NIS-2 für kommunale Versorger: Wie die effiziente Umsetzung gelingt

Seit Dezember 2025 ist das deutsche NIS-2-Umsetzungsgesetz in Kraft. Wenn ein kommunaler Wasserbetrieb die ihn betreffenden NIS-2-Anforderungen prüft, entsteht daraus schnell ein umfangreiches zusätzliches Sicherheitsprogramm mit Themenfeldern wie Risikomanagement, Notfallvorsorge, Lieferkettensicherheit sowie Zugriffsschutz, Schulungen und Meldeprozesse.

Viele der benötigten Strukturen und Maßnahmen existieren jedoch bereits. Es gibt Notfallpläne, Berechtigungskonzepte, technische Schutzmaßnahmen, Dienstleisterverträge, Backup-Verfahren, Bereitschaftsdienste oder ein bestehendes Risikomanagement. Was fehlt, ist oftmals nicht die einzelne Maßnahme, sondern der systematische Zusammenhang.

Genau hier liegt aus unserer Erfahrung einer der größten Hebel für eine effiziente NIS-2-Umsetzung: Nicht alles neu aufbauen, sondern vorhandene Strukturen identifizieren, auf ihre Wirksamkeit prüfen und gezielt um die tatsächlich fehlenden Bausteine ergänzen. H2Kommunale Versorger sollten durch NIS-2 kein Parallelprojekt aufbauen

Kommunale Versorger sollten durch NIS-2 kein Parallelprojekt aufbauen

Wer die gesetzlichen Anforderungen Punkt für Punkt in neue Richtlinien, Prozesse und technische Einzelmaßnahmen übersetzt, erzeugt schnell Doppelstrukturen.

Ein typisches Beispiel ist das Risikomanagement. Kommunale Unternehmen verfügen häufig bereits über ein Unternehmensrisikomanagement, ein ISMS, technische Risikobetrachtungen oder etablierte Prozesse für Betrieb und Notfallvorsorge. Statt daneben ein eigenes „NIS-2-Risikomanagement“ aufzubauen, sollte zunächst geprüft werden, welche bestehenden Verfahren genutzt und erweitert werden können.

Dasselbe gilt für Incident Management, Business Continuity, Lieferantenmanagement, Asset Management, Berechtigungsmanagement oder Schulungen.

Entscheidend ist daher, systematisch zu erfassen, welche Strukturen bereits vorhanden sind und ob sie die Anforderungen wirksam und nachweisbar erfüllen.

Genau diesen Ansatz verfolgt CGI auch in der Praxis: Ausgangslage und bestehende Sicherheitsstrukturen werden zunächst bewertet, bevor Maßnahmen priorisiert und in die Organisation integriert werden. H2Wie kommunale Versorger die NIS-2-Umsetzung in vier Schritten voranbringen

Wie kommunale Versorger die NIS-2-Umsetzung in vier Schritten voranbringen

Aus unserer Erfahrung hat sich ein Vorgehen in vier Schritten bewährt.

1. NIS-2-Anwendungsbereich für kommunale Versorger einordnen

Bevor Maßnahmen geplant werden, muss klar sein, welche Organisation, Leistungen und Abhängigkeiten betrachtet werden müssen. Nicht jeder kommunale Versorger fällt automatisch unter NIS-2; die Betroffenheit sollte anhand der gesetzlichen Kriterien geprüft werden. Für einen Wasser- oder Abwasserbetrieb reicht dafür eine Liste der IT-Systeme nicht aus. Entscheidend ist die Verbindung zur Leistungserbringung:

Dazu gehören die Prozesse, die Wasserversorgung oder Abwasserentsorgung sichern, ebenso wie die dafür erforderlichen Leitwarten, Pumpwerke, Fernwirksysteme und Außenanlagen. Einzubeziehen sind außerdem die unterstützenden IT- und OT-Systeme sowie Dienstleister mit Zugängen oder kritischen Aufgaben.

So entsteht ein überschaubares Bild der wirklich relevanten Strukturen – statt sämtliche Systeme und Prozesse mit derselben Priorität zu behandeln.

2. Bestehende Sicherheitsmaßnahmen bewerten und wiederverwenden

Im zweiten Schritt werden die NIS-2-Anforderungen gegen vorhandene Maßnahmen gespiegelt. Ein bestehendes Backup-Konzept kann beispielsweise bereits wesentliche Anforderungen abdecken. Entscheidend ist dann nicht, ein neues Konzept zu schreiben, sondern zu prüfen.

Beim Backup-Konzept zählt, ob die tatsächlich kritischen Systeme enthalten sind, Wiederherstellungen getestet werden, Verantwortlichkeiten feststehen und das Verfahren auch bei Ausfall zentraler IT-Systeme funktioniert.

Ähnlich lässt sich bei anderen Anforderungen vorgehen: Ein bestehendes Berechtigungskonzept wird um kritische OT-Zugänge ergänzt. Das vorhandene Lieferantenmanagement berücksichtigt künftig Cyberrisiken und sicherheitsrelevante Vertragsanforderungen. Bestehende Notfallprozesse werden um Cyber-Szenarien erweitert. Vorhandene Managementberichte werden um wesentliche Cyberrisiken und den Umsetzungsstatus ergänzt.

Aus vielen vermeintlich neuen NIS-2-Aufgaben werden so überschaubare Anpassungen bestehender Strukturen.

3. NIS-2-Risiken priorisieren und Maßnahmen planen

Eine Gap-Analyse mit 50 oder 100 Feststellungen hilft einem Betreiber wenig, wenn anschließend unklar bleibt, womit begonnen werden soll. Deshalb verbinden wir regulatorische Anforderungen mit dem tatsächlichen Risiko für den Betrieb.

Ein unzureichend geschützter Fernwartungszugang zu einer kritischen Anlage hat eine andere Bedeutung als eine Dokumentationslücke bei einem System mit geringer Kritikalität. Ebenso kann ein fehlender Wiederherstellungstest für ein zentrales Leitsystem dringlicher sein als die Überarbeitung einer bereits weitgehend geeigneten Richtlinie.

Die Priorisierung richtet sich danach, wie stark ein Szenario die kritische Leistung beeinträchtigen kann, wie wahrscheinlich es ist, welche Schutzmaßnahmen das Risiko bereits mindern und welche zusätzliche Maßnahme mit vertretbarem Aufwand die größte Wirkung erzielt.

Das Ergebnis sollte keine lange Wunschliste sein, sondern eine umsetzbare Roadmap: Kurzfristig kritische Risiken reduzieren, mittelfristig Prozesse und Governance vervollständigen und anschließend die Wirksamkeit kontinuierlich überprüfen.

4. NIS-2-Prozesse in den laufenden Betrieb integrieren

Die eigentliche Bewährungsprobe beginnt nach der Umsetzung. Ein einmal erstelltes Risikoregister, ein aktualisierter Notfallplan oder eine neue Richtlinie erfüllen ihren Zweck nur dann, wenn sie im laufenden Betrieb genutzt werden. Deshalb sollten NIS-2-Prozesse möglichst in vorhandene Abläufe integriert werden.

Neue Dienstleister werden beispielsweise automatisch einer Sicherheitsbewertung unterzogen. Wesentliche Änderungen an IT- oder OT-Systemen lösen eine Risikobetrachtung aus. Kritische Schwachstellen werden nach einem definierten Verfahren priorisiert. Sicherheitsvorfälle folgen einer festgelegten Eskalations- und Meldekette. Wesentliche Cyberrisiken werden regelmäßig an die Leitung berichtet. So entsteht kein separates „NIS-2-System“, sondern ein Informationssicherheitsmanagement, das Bestandteil des normalen Betriebs ist.

Fernwartungszugang als NIS-2-Praxistest

Am Ende geht es bei der Verbindung bestehender Strukturen mit den NIS-2-Anforderungen um die Sicherstellung von Wirksamkeit. An einem Beispiel lässt sich gut der Unterschied zwischen NIS-2-Compliance auf dem Papier und wirksamer Cyberresilienz aufzeigen: Ein externer Dienstleister meldet verdächtige Aktivitäten auf einem Fernwartungszugang zu einer Außenanlage und empfiehlt dessen sofortige Sperrung.

Dann müssen der betroffene Zugang, die zugehörige Anlage und ihre Bedeutung für die Versorgung bekannt sein. Auch die Zuständigkeit für eine Sperrung muss feststehen. Zudem müssen ein alternativer Zugang oder eine Bedienung vor Ort bekannt sein. Mögliche Auswirkungen auf weitere Systeme sind zu prüfen, die Abstimmung zwischen IT, technischem Betrieb und Dienstleister muss funktionieren und gegebenenfalls müssen Melde- und Eskalationsprozesse ausgelöst werden.

Sind Asset Management, Risikomanagement, Incident Management, OT-Security, Dienstleistersteuerung und Notfallmanagement miteinander verbunden, sind die genannten Informationen und Handlungsfelder klar und umsetzbar. Sind sie lediglich als einzelne Dokumente vorhanden, beginnt im Ernstfall die Suche nach Zuständigkeiten und Informationen.

IT- und OT-Sicherheit bei kommunalen Versorgern gemeinsam betrachten

Gerade bei Wasser- und Abwasserbetrieben reicht eine klassische IT-Sicherheitsbetrachtung nicht aus. Prozessleittechnik, Fernwirktechnik, Sensorik, Außenanlagen und Wartungszugänge besitzen häufig andere Lebenszyklen und betriebliche Anforderungen als klassische IT-Systeme. Systeme können viele Jahre im Einsatz sein, Wartungsfenster sind begrenzt und Sicherheitsmaßnahmen dürfen die Verfügbarkeit der Versorgung nicht gefährden. Deshalb muss die Risikobetrachtung IT, OT und die damit verbundenen Geschäfts- beziehungsweise Versorgungsprozesse zusammenführen.

Für kommunale Versorger bedeutet das, technische Sicherheitsmaßnahmen, Governance, Rollen und Prozesse sowie produktionsnahe Systeme gemeinsam zu betrachten. Kritische Informationen, Systeme, Datenflüsse und Abhängigkeiten sollten transparent sein; Risiken sind im Kontext der Versorgungsleistung zu bewerten. Nicht das technische System allein bestimmt die Priorität, sondern seine Bedeutung für die kritische Leistung.

NIS-2 effizient umsetzen und Risiken für Versorger priorisieren

NIS-2 verlangt nicht, jede denkbare Sicherheitsmaßnahme maximal auszuprägen. Entscheidend ist ein angemessenes und wirksames Sicherheitsniveau. Für Betreiber mit begrenzten personellen und finanziellen Ressourcen ist das besonders relevant.

Ein zusätzlicher Mitarbeiter, eine neue Security-Plattform oder ein eigenes 24/7-SOC (Security Operations Center) sind nicht automatisch die richtige Antwort. Manchmal erzielt die Absicherung weniger kritischer Fernzugänge, konsequentes Patch- und

Schwachstellenmanagement, eine bessere Netzwerksegmentierung oder ein getesteter Wiederanlaufprozess einen wesentlich höheren Nutzen.

Andere Aufgaben wiederum lassen sich effizienter als Managed Service erbringen. Ein Security Operations Center kann beispielsweise kontinuierliche Überwachung, SIEM, Schwachstellenmanagement und Incident Response übernehmen, ohne dass ein Betreiber sämtliche dafür notwendigen Spezialisten selbst vorhalten muss. Die Entscheidung „intern oder extern“ sollte deshalb nicht pauschal getroffen werden, sondern je Fähigkeit. Steuerung, Risikoakzeptanz und Verantwortung gehören in die Organisation. Spezialisierte oder dauerhaft ressourcenintensive Leistungen können dagegen gezielt extern ergänzt werden.

Woran Versorger eine wirksame NIS-2-Umsetzung erkennen

Eine erfolgreiche NIS-2-Umsetzung erkennt man nicht an der Anzahl neu erstellter Dokumente. Sie zeigt sich daran, dass der Betreiber seine kritischen Leistungen, die Abhängigkeiten von IT-, OT- und Dienstleisterstrukturen sowie die wesentlichen Cyberrisiken kennt. Für diese Risiken sind passende Maßnahmen und Verantwortliche festgelegt. Der Betreiber überprüft die Wirksamkeit der Maßnahmen, und die Leitung kann auf dieser Grundlage nachvollziehbare Entscheidungen treffen. Genau diese Transparenz ist aus unserer Erfahrung einer der größten Mehrwerte eines strukturierten NIS-2-Programms.

CGI kann bei der Umsetzung Erfahrungen aus ISMS, IT- und OT-Security, Risikomanagement, Business Continuity und Security Services einbringen. Ein Assessment hilft, vorhandene Maßnahmen und Abweichungen einzuordnen, Risiken zu priorisieren und ein umsetzbares Maßnahmenprogramm abzuleiten. So richtet sich die Umsetzung an den wesentlichen Risiken aus und bleibt auf den Betriebsalltag abgestimmt.

Wer NIS-2 auf diese Weise angeht, erfüllt regulatorische Anforderungen und stärkt zugleich die Handlungsfähigkeit der Organisation im Ernstfall. Ein strukturiertes Gespräch kann helfen, vorhandene Maßnahmen einzuordnen und mögliche Handlungsfelder zu bestimmen.