NIS-2 und KRITIS: Warum Stadtwerke eine Nachweisroutine für kritische Dienstleistungen brauchen

Sicherheit beginnt mit der Dienstleistung, nicht mit dem Formular

Das BSI beschreibt KRITIS über kritische Dienstleistungen für die Versorgung der Allgemeinheit und veröffentlicht regelmäßig aggregierte Zahlen zu registrierten Betreibern und Anlagen. Für Stadtwerke ist diese öffentliche Einordnung wichtig, weil sie den Blick verschiebt: Es geht nicht zuerst um ein einzelnes IT-System und auch nicht nur um eine abstrakte Unternehmensgröße. Entscheidend ist, welche Dienstleistung im Energie-, Wasser- oder Entsorgungszusammenhang ausfallen würde und welche organisatorischen, technischen und kommunikativen Folgen daraus entstehen.

Mit NIS-2 wird diese Sicht noch deutlicher. Informationssicherheit ist nicht mehr nur ein Bericht an eine Spezialabteilung. Sie wird zu einer Führungs- und Betriebsaufgabe, die Fachbereiche, Leitwarte, Kundenservice, Dienstleistersteuerung und Krisenorganisation verbindet. Gerade kommunale Unternehmen sollten deshalb nicht warten, bis jede Detailfrage abschließend geklärt ist. Sie können bereits heute eine Nachweisroutine aufbauen, die wiederholbar zeigt, welche kritischen Dienstleistungen betroffen sind, welche Anlagen und Systeme dazu gehören und welcher Meldeweg im Störungsfall greift.

Diese Routine ist keine Rechtsberatung und ersetzt keine formale Einordnung. Sie verhindert aber, dass Sicherheitsarbeit in verstreuten Tabellen, Projektordnern und Einzelzuständigkeiten liegen bleibt. Ein Stadtwerk muss im Ereignisfall nicht nur wissen, welches System gestört ist. Es muss wissen, welche Versorgungskette betroffen sein kann, wer entscheidet, wer informiert wird und welche Nachweise später nachvollziehbar vorliegen.

Vier Ebenen gehören in eine Sicherheitsakte

Eine belastbare KRITIS- und NIS-2-Routine beginnt mit vier Ebenen. Die erste Ebene ist die kritische Dienstleistung. Sie beschreibt aus Sicht der Versorgung, welcher Dienst für Bürgerinnen, Unternehmen oder kommunale Einrichtungen wesentlich ist. Die zweite Ebene ist der Anlagen- und Prozessbezug: Welche technischen Anlagen, Netzprozesse, Mess- oder Abrechnungsschritte stützen diese Dienstleistung? Die dritte Ebene ist der digitale Abhängigkeitspfad: Welche IT-, OT-, Kommunikations- oder Dienstleisterschnittstellen sind erforderlich? Die vierte Ebene ist der Nachweis- und Meldepfad: Wer erkennt, bewertet, entscheidet, dokumentiert und meldet?

Viele Organisationen führen einzelne Teile bereits. Die Leitwarte kennt technische Abhängigkeiten. Die IT kennt Schutzbedarfe. Das Qualitätsmanagement kennt Nachweise. Der Datenschutz kennt Meldeprozesse. Der Kundenservice kennt die Außenwirkung. Das Problem entsteht, wenn diese Sichtweisen erst im Störfall zusammengeführt werden. Eine Sicherheitsakte bündelt nicht jedes Detail, sondern stellt die entscheidenden Beziehungen her.

Der praktische Nutzen zeigt sich bei Übungen. Ein simuliertes Ereignis sollte nicht nur prüfen, ob ein Alarm ausgelöst wird. Es sollte prüfen, ob die Dienstleistung eindeutig benannt ist, ob der zuständige Fachbereich den Prozess versteht, ob Dienstleister erreichbar sind, ob Kommunikationsgrenzen klar sind und ob die Dokumentation später ausreicht. Dadurch wird aus einer abstrakten Compliance-Pflicht ein lernender Betriebsprozess.

Stadtwerke brauchen Entscheidungsfähigkeit unter Unsicherheit

NIS-2 und KRITIS werden häufig mit Schwellenwerten, Zuständigkeiten und Meldepflichten diskutiert. Für den Alltag eines Stadtwerks ist aber eine andere Frage ebenso wichtig: Wie trifft die Organisation unter Zeitdruck eine vertretbare Entscheidung, wenn noch nicht alle Informationen vollständig sind? Genau dafür braucht es vorbereitete Rollen und Kriterien.

Ein Lagebild sollte zwischen gesicherten Fakten, plausiblen Annahmen und offenen Prüfaufträgen unterscheiden. Gesicherte Fakten sind etwa betroffene Systeme, bekannte Ausfälle oder bestätigte Dienstleistermeldungen. Plausible Annahmen betreffen mögliche Auswirkungen auf Versorgung, Marktkommunikation oder Kundenservice. Offene Prüfaufträge markieren, was noch geklärt werden muss. Diese Trennung verhindert sowohl Verharmlosung als auch Aktionismus.

Auch Automatisierung kann helfen, wenn ihre Grenzen sauber gezogen sind. Systeme können Ereignisse sammeln, Statusstände vergleichen, Checklisten anstoßen oder Nachweise strukturieren. Sie dürfen aber keine Verantwortung verdecken. Entscheidend bleibt, dass jede automatisierte Unterstützung eine Quelle, einen Zeitstempel und eine menschliche Entscheidungsebene behält.

Der erste Schritt ist klein, aber verbindlich

Ein Stadtwerk muss nicht mit einem Großprogramm starten. Sinnvoll ist eine überschaubare Sicherheitsakte für eine klar abgegrenzte Dienstleistung. Darin stehen Dienstleistung, betroffene Anlagen, Kernprozesse, verantwortliche Rollen, Dienstleisterkontakte, Meldeweg, Übungsstatus und Nachweisdokumente. Diese Akte wird nicht einmalig erstellt, sondern regelmäßig geprüft: nach organisatorischen Änderungen, nach Systemwechseln, nach Übungen und nach realen Störungen.

Der Wert liegt in der Wiederholung. Wenn jede kritische Dienstleistung nach derselben Logik beschrieben wird, entstehen vergleichbare Lückenbilder. Die Geschäftsführung sieht, wo Verantwortung unklar ist. Fachbereiche sehen, welche Schnittstellen sie pflegen müssen. Dienstleistersteuerung sieht, welche Leistungs- und Erreichbarkeitsannahmen wirklich kritisch sind.

So wird KRITIS nicht zur Angstvokabel und NIS-2 nicht zur reinen Dokumentenpflicht. Beides wird zu einer Frage operativer Reife: Kann das Stadtwerk zeigen, dass es seine kritischen Dienstleistungen kennt, ihre digitalen Abhängigkeiten versteht und im Ereignisfall handlungsfähig bleibt? Wer diese Frage strukturiert beantworten kann, gewinnt nicht nur regulatorische Nachvollziehbarkeit, sondern auch echte Resilienz im kommunalen Versorgungsalltag.