt und nicht über das Melde- und Informationsportal. Zugleich wird beschrieben, dass Betreiber kritischer Anlagen und Bundesbehörden prioritär weiterhin das MIP zur Abgabe ihrer Meldungen nutzen und etablierte Prozesse übergangsweise weiter verwenden können. Diese Unterscheidung ist keine Fußnote. Sie ist eine organisatorische Schnittstelle, die im Ernstfall funktionieren muss.
Für Stadtwerke ist die Lage besonders anspruchsvoll, weil Rollen und Pflichten nicht immer deckungsgleich mit Organigrammen sind. Ein Unternehmen kann KRITIS-relevante Anlagen betreiben, weitere NIS-2-relevante Tätigkeiten prüfen, Dienstleister einbinden, IT- und OT-Systeme gemeinsam betreiben und zugleich kommunale Verantwortung wahrnehmen. Wenn erst im Sicherheitsvorfall geklärt wird, welches Portal, welche Rolle und welche Freigabe gelten, ist wertvolle Zeit verloren.
Die praktische Aufgabe lautet daher: Meldewege als Betriebsroutine führen. Das bedeutet nicht, dass jede Fachabteilung rechtliche Bewertungen trifft. Es bedeutet, dass Zuständigkeiten, Zugangsdatenverwaltung, Eskalationswege, Stellvertretungen, Nachweisquellen und Entscheidungsgrenzen vorab dokumentiert und geübt werden. NIS-2 wird dadurch von einem Compliance-Thema zu einem Ablauf, den die Organisation im Stress ausführen kann.
Registrierung ist kein isolierter Stammdatensatz
Eine Registrierung wirkt auf den ersten Blick administrativ: Unternehmen identifizieren, Portal nutzen, Angaben pflegen. Operativ ist sie mehr. Sie legt fest, wer in der Organisation handlungsfähig ist, wie Kontaktwege aktuell gehalten werden und welche Informationen im Ereignisfall verfügbar sein müssen.
Stadtwerke sollten deshalb eine Registrierungsakte führen. Darin stehen nicht nur Portalstatus und Verantwortliche. Wichtig sind auch Stellvertretungen, interne Freigabepunkte, Verbindung zu Informationssicherheit, Leitstelle, Geschäftsführung, Kommunikation, Datenschutz und relevanten Dienstleistern. Wenn ein Dienstleister ein Ereignis meldet, muss klar sein, wer die fachliche Bewertung übernimmt, wer eine Meldung vorbereitet, wer die Freigabe erteilt und wer parallel operative Maßnahmen steuert.
Diese Akte sollte bewusst knapp bleiben. Zu viele Dokumente helfen im Vorfall nicht. Besser ist eine prüfbare Ablaufkarte: Was passiert in den ersten 30 Minuten? Welche Information wird gesammelt? Wer entscheidet über die Klassifikation? Welcher Kanal wird genutzt? Wie wird dokumentiert, dass eine Meldung erfolgt oder nicht erfolgt ist? Welche Annahmen sind unsicher? Diese Fragen lassen sich ohne externe Offenlegung im Unternehmen testen.
Portale erzeugen Prozessgrenzen
Die öffentliche BSI-Information trennt BSI-Portal, MIP und freiwillige Meldemöglichkeiten. Aus Organisationssicht bedeutet das: Portale sind nicht nur technische Adressen, sondern Prozessgrenzen. Ein falsches Verständnis kann doppelte Arbeit, Lücken oder falsche Erwartungen erzeugen.
Für Stadtwerke empfiehlt sich daher ein Rollenmodell mit klaren Nicht-Zielen. Der Kundenservice muss nicht entscheiden, ob ein Ereignis meldepflichtig ist. Die Leitstelle muss nicht alleine die regulatorische Einordnung tragen. Die IT muss nicht ohne Geschäftsführung kommunizieren. Umgekehrt darf eine zentrale Compliance-Funktion operative Hinweise aus IT und OT nicht zu spät bekommen.
Ein gutes Verfahren trennt Beobachtung, Bewertung, Entscheidung und Meldung. Beobachtung sammelt technische und fachliche Fakten. Bewertung ordnet die Lage anhand interner Kriterien ein. Entscheidung liegt bei den definierten Verantwortlichen. Meldung erfolgt über den vorgesehenen Kanal. Diese Trennung schützt vor Hektik und verhindert, dass ein Portalzugang mit Entscheidungskompetenz verwechselt wird.
Übung schlägt Dokumentenstärke
Das BSI veröffentlicht fortlaufend NIS-2- und KRITIS-bezogene Hinweise, Infopakete und Aktualisierungen. Für Stadtwerke ist daraus vor allem ein Arbeitsprinzip ableitbar: Die Vorbereitung muss wiederholbar sein. Ein einmal aktualisiertes Dokument reicht nicht, wenn niemand den Ablauf geübt hat.
Ein kurzer Tabletop-Test kann viel klären. Szenario eins: Ein externer Dienstleister meldet eine verdächtige Aktivität in einem Fachverfahren. Szenario zwei: Ein OT-nahes System zeigt Auffälligkeiten, die technische Ursache ist unklar. Szenario drei: Ein öffentliches Portal ist betroffen, aber die Versorgungsprozesse laufen. In jedem Szenario sollte die Organisation durchspielen, welche Fakten fehlen, welche Stellen informiert werden, welcher Meldeweg vorbereitet wird und welche Kommunikation intern erlaubt ist.
Wichtig ist die Auswertung. Jede Übung erzeugt offene Punkte: fehlende Kontakte, unklare Stellvertretung, nicht getesteter Portalzugang, uneinheitliche Begriffe, zu spätes Einbinden der Geschäftsführung oder fehlende Verbindung zu Dienstleisterverträgen. Diese Punkte gehören nicht in eine allgemeine Mängelliste ohne Eigentümer. Sie gehören in eine Betriebsroutine mit Verantwortlichkeit und Wiedervorlage.
Nachweisführung beginnt im Alltag
NIS-2- und KRITIS-Arbeit wird oft als Nachweisproblem gedacht. Nachweise entstehen jedoch nicht erst im Audit. Sie entstehen im Alltag: Wer hat wann welche Entscheidung getroffen? Welche Quelle wurde genutzt? Welche Meldung wurde vorbereitet? Welche Maßnahme wurde umgesetzt? Welche Annahme war offen?
Für Stadtwerke ist diese Nachweisführung besonders nützlich, weil sie technische, organisatorische und kommunale Verantwortung verbindet. Eine saubere Akte hilft nicht nur gegenüber Aufsicht oder Prüfung. Sie hilft der Organisation, beim nächsten Ereignis schneller zu werden. Dazu gehören Versionsstände der Ablaufkarte, Übungsprotokolle, Kontaktprüfungen, Rollenfreigaben, Lessons Learned und ein klarer Umgang mit externen Dienstleistern.
Die Grenze bleibt entscheidend: Ein Magazinartikel kann keine individuelle Betroffenheit feststellen und keine Rechtsberatung ersetzen. Er kann aber die Führungsfrage sichtbar machen. Wenn der Meldeweg unklar ist, ist nicht nur ein Compliance-Dokument unvollständig. Dann fehlt eine Betriebsroutine für einen Moment, in dem Stadtwerke keine Zeit verlieren dürfen.