NIS2 für Stadtwerke: Was jetzt auf kommunale Versorger zukommt
Kurz gefasst: NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die in Deutschland über das BSI-Gesetz (BSIG) umgesetzt wird. Viele Stadtwerke fallen als Betreiber kritischer oder wichtiger Einrichtungen darunter und müssen dann Risikomanagement, Meldepflichten und Mindestsicherheitsmaßnahmen erfüllen. Wer betroffen ist, sollte frühzeitig ein strukturiertes Sicherheitsmanagement (ISMS) aufbauen – denn die Anforderungen gelten unabhängig davon, ob die Umsetzung schon abgeschlossen ist.
Was ist NIS2?
NIS2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet bestimmte Unternehmen und Einrichtungen zu einem angemessenen Risikomanagement, zu Meldepflichten bei Sicherheitsvorfällen und zu Mindestsicherheitsmaßnahmen. „NIS“ steht für Netz- und Informationssicherheit; die „2″ kennzeichnet die deutlich erweiterte Fassung der ursprünglichen Richtlinie von 2016. In Deutschland wird NIS2 über das BSI-Gesetz (BSIG) in nationales Recht überführt.
Der Kreis der betroffenen Organisationen ist gegenüber der ersten NIS-Richtlinie erheblich gewachsen. Statt nur weniger Betreiber besonders kritischer Infrastrukturen erfasst NIS2 nun zahlreiche Einrichtungen ab einer bestimmten Größe – darunter viele kommunale Versorger.
Sind Stadtwerke von NIS2 betroffen?
Viele Stadtwerke fallen unter NIS2, weil sie mit Strom-, Gas-, Wärme- oder Wasserversorgung zu den versorgungskritischen Sektoren beitragen. Die Richtlinie unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Ob und in welche Kategorie ein einzelnes Stadtwerk fällt, hängt vom Sektor und von der Größe des Unternehmens ab. Diese Einordnung sollte jedes Haus für sich prüfen – pauschale Aussagen führen hier leicht in die Irre.
Als Orientierung gilt: Wer Energie- oder Wasserversorgung betreibt und eine bestimmte Zahl an Beschäftigten oder einen bestimmten Jahresumsatz überschreitet, gehört mit hoher Wahrscheinlichkeit zum betroffenen Kreis.
Welche Pflichten bringt NIS2 mit sich?
Betroffene Einrichtungen müssen im Kern drei Bereiche erfüllen:
Risikomanagement: Technische und organisatorische Maßnahmen, um die Sicherheit der Netz- und Informationssysteme zu gewährleisten – von Zugriffskontrollen über Verschlüsselung bis zum Umgang mit Schwachstellen.
Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb kurzer Fristen an die zuständige Behörde gemeldet werden – eine erste Meldung bereits innerhalb von 24 Stunden.
Nachweise und Governance: Die Geschäftsführung trägt ausdrücklich Verantwortung für die Cybersicherheit und muss die Umsetzung überwachen. Maßnahmen müssen dokumentiert und regelmäßig überprüft werden.
Wie bereiten sich Stadtwerke am besten vor?
Der wirksamste Schritt ist der Aufbau eines Informationssicherheits-Managementsystems (ISMS). Ein ISMS ist der strukturierte Rahmen, mit dem sich Sicherheit organisieren, umsetzen und gegenüber Behörden nachweisen lässt. Es bündelt Richtlinien, Verantwortlichkeiten und Prozesse an einer Stelle – und macht aus einzelnen Maßnahmen ein prüfbares System.
Für kommunale Versorger, die das nötige Fachwissen nicht dauerhaft im eigenen Haus vorhalten können, ist die Zusammenarbeit in einer Kooperation ein pragmatischer Weg: gemeinsam getragen, nach einheitlichen Standards, ohne dass jedes Stadtwerk ein eigenes Spezialistenteam aufbauen muss.
Häufige Fragen zu NIS2
Ab wann gilt NIS2?
Die EU-Richtlinie ist bereits in Kraft; die nationale Umsetzung über das BSI-Gesetz konkretisiert Fristen und Pflichten. Betroffene sollten nicht auf letzte Übergangsfristen warten, sondern frühzeitig mit der Umsetzung beginnen.
Was passiert bei Nichteinhaltung?
NIS2 sieht spürbare Sanktionen vor, einschließlich Bußgeldern und einer ausdrücklichen Verantwortung der Geschäftsführung. Versäumnisse können also nicht nur das Unternehmen, sondern auch die Leitungsebene treffen.
Reicht eine gute IT-Absicherung nicht aus?
Technische Sicherheit ist notwendig, aber nicht ausreichend. NIS2 verlangt einen organisatorischen Rahmen mit dokumentierten Prozessen, Zuständigkeiten und Nachweisen – genau das leistet ein ISMS.
Müssen wir das alles selbst aufbauen?
Nein. Gerade kleinere Versorger können auf Kooperationen und externe Partner zurückgreifen, um Anforderungen gemeinsam und kostengünstiger zu erfüllen.