NIS2 in der Branche Stadtwerke

Stadtwerke sind der Sonderfall, für den kaum eine Übersicht eine klare Antwort gibt: Was gilt, wenn ein Unternehmen gleichzeitig Energieversorger, Wasserversorger, Abwasserentsorger und Verkehrsbetrieb ist?

Mehrere Sektoren, eine Einstufung

Ein typisches Stadtwerk erfüllt mehrere Einträge der Anlage 1 gleichzeitig: Energie (Sektor 1), Trinkwasser (6), Abwasser (7) und, wo ein Verkehrsbetrieb dazugehört, auch Verkehr (2). Alle vier stehen in Anlage 1.

Für die Größenschwelle wird das Unternehmen als wirtschaftliche Einheit betrachtet. Ein Stadtwerk mit 300 Beschäftigten über alle Sparten ist damit besonders wichtige Einrichtung, auch wenn keine einzelne Sparte für sich diese Größe erreicht. Bei einer Holding mit rechtlich selbstständigen Sparten-Gesellschaften ist die Betrachtung differenzierter — verbundene Unternehmen zählen bei der Größenbestimmung mit, die Pflichten treffen aber die jeweilige Einrichtung. Diese Konstellation gehört rechtlich geprüft.

Die Lücken, die hier typisch sind

Gewachsene Leittechnik je Sparte. Strom-, Wasser- und Fernwärmenetze haben oft historisch getrennte Leitsysteme unterschiedlicher Hersteller und unterschiedlichen Alters, aber eine gemeinsame IT-Abteilung mit knapper Personaldecke.

Eine Netzleitstelle für alles. Wo Sparten in einer Leitstelle zusammenlaufen, ist sie der kritischste Punkt des Unternehmens — und muss entsprechend abgesichert und im Notfallplan als Ausfallszenario durchgespielt sein.

Kommunale IT-Dienstleister als Lieferkette. Viele Stadtwerke beziehen IT-Leistungen von kommunalen Rechenzentren oder Zweckverbänden. Diese sind Lieferanten im Sinne des § 30 Abs. 2 BSIG — die Sicherheitsanforderungen müssen also auch dort vertraglich verankert und nachgehalten werden.

Personaldecke im Sicherheitsbereich. Anders als bei großen Versorgern gibt es selten ein dediziertes Security-Team. Umso wichtiger ist eine benannte Verantwortung mit Mandat und direktem Berichtsweg zur Geschäftsführung.

Kommunale Beteiligungsstruktur. Die Geschäftsleiterpflichten nach § 38 BSIG treffen die Geschäftsführung der Gesellschaft. Aufsichtsrat und kommunale Träger ersetzen diese Verantwortung nicht — auch wenn Entscheidungswege dadurch länger sind.

Ein realistisches Szenario

Ein Stadtwerk mit 280 Beschäftigten wird über einen Dienstleisterzugang kompromittiert. Betroffen ist zunächst nur die Verwaltungs-IT, aber die Trennung zur Netzleitstelle lässt sich nicht sofort belegen.

Die Frühwarnung ans BSI ist binnen 24 Stunden fällig; parallel stellt sich die Frage nach der Information der Kommune als Trägerin und gegebenenfalls der Öffentlichkeit. Als besonders wichtige Einrichtung steht das Stadtwerk anschließend unter proaktiver Aufsicht — die Frage nach der Netztrennung wird also nicht nur intern gestellt.

Womit anfangen

Klären Sie zuerst die Struktur: eine Gesellschaft mit mehreren Sparten oder eine Holding mit Tochtergesellschaften? Davon hängt ab, wer registrierungs- und meldepflichtig ist. Danach eine gemeinsame Gap-Analyse über alle Sparten statt vier getrennter Projekte — die Maßnahmen überschneiden sich stärker, als die Spartenlogik vermuten lässt.

Die zehn Maßnahmenbereiche im Mehrspartenbetrieb

Risikoanalyse. Eine gemeinsame Analyse über alle Sparten, nicht vier getrennte. Die Netzleitstelle, gemeinsame Serverinfrastruktur und der kommunale IT-Dienstleister sind spartenübergreifende Risiken.

Bewältigung von Sicherheitsvorfällen. Ein Plan für das gesamte Unternehmen mit spartenspezifischen Anhängen. Klären Sie vorab, wer die Kommune als Trägerin informiert und wer nach außen kommuniziert.

Aufrechterhaltung des Betriebs. Priorisieren Sie nach Versorgungsrelevanz: Trinkwasser und Strom vor Abrechnung. Für die Leitstelle braucht es eine Rückfallebene, die geübt ist.

Sicherheit der Lieferkette. Der kommunale IT-Dienstleister ist Lieferant im Sinne des § 30 Abs. 2 BSIG. Sicherheitsanforderungen gehören in die Leistungsvereinbarung, auch wenn es sich um eine kommunale Schwestergesellschaft handelt.

Beschaffung und Wartung. Vergaberechtliche Verfahren erlauben Sicherheitsanforderungen als Eignungs- und Zuschlagskriterien. Nutzen Sie das — nachträglich sind Anforderungen kaum durchsetzbar.

Wirksamkeitsprüfung. Jährlich, spartenübergreifend, mit Bericht an die Geschäftsführung. Der Bericht ist zugleich Ihr Nachweis für § 38 BSIG.

Cyberhygiene und Schulungen. Getrennte Formate für Verwaltung, Leitstelle und technischen Außendienst. Die Geschäftsführung ausdrücklich einbeziehen.

Kryptografie. Priorität haben Fernwirkverbindungen, Kundendaten aus der Abrechnung und die Kommunikation mit Marktpartnern.

Personalsicherheit und Zugriffskontrolle. Bei geringer Personaldecke häufen sich Rechte auf wenige Personen. Dokumentieren Sie Vertretungsregelungen und trennen Sie administrative von normalen Konten.

Multi-Faktor-Authentifizierung. Zuerst für Fernzugänge, Zugänge des IT-Dienstleisters und administrative Konten.

Die ersten 90 Tage

Tage 1 bis 14. Struktur klären: eine Gesellschaft mit Sparten oder Holding mit Töchtern? Daraus folgt, wer registrierungspflichtig ist. Betroffenheit und Einstufung dokumentieren, BSI-Registrierung starten.

Tage 15 bis 45. Gemeinsame Gap-Analyse über alle Sparten. Vertragslage mit dem kommunalen IT-Dienstleister prüfen und Sicherheitsanforderungen nachverhandeln.

Tage 46 bis 90. Incident-Response-Plan inklusive Kommunikationsweg zur Kommune. Leitstellen-Ausfallszenario üben. Maßnahmenplan mit Berichtslinie an die Geschäftsführung etablieren, Schulung dokumentieren.

Häufige Fragen von Stadtwerken

Unsere Sparten sind eigene GmbHs. Muss sich jede registrieren?

Die Pflichten treffen die jeweilige Einrichtung. Erreicht eine Sparten-GmbH für sich die Schwellenwerte — unter Einbeziehung verbundener Unternehmen —, ist sie selbst registrierungspflichtig. Die konkrete Konstellation gehört rechtlich geprüft.

Sind wir als Anstalt öffentlichen Rechts über die öffentliche Verwaltung betroffen?

Möglicherweise zusätzlich. Für Länder und Kommunen richtet sich die Umsetzung von Sektor 10 nach Landesrecht. Über die Fachsektoren Energie, Trinkwasser und Abwasser sind Sie in der Regel ohnehin erfasst.

Wer trägt die Verantwortung nach § 38 BSIG — Geschäftsführung oder Aufsichtsrat?

Die Geschäftsführung. Aufsichtsrat und kommunale Träger ersetzen diese Pflicht nicht. Sie ist nicht delegierbar und verlangt aktive Überwachung sowie Schulungsteilnahme.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Die Herausforderung im Stadtwerk ist selten der Umfang, sondern die Personaldecke. Realistisch sind 0,3 bis 0,5 Personenstellen über fünf bis sechs Monate. Da diese Kapazität selten frei ist, entscheidet die Priorisierung durch die Geschäftsführung darüber, ob das Projekt vorankommt.

Technische Investitionen. Absicherung der Fernzugänge und Multi-Faktor-Authentifizierung sind günstig und schnell wirksam. Die Rückfallebene für die Netzleitstelle ist der aufwendigste Posten, weil sie organisatorisch und technisch geplant werden muss.

Was die Aufsicht typischerweise sehen will. Die spartenübergreifende Risikoanalyse, den Incident-Response-Plan mit Übungsnachweis, die Leistungsvereinbarung mit dem kommunalen IT-Dienstleister samt Sicherheitsanforderungen, das Ausfallszenario der Leitstelle, den Bericht an die Geschäftsführung und die Schulungsnachweise.

Der kommunale Sonderaufwand. Beteiligungsstruktur und Vergaberecht verlängern Entscheidungswege. Planen Sie für Beschaffungen mit Sicherheitsanforderungen deutlich mehr Vorlauf ein und nutzen Sie Sicherheitskriterien früh als Eignungs- und Zuschlagskriterien — nachträglich lassen sie sich kaum durchsetzen.

Was Sie sich sparen können. Vier getrennte Sparten-Projekte. Die Maßnahmen überschneiden sich stärker, als die Spartenlogik vermuten lässt; eine gemeinsame Analyse mit spartenspezifischen Anhängen ist erheblich effizienter.