Ein Angriff auf die Leitwarte, ein verschlüsselter Server im Abrechnungssystem oder ein kompromittierter Fernzugang: Für Energieversorger kann ein IT-Sicherheitsvorfall schnell die Versorgung und den Betrieb beeinträchtigen. Bei der Frage „NIS-2 für Energieversorger - was betrifft KMU?“ zählt deshalb nicht nur, wie viele Beschäftigte ein Unternehmen hat. Entscheidend sind Tätigkeit, Größe, Rolle in der Versorgung und die konkret eingesetzte Informations- und Betriebstechnik.
NIS-2 richtet sich nicht pauschal an jeden Handwerksbetrieb oder jede kleine Gesellschaft im Umfeld der Energiebranche. Kleine und mittlere Versorger sollten das Thema dennoch nicht wegschieben. Wer Strom, Gas, Wärme oder Kälte bereitstellt, Anlagen digital überwacht oder in kritische Betriebsprozesse eingebunden ist, muss den eigenen Status sauber prüfen.
Warum Energieversorger besonders genau hinsehen müssen
Die NIS-2-Richtlinie der EU setzt Mindestanforderungen für Cybersicherheit in wichtigen Wirtschaftsbereichen. Energie gehört ausdrücklich dazu. Erfasst werden unter anderem Bereiche der Elektrizitätsversorgung sowie Fernwärme, Fernkälte, Gas, Öl und Wasserstoff. In Deutschland werden die Vorgaben durch nationales Recht konkretisiert. Für Unternehmen zählt daher immer die jeweils geltende deutsche Regelung und nicht nur der Text der EU-Richtlinie.
Der Kern ist praktisch: Unternehmen sollen Risiken für ihre Netz- und Informationssysteme beherrschen, Sicherheitsvorfälle erkennen und relevante Ereignisse fristgerecht melden können. Das betrifft nicht allein klassische Büro-IT. Bei Versorgern gehören oft auch Fernwirktechnik, Prozessleitsysteme, Zählerdaten, Lastmanagement, digitale Übergabestationen und Wartungszugänge dazu.
Ein Ausfall in der Verwaltung ist unangenehm. Ein unkontrollierter Zugriff auf Steuerungs- oder Überwachungstechnik kann dagegen Betrieb, Verfügbarkeit und Sicherheit unmittelbar beeinflussen. Genau deshalb bewertet der Gesetzgeber Energieunternehmen anders als einen gewöhnlichen Gewerbebetrieb.
NIS-2 für Energieversorger: Was betrifft KMU konkret?
Als Grundregel richtet sich NIS-2 vor allem an mittlere und große Einrichtungen. Ein Unternehmen gilt im europäischen Größenverständnis grundsätzlich als mittlere Einrichtung, wenn es mindestens 50 Beschäftigte hat und entweder einen Jahresumsatz oder eine Jahresbilanzsumme von mehr als 10 Millionen Euro erreicht. Große Einrichtungen liegen ab 250 Beschäftigten sowie höheren finanziellen Schwellenwerten vor.
Diese Zahlen sind ein guter erster Filter, aber keine abschließende Prüfung. Verbundene Unternehmen, Beteiligungen und Konzernstrukturen können bei der Größenbewertung relevant sein. Ein kommunaler Versorger mit rechtlich eigenständigen Tochtergesellschaften sollte daher nicht nur einzelne Gesellschaften isoliert betrachten. Auch die genaue Einordnung der Tätigkeit ist entscheidend: Betreiber einer Energieinfrastruktur, Lieferant, Messstellenbetreiber und technischer Dienstleister können unterschiedlich bewertet werden.
Kleinstunternehmen und viele kleine Unternehmen fallen meist nicht unmittelbar unter die NIS-2-Pflichten. Es gibt jedoch Ausnahmen und Sonderfälle, etwa wenn eine Einrichtung wegen ihrer Funktion oder Bedeutung unabhängig von der Größe erfasst wird. Ob das zutrifft, muss anhand der geltenden nationalen Vorgaben und der konkreten Rolle im Versorgungsnetz geprüft werden.
Für einen kleinen SHK-Betrieb, Elektrofachbetrieb oder Kältetechnik-Fachbetrieb bedeutet das meist: Er ist nicht automatisch NIS-2-pflichtig, nur weil er bei einem Versorger arbeitet. Sobald er aber Fernzugänge nutzt, Steuerungen wartet, Zählertechnik einbindet oder sensible Betriebsdaten verarbeitet, werden Sicherheitsanforderungen oft vertraglich weitergegeben. Das ist keine Nebensache, sondern kann Voraussetzung für Aufträge, Wartungsverträge oder den Zugriff auf Anlagen sein.
Welche Pflichten können auf betroffene Unternehmen zukommen?
NIS-2 verlangt keinen einzelnen bestimmten Hersteller, keine fest vorgeschriebene Firewall und keine Einheitslösung für jeden Versorger. Gefordert ist ein angemessenes Risikomanagement. Die Maßnahmen müssen zur Gefährdungslage, Unternehmensgröße, eingesetzten Technik und möglichen Folgen eines Ausfalls passen.
In der Praxis gehören dazu organisatorische und technische Punkte. Die Geschäftsleitung trägt Verantwortung und muss sich mit Cybersicherheitsrisiken befassen. IT-Sicherheit darf nicht ausschließlich bei einem externen Dienstleister oder einer einzelnen Fachkraft liegen. Es braucht nachvollziehbare Zuständigkeiten, Entscheidungen und Kontrollen.
Wesentliche Maßnahmen sind typischerweise:
- eine dokumentierte Risikoanalyse für IT und Betriebstechnik,
- Regeln für Zugriffsrechte, Passwörter und Mehrfaktor-Anmeldung,
- regelmäßige Aktualisierungen von Software, Steuerungen und Netzwerkkomponenten,
- Datensicherungen mit erprobter Wiederherstellung,
- ein Notfallplan für Cybervorfälle und technische Ausfälle,
- Sicherheitsanforderungen an Dienstleister, Lieferanten und Fernwartungspartner,
- Verfahren zur Bewertung und Meldung erheblicher Sicherheitsvorfälle.
Besonders wichtig ist die Trennung von Büro-IT und Betriebstechnik. In vielen kleineren Versorgungsunternehmen sind historisch gewachsene Netze anzutreffen: ein Verwaltungsnetz, einzelne Fernzugänge, Steuerungen verschiedener Generationen und externe Wartung über unterschiedliche Zugänge. Das ist nicht automatisch unzulässig. Es erhöht aber den Prüfaufwand, weil ein kompromittiertes Benutzerkonto nicht bis zur Anlagensteuerung durchreichen darf.
Meldewege und Notfallplanung nicht erst im Ernstfall klären
Ein erheblicher Sicherheitsvorfall kann Meldepflichten auslösen. Die NIS-2-Systematik sieht abgestufte Meldungen vor: eine frühe Warnung, eine weiterführende Meldung und später einen Abschlussbericht. Die konkreten Fristen, zuständigen Stellen und Inhalte ergeben sich aus dem nationalen Recht sowie den Vorgaben der Behörde.
Für die Praxis heißt das: Nicht erst bei einem Angriff überlegen, wer informiert werden muss. Lege fest, wer einen Vorfall technisch bewertet, wer die Geschäftsleitung informiert, wer den Kontakt zu Behörden übernimmt und wer externe Fachleute einbindet. Auch die Kommunikation mit Kunden, Kommunen oder Partnerbetrieben gehört in den Notfallplan, sofern ein Ausfall Folgen für die Versorgung oder vereinbarte Leistungen hat.
Ein guter Plan besteht nicht aus einer Datei, die niemand kennt. Er muss erreichbar sein, wenn E-Mail, Server oder Telefonanlage eingeschränkt funktionieren. Gedruckte Kontaktdaten, alternative Kommunikationswege und eine regelmäßige Übung sind bei kritischen Betriebsprozessen sinnvoll.
Wo KMU beim Start häufig Zeit verlieren
Der häufigste Fehler ist, sofort Produkte zu beschaffen, ohne das eigene Risiko zu kennen. Eine neue Sicherheitskomponente kann sinnvoll sein. Sie ersetzt aber weder klare Zuständigkeiten noch ein vollständiges Verzeichnis der Systeme und Zugänge.
Der zweite Fehler ist ein zu enger Blick auf klassische IT. Ein Energieversorger sollte erfassen, welche Anlagen digital verbunden sind, welche Fernwartungszugänge bestehen und welche Dienstleister Zugriff erhalten. Dazu gehören auch Router in Außenstationen, Mobilfunkanbindungen, Gebäudetechnik, Übergabestationen und Messdatenplattformen.
Drittens werden Dienstleister oft nur auf Preis und Verfügbarkeit geprüft. Bei sicherheitsrelevanten Leistungen sollten Verträge klar regeln, wer Zugänge einrichtet, wie Berechtigungen entzogen werden, wie Vorfälle gemeldet werden und welche Mindestmaßnahmen gelten. Ein ehemaliger Mitarbeiter oder ein nicht mehr beauftragter Wartungspartner darf keinen aktiven Zugang behalten.
Ein umsetzbarer Fahrplan für kleinere Versorger
Beginne mit einer Bestandsaufnahme, die in wenigen Wochen belastbare Ergebnisse liefert. Erfasse alle wesentlichen Systeme, Daten und Anlagen: Verwaltung, Abrechnung, Fernwirk- und Leittechnik, Netzwerke, Cloud-Dienste, Außenstationen und Fernzugriffe. Notiere jeweils Verantwortliche, Dienstleister, Aktualisierungsstand und mögliche Auswirkungen eines Ausfalls.
Danach folgt die Schutzbedarfsbewertung. Frage bei jedem System: Was passiert nach einer Stunde, nach einem Tag und nach mehreren Tagen Ausfall? Können Daten verloren gehen? Kann ein Unbefugter Werte verändern? Ist die Versorgung betroffen? So werden Prioritäten sichtbar, statt alle Themen gleichzeitig anzugehen.
Als Nächstes sollten offensichtliche Lücken geschlossen werden: nicht mehr benötigte Benutzerkonten entfernen, Mehrfaktor-Anmeldung für Fernzugänge einführen, Sicherungen prüfen, Updates planen und Netzbereiche trennen. Bei Schaltschränken, Verteilungen, Steuerungen und Kommunikationskomponenten gehören Änderungen in die Hände qualifizierter Elektrofachkräfte beziehungsweise spezialisierter Automatisierungs- und IT-Fachleute. Dokumentation und normgerechte Ausführung sind hier Teil der Betriebssicherheit.
Anschließend werden Notfallabläufe getestet. Ein realistisches Szenario reicht für den Anfang: Das Abrechnungssystem ist nicht erreichbar oder ein Fernwartungszugang wurde kompromittiert. Wer entscheidet? Welche Anlage wird gegebenenfalls vom Netz getrennt? Wo liegen aktuelle Sicherungen? Wie wird der Betrieb weitergeführt? Aus den Ergebnissen entsteht ein Maßnahmenplan mit Verantwortlichen und Terminen.
Was Handwerksbetriebe und technische Dienstleister jetzt vorbereiten sollten
Auch ohne direkte gesetzliche Einstufung lohnt sich Vorbereitung. Auftraggeber werden zunehmend nach dokumentierten Zugriffsrechten, geschulten Mitarbeitern, sicheren Fernwartungswegen und geregeltem Umgang mit Vorfällen fragen. Wer diese Punkte sauber organisiert, reduziert Rückfragen bei Vergaben und schützt den eigenen Betrieb.
Für Betriebe aus SHK, Elektro und Kältetechnik ist vor allem die Schnittstelle zur Anlage relevant. Wird eine Wärmeerzeugung, eine Übergabestation oder eine Gebäudeleittechnik digital angebunden, müssen Zuständigkeiten klar sein: Wer darf Parameter ändern, wer erhält Zugriff, wie wird dieser Zugriff abgesichert und wie wird er nach Abschluss der Arbeiten wieder entfernt? Bei Neubau und Sanierung ist es deutlich einfacher, sichere Netzwerkwege, passende Verteilerfelder und ausreichend dokumentierte Schnittstellen von Beginn an einzuplanen.
NIS-2 ist für KMU im Energiesektor kein Grund für Aktionismus. Aber es ist ein klarer Anlass, Technik, Zugänge und Verantwortlichkeiten so zu ordnen, dass ein einzelner Sicherheitsvorfall nicht den gesamten Betrieb bestimmt. Wer mit einer ehrlichen Bestandsaufnahme startet, erkennt schnell, welche Maßnahmen wirklich zuerst umgesetzt werden müssen.