Informationssicherheit endet nicht in der IT
NIS2 und die damit verbundene Debatte über Cybersicherheit verändern die Erwartung an Unternehmen der Energie- und Versorgungswirtschaft. Öffentliche Informationen von BSI und Europäischer Kommission machen deutlich: Es geht um Risikomanagement, Verantwortlichkeit, Melde- und Sicherheitsmaßnahmen sowie um die Fähigkeit, kritische Leistungen widerstandsfähig zu betreiben. Für Stadtwerke ist das keine abstrakte Compliance-Formel. Es betrifft konkrete Fachprozesse.
Viele Häuser beginnen bei NIS2 verständlicherweise mit der IT: Assetlisten, Netzsegmente, Schutzbedarf, Backupkonzepte, Zugriffsrechte, Dienstleister und Meldewege. Diese Sicht ist notwendig. Sie reicht aber nicht aus, wenn Fachbereiche im Alltag nicht wissen, welche Nachweise sie liefern müssen und wie sie sich im Störfall verhalten sollen.
Ein Stadtwerk ist kein reines IT-Unternehmen. Es betreibt Netze, Kundencenter, Abrechnung, Marktkommunikation, Messwesen, Fernwärme, Wasser oder Mobilitätsangebote. Jeder dieser Bereiche nutzt Systeme, Daten, Dienstleister und Betriebsroutinen. Informationssicherheit wird deshalb erst dann tragfähig, wenn sie als Fachprozess-Routine sichtbar wird.
Fachprozesse müssen ihren Sicherheitsbeitrag kennen
Die wichtigste Übersetzungsleistung besteht darin, die Sicherheitsanforderungen in Fachsprache zu bringen. Eine Abteilung muss nicht jede technische Norm auswendig kennen. Sie muss aber wissen, welche Systeme für ihren Prozess kritisch sind, welche Daten besonders schützenswert sind, welche Dienstleister beteiligt sind, welche manuellen Ersatzwege existieren und wer im Ereignisfall entscheidet.
Daraus entsteht eine Fachprozess-Akte. Sie enthält keine vollständige IT-Dokumentation, sondern die betriebliche Sicht: Prozesszweck, kritische Anwendungen, Datenklassen, Abhängigkeiten, Verantwortliche, Dienstleister, Notfallmodus, Kommunikationsweg und Nachweisstand. Diese Akte ist klein genug, um gepflegt zu werden, und konkret genug, um bei Audits, Übungen oder Störungen zu helfen.
Für Stadtwerke ist diese Form besonders hilfreich, weil viele Risiken an Schnittstellen entstehen. Ein Abrechnungssystem hängt am Dienstleister, ein Marktkommunikationsprozess an Zertifikaten und Kommunikationskanälen, ein Netzbetriebsprozess an Leit- und Fernwirktechnik, ein Kundenserviceprozess an Wissensdatenbanken und Identitätsprüfungen. Wenn jede Stelle nur den eigenen Ausschnitt sieht, bleibt das Gesamtrisiko unscharf.
Dienstleister sind Teil des Prozesses
NIS2-Diskussionen lenken den Blick stark auf Lieferketten und Dienstleister. Für Stadtwerke ist das praxisnah. Kaum ein Haus betreibt alle Anwendungen, Rechenzentren, Kommunikationsdienste und Fachverfahren vollständig allein. Entscheidend ist nicht nur, ob ein Dienstleister vertraglich benannt ist. Entscheidend ist, ob seine Rolle im Fachprozess verstanden und im Notfall handhabbar ist.
Eine einfache Dienstleistermatrix kann viel bewirken. Sie unterscheidet, welcher Dienstleister welche Leistung für welchen Prozess erbringt, welche Daten verarbeitet werden, welche Kontaktwege im Störfall gelten, welche Servicegrenzen existieren und welche Ersatzmaßnahmen intern möglich sind. Damit wird aus einer Beschaffungsliste eine operative Abhängigkeitskarte.
Diese Karte sollte regelmäßig mit Fachbereichen geprüft werden. Hat sich ein Prozess verändert? Wurde ein zusätzliches Portal eingeführt? Gibt es neue Schnittstellen? Ist ein Ansprechpartner noch aktuell? Wurde ein Notfallkontakt getestet? Solche Fragen wirken klein, entscheiden aber im Störfall über Geschwindigkeit und Klarheit.
Meldewege müssen geübt werden
Cybersecurity-Regulierung erzeugt häufig Meldepflichten und Entscheidungsfristen. Dieser Artikel ersetzt keine Rechtsberatung und bewertet keine konkrete Betroffenheit. Operativ lässt sich aber festhalten: Ein Meldeweg, der nur in einem Dokument steht, ist kein belastbarer Meldeweg. Stadtwerke sollten Übungen durchführen, bei denen Fachbereich, IT, Geschäftsführung, Kommunikation und gegebenenfalls Dienstleister zusammenspielen.
Eine Übung muss nicht dramatisch sein. Ein realistisches Szenario genügt: Ein Fachverfahren ist nicht erreichbar, ein Dienstleister meldet einen Sicherheitsvorfall, eine Schnittstelle liefert auffällige Daten oder ein Benutzerkonto verhält sich ungewöhnlich. Die Übung fragt, wer den Fall erkennt, wer ihn bewertet, wer entscheidet, wer dokumentiert, wer extern kommunizieren darf und welche Ersatzroutine gilt.
Nach der Übung ist nicht die perfekte Antwort entscheidend, sondern die Lernliste: unklare Zuständigkeit, fehlender Kontakt, unvollständige Prozessakte, ungetesteter Ersatzweg, unklare Kommunikationsgrenze. Genau diese Punkte machen die Organisation resilienter, wenn sie nicht als Schuldfrage, sondern als Verbesserungsroutine geführt werden.
Nachweise brauchen einen Lebenszyklus
Viele Nachweise altern schnell. Eine Prozessbeschreibung, ein Dienstleisterkontakt, ein Rollenmodell oder eine Systemliste ist nur so gut wie ihre letzte Prüfung. Deshalb brauchen Stadtwerke einen Nachweis-Lebenszyklus. Er legt fest, welche Nachweise monatlich, quartalsweise oder jährlich geprüft werden, wer Änderungen meldet und wie offene Punkte verfolgt werden.
Das klingt nach Verwaltungsarbeit, ist aber Führungsarbeit. Geschäftsführung und Bereichsleitungen können nur dann wirksam steuern, wenn sie wissen, welche Risiken offen sind, welche Maßnahmen laufen und wo Entscheidungen benötigt werden. Eine gute Übersicht zeigt deshalb nicht nur grüne Haken. Sie zeigt auch offene Klärungen, ablaufende Nachweise, nicht getestete Meldewege und kritische Dienstleisterabhängigkeiten.
Der Nutzen liegt in der Wiederholbarkeit. Statt jedes Audit oder jede Störung als Ausnahme zu behandeln, entsteht ein Rhythmus: prüfen, üben, nachschärfen, dokumentieren. So wird Cybersicherheit Teil des Betriebs und nicht ein Sonderprojekt neben dem Betrieb.
Kleine Routinen statt großer Symbolik
Stadtwerke müssen NIS2 nicht mit Symbolik beantworten. Wirksam sind kleine, klare Routinen: Fachprozess-Akten für kritische Abläufe, Dienstleistermatrix, geübte Meldewege, Rollenklärung, Nachweiskalender und eine Führungssicht auf offene Risiken. Diese Elemente verbinden die IT-Perspektive mit der Realität der Fachbereiche.
Damit entsteht eine belastbare Haltung: Informationssicherheit ist nicht nur Schutztechnik, sondern Organisationsfähigkeit. Ein Stadtwerk zeigt Reife, wenn es weiß, welche Prozesse kritisch sind, welche Abhängigkeiten bestehen und wie es unter Druck handlungsfähig bleibt. NIS2 wird dann nicht zur einmaligen Projektmappe, sondern zu einer wiederkehrenden Betriebsroutine.