NIS2 für Stadtwerke & kommunale Versorger
800 bis 1.500 Querverbundunternehmen in Deutschland stehen vor einer einzigartigen Herausforderung: Der Energieteil fällt unter das EnWG (§§5c–5e), der Nicht-Energieteil unter das BSIG — zwei Regulierungsregime in einem Unternehmen.
Herausforderungen für Stadtwerke & kommunale Versorger
Stadtwerke sind als Querverbundunternehmen in mehreren NIS2-Sektoren gleichzeitig betroffen — Energie (Anlage 1), Wasser (Anlage 1), Abfallwirtschaft (Anlage 2) und teils ÖPNV.
Querverbund-Regulierung
Stadtwerke betreiben Energie, Wasser, Abfall und ÖPNV unter einem Dach. Jeder Bereich fällt unter einen anderen NIS2-Sektor — mit unterschiedlichen Schwellenwerten, Aufsichtsbehörden und Nachweispflichten.
EnWG als lex specialis für Energieteil
Nach § 28 Abs. 5 BSIG gelten für den Energieteil die §§ 5c–5e EnWG mit IT-Sicherheitskatalog und BNetzA-Aufsicht anstelle der BSIG-Pflichten zu Risikomanagement, Meldung und Geschäftsleitungs-Haftung; der Nicht-Energieteil bleibt unter BSIG. Diese Einordnung ist eine Orientierung und ersetzt keine Rechtsberatung — maßgeblich ist der Gesetzestext.
Knappe IT-Budgets
Kommunale Versorger haben begrenzte IT-Budgets und kleine IT-Teams. Die gleichzeitige Umsetzung von NIS2, EnWG-Anforderungen und KRITIS-Dachgesetz überfordert viele Organisationen.
Dezentrale Infrastruktur
Wasserwerke, Umspannwerke, Kläranlagen und Busdepots sind über das gesamte Versorgungsgebiet verteilt — mit OT-Systemen, Fernwirktechnik und zunehmend vernetzten IoT-Sensoren.
Was Stadtwerken droht
Stadtwerke unterliegen einem gemischten Regulierungsregime: Der Energieteil fällt unter das EnWG mit BNetzA-Aufsicht, der Nicht-Energieteil unter das BSIG mit BSI-Aufsicht. Beide Regime kennen Bußgelder und Meldepflichten.
Art. 21 — Relevante Maßnahmen für Stadtwerke
Von den 10 Maßnahmen-Bereichen des Art. 21 sind diese besonders relevant für kommunale Versorger — zu 3 davon liefert Wolf-Agents automatisierte Teilnachweise an der extern sichtbaren Oberfläche.
| Maßnahmen-Bereich (Art.-21-Katalog) | Stadtwerke-Relevanz | Status |
|---|---|---|
| Risikoanalyse | Getrennte Risikobewertung für Energie (EnWG) und Nicht-Energie (BSIG), ISMS mit sektorspezifischen Scopes, IEC 62443 für OT | Fragebogen |
| Lieferkettensicherheit | Cybersicherheitsanforderungen an OT-Lieferanten, SCADA-Hersteller, Cloud-Dienste und kommunale IT-Dienstleister | Fragebogen |
| Sichere Systeme | Kundenportale, Online-Abschlagszahlung, Störungsmeldungen — Security Headers, SSL/TLS und Härtung von Webinterfaces | Automatisiert |
| Kryptografie | Verschlüsselung von Kundendaten, Verbrauchsdaten und Abrechnungsinformationen, DANE für E-Mail-Kommunikation | Automatisiert |
| Wirksamkeitsbewertung | Regelmäßige Überprüfung der Sicherheitsmaßnahmen über beide Regulierungsregime hinweg, automatisiertes Monitoring | Automatisiert |
| Zugriffskontrolle | Rollenkonzepte für Leitwarten, Fernwirktechnik und Verwaltungssysteme, MFA für kritische Zugänge, Notfallzugriffe dokumentiert | Fragebogen |
Prüfen → Überwachen → Dokumentieren
Technische NIS2-Bausteine für kommunale Versorger: Automatische Prüfung Ihrer Kundenportale, Störungsmeldungen und E-Mail-Infrastruktur — über beide Regulierungsregime hinweg.
Prüfen
Web Security Scanner prüft Kundenportale, Online-Services und Störungsmeldungen auf Security Headers, SSL/TLS-Konfiguration und riskante Konfigurationsmuster — kein Penetrationstest.
Überwachen
Automatisches Monitoring alle 6 Stunden: Score-Verschlechterung, DNS-Änderungen, Blacklist-Listings und Zertifikatsablauf — Alerts unmittelbar nach dem Prüflauf.
Dokumentieren
Score-History, Maßnahmen-Log und NIS2-Statusbericht — dokumentierte Momentaufnahmen, die Ihre eigene Nachweisführung gegenüber BSI, BNetzA und kommunaler Geschäftsleitung ergänzen können. Keine Konformitätsfeststellung, kein Prüfbericht.
Ist Ihr Stadtwerk betroffen?
Verschaffen Sie sich in 30 Sekunden eine erste Orientierung, ob Ihr kommunaler Versorger in den Anwendungsbereich der NIS2-Richtlinie fallen dürfte. Kostenlos, ohne Registrierung.