Ist unser Stadtwerk im NIS 2 Anwendungsbereich?
Stadtwerke sitzen gleichzeitig auf mehreren NIS 2 Anhang I Sektoren: Strom, Trinkwasser, Abwasser, manchmal kommunale Telekommunikation. Jede dieser Aktivitäten reicht für die Einschlägigkeit. Die Größenprüfung greift auf die juristische Person als Ganzes, nicht je Geschäftsbereich.
Die Kurzfassung
Ein typisches Stadtwerk betreibt vier Arten von Geschäft unter einer GmbH: Stromverteilung und Stromvertrieb, Trinkwasser, Abwasser und manchmal Telekommunikation oder Fernwärme. Jede dieser Aktivitäten ist ein eigener Sektor in NIS 2 Anhang I. Ein Sektor reicht für die Einschlägigkeit. Vier Sektoren machen daraus nicht vier Pflichten. Eine juristische Person, eine NIS 2 Registrierung.
Artikel 2(1) NIS 2 fügt die Größenprüfung hinzu: mittleres Unternehmen oder größer (mindestens 50 Beschäftigte, oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme). Stadtwerke liegen fast immer darüber. Wer mit einer Aktivität die sektorspezifische KRITIS Schwelle überschreitet (zum Beispiel 100.000 Stromanschlüsse, oder mehr als 22 Millionen Kubikmeter Trinkwasser pro Jahr), fällt zusätzlich unter das strengere KRITIS Regime, neben NIS 2. Unter der Schwelle gilt NIS 2 trotzdem.
Deutschland setzt das über §28 BSIG um. Die KRITIS-Verordnung legt die Größenschwellen für das eigene KRITIS Regime fest, das eine zusätzliche, strengere Schicht ist. NIS 2 hängt nicht von KRITIS Schwellen ab.
NIS 2 Richtlinie (2022/2555), Anhang I Sektoren 1, 6, 7 und 8
Sektor 1 Energie umfasst (a) Elektrizität, (b) Fernwärme und -kälte, (c) Erdöl, (d) Erdgas, (e) Wasserstoff und erfasst Verteilernetzbetreiber, Übertragungsnetzbetreiber, Erzeuger und Versorgungsunternehmen. Sektor 6 Trinkwasser erfasst Lieferanten von und Unternehmen der Versorgung mit Wasser für den menschlichen Gebrauch. Sektor 7 Abwasser erfasst Unternehmen, die kommunales Abwasser, häusliches Abwasser oder industrielles Abwasser sammeln, entsorgen oder behandeln. Sektor 8 Digitale Infrastruktur umfasst Anbieter öffentlicher elektronischer Kommunikationsnetze und Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste.
Ein einzelnes Stadtwerk, das ein Stromnetz betreibt, Trinkwasser liefert, Abwasser behandelt und ein städtisches Glasfasernetz unterhält, berührt vier verschiedene Sektoren aus dieser Liste. Jede einzelne Aktivität löst NIS 2 unabhängig aus.
Artikel 2(1) NIS 2 + Empfehlung 2003/361/EG + KRITIS-Verordnung
Diese Richtlinie gilt für öffentliche oder private Einrichtungen einer in Anhang I oder Anhang II genannten Art, die mittlere Unternehmen im Sinne von Artikel 2 des Anhangs der Empfehlung 2003/361/EG sind oder die Obergrenzen für mittlere Unternehmen nach Absatz 1 jenes Artikels überschreiten.
Die Größenprüfung lautet mittel oder größer (mindestens 50 Beschäftigte, oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme). Die KRITIS-Verordnung setzt für das deutsche KRITIS Regime eigene sektorspezifische Schwellen: zum Beispiel 100.000 Anschlüsse in der Stromverteilung, oder mehr als 22 Millionen Kubikmeter Trinkwasserversorgung pro Jahr. KRITIS Schwellen entscheiden nicht über NIS 2.
§28 BSIG (Deutschland)
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind natürliche oder juristische Personen oder rechtlich unselbständige Organisationseinheiten einer Gebietskörperschaft, die einer der in den Anlagen 1 oder 2 genannten Einrichtungsarten zuzuordnen sind und die Schwellenwerte nach Artikel 2 der Empfehlung 2003/361/EG erreichen oder überschreiten.
§28 BSIG ist die deutsche Eintrittstür in den NIS 2 Anwendungsbereich. Anlage 1 listet die besonders wichtigen Einrichtungsarten, Anlage 2 die wichtigen. Ein Stadtwerk, das mit mindestens einer Aktivität eine KRITIS Schwelle überschreitet, ist zugleich Betreiber einer Kritischen Anlage und landet damit in der strengeren Kategorie 'besonders wichtige Einrichtung'.
Welche Anhang I Aktivitäten betreiben Sie?
Gehen Sie die Liste durch. Elektrizität (Erzeugung, Verteilung, Vertrieb). Fernwärme oder Fernkälte. Gas. Trinkwasser. Abwasser. Öffentliches elektronisches Kommunikationsnetz oder Kommunikationsdienst. Bereits eine dieser Aktivitäten genügt, um den Sektor einzuschalten. Listen Sie alle auf, denn die Maßnahmen müssen auf die Systeme jedes betroffenen Sektors angewendet werden.
Sind Sie mindestens ein mittleres Unternehmen?
Mindestens 50 Beschäftigte, oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Die Prüfung gilt für die juristische Person, nicht je Geschäftsbereich. Stadtwerke liegen fast immer darüber, sobald Netzbetrieb, Wasser und Abwasser zusammengezählt werden. Darunter gibt es nur enge Ausnahmen, die für Energie und Wasser nicht greifen.
Überschreiten Sie eine Schwelle der KRITIS-Verordnung?
Sektorspezifisch. Stromverteilung: 100.000 angeschlossene Endkunden. Trinkwasser: 22 Millionen Kubikmeter pro Jahr. Abwasser: 500.000 Einwohnerwerte. Wird eine Schwelle in einer Aktivität überschritten, gilt KRITIS für diese Aktivität, zusätzlich zu NIS 2. Das KRITIS Regime bringt strengere Auditpflichten (unabhängige Prüfung alle drei Jahre, §39 BSIG) und zusätzliche Meldewege.
Eine juristische Person ist eine NIS 2 Einrichtung
Wenn Stromnetz, Wasser, Abwasser und Telekommunikation in derselben GmbH liegen, ist die GmbH die NIS 2 Einrichtung. Eine Registrierung beim BSI. Ein Risikoregister, das alle OT und IT Systeme über alle Sektoren abdeckt. Eine Geschäftsleitung, die zeichnet. Die NIS 2 Arbeit über die Geschäftsbereiche aufzuteilen, teilt nicht die Pflicht. Es macht die Koordination nur schwerer.
NIS 2 ist nicht KRITIS
Wer die KRITIS Schwelle überschreitet, bekommt ein zusätzliches Regime. Das ersetzt NIS 2 nicht. Wer unter der KRITIS Schwelle bleibt, fällt aus dem KRITIS Regime heraus, nicht aber aus NIS 2. Der §28 BSIG Anwendungsbereich liegt unter KRITIS und über 'zu klein, um erfasst zu werden'. Stadtwerke landen fast immer in diesem Band, auch wenn das Stromnetz unter 100.000 Anschlüssen liegt.
BSI / §28 BSIG und KRITIS-Verordnung
Das BSI ist für die Cybersicherheit in Energie, Wasser und Abwasser zuständig. Es betreibt das §33 BSIG Registrierungsportal, nimmt §32 BSIG Meldungen zu erheblichen Sicherheitsvorfällen entgegen und veröffentlicht Branchenspezifische Sicherheitsstandards für Energie, Wasser und Abwasser. Ist ein Stadtwerk zugleich KRITIS, geht der dreijährige Auditnachweis ebenfalls an das BSI.
Bundesnetzagentur
Betreibt das Stadtwerk ein öffentliches elektronisches Kommunikationsnetz oder einen Kommunikationsdienst (zum Beispiel eine städtische Glasfasertochter), ist die Bundesnetzagentur die Fachaufsicht. Die Cyberpflichten aus §28 BSIG laufen weiter über das BSI, die telekommunikationsspezifische Überlagerung liegt bei der Bundesnetzagentur.
ENISA Technical Implementation Guidance
Die TIG der ENISA erklärt, wie die Maßnahmen aus Artikel 21 sektorübergreifend umzusetzen sind. Anhang I Sektoren 1, 6 und 7 sind ausdrücklich abgedeckt. Vorhandene ISO 27001 oder NIST CSF 2.0 Arbeit lässt sich über die TIG Mapping Tabelle anschließen, sodass ein Stadtwerk, das für einen Geschäftsbereich schon ein ISMS betreibt, einen Vorsprung für die anderen hat.
Kommunale Versorger anderswo
Andere Mitgliedstaaten setzen NIS 2 mit breit vergleichbarem Anwendungsbereich für kommunale Versorger um: Österreich über NISG, Niederlande über Cyberbeveiligingswet, Belgien über NIS2-Wet. Die Sektorliste ist identisch (Anhang I ist EU Recht). Unterschiedlich sind nur die zuständige Behörde und die zeitliche Taktung der Auditpflichten.
Wir sind ein öffentlich getragenes Stadtwerk, also gilt NIS 2 nicht.
Anhang I nimmt öffentliche Träger nicht aus. Er erfasst ausdrücklich 'öffentliche oder private Einrichtungen'. Ob die GmbH der Stadt, einer Holding oder privaten Anteilseignern gehört, ändert die Sektorprüfung nicht. Die einzige enge Ausnahme in NIS 2 für den öffentlichen Bereich betrifft nationale Sicherheit und Verteidigung, nicht den Versorgungsbetrieb.
Wir liegen unter der KRITIS Schwelle, also fallen wir nicht in den Anwendungsbereich.
KRITIS Schwellen entscheiden über das KRITIS Regime, nicht über NIS 2. Ein Stadtwerk mit 60.000 Stromanschlüssen liegt unter der KRITIS Schwelle von 100.000, der strengere Auditturnus greift also nicht. Dasselbe Stadtwerk ist trotzdem NIS 2 pflichtig nach §28 BSIG, mit dem vollen Maßnahmenkatalog aus Artikel 21, Registrierung und Vorfallsmeldung.
Jeder Geschäftsbereich kümmert sich selbst um seine NIS 2 Pflichten.
In einer juristischen Person gibt es eine NIS 2 Pflicht. Eine Registrierung. Eine Geschäftsleitungsfreigabe. Ein Risikoregister, das OT und IT über alle Sektoren abdeckt. Jeden Geschäftsbereich als eigenes Compliance Silo zu behandeln führt zu Doppelarbeit, Lücken an den Schnittstellen und einer Auditstory, die nicht trägt.
Ein typisches Stadtwerk mit 200 Beschäftigten, einem Stromnetz mit 60.000 Kunden, einer Trinkwasserversorgung um die 8 Millionen Kubikmeter pro Jahr und einer kleinen Glasfasersparte fällt klar in den NIS 2 Anwendungsbereich über Anhang I Sektoren 1, 6, 7 und 8. Die Größenprüfung ist mühelos bestanden. KRITIS Schwellen werden nicht erreicht, das §39 BSIG Audit gilt also nicht, die §28 BSIG Pflichten aber sehr wohl.
Das §30 Risikoregister muss OT und SCADA für Strom, Wasser und Abwasser an einer Stelle abbilden. Die §32 Vorfallsmeldung läuft an das BSI. Die §33 Registrierung ist eine einzige Anmeldung für die gesamte Gesellschaft. Wer zusätzlich eine KRITIS Schwelle überschreitet, rutscht in §28 BSIG eine Stufe höher und das dreijährige KRITIS Audit kommt obendrauf.
- Richtlinie (EU) 2022/2555 (NIS 2), Anhang I Sektoren 1, 6, 7 und 8: eur-lex.europa.eu/eli/dir/2022/2555/oj
- Richtlinie (EU) 2022/2555 (NIS 2), Artikel 2(1): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Empfehlung 2003/361/EG der Kommission betreffend die Definition der Kleinstunternehmen sowie der kleinen und mittleren Unternehmen
- BSI Gesetz (BSIG), §28 (Anwendungsbereich) und §33 (Registrierung) in der Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes
- KRITIS-Verordnung (BSI-Kritisverordnung): sektorspezifische Schwellenwerte für Energie, Wasser und Abwasser
- BSI Branchenspezifische Sicherheitsstandards für Energie, Wasser und Abwasser
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
