Dokumentations-pflichten für Stadtwerke: Was NIS2, KRITIS-Dachgesetz und Betreiberpflichten von Ihnen verlangen

Im Aufsichtsrat fällt die Frage irgendwann: Sind wir eigentlich KRITIS? Bei vielen Stadtwerken ist die ehrliche Antwort komplizierter als ein Ja oder Nein. Für das Stromnetz gelten andere IT-Sicherheitsregeln als für die Fernwärme, das KRITIS-Dachgesetz wartet noch auf seine Verordnung, und für Bad, Parkhaus und Verwaltungsgebäude laufen die Prüffristen ohnehin weiter. Wer die Dokumentationspflichten für Stadtwerke sortiert, stellt schnell fest: Der größte Teil der Arbeit fällt schon heute an, und vieles davon lässt sich mehrfach verwerten. Dieser Artikel trennt, was gilt, was kommt und wer dafür geradesteht.

Was die Stadtwerkestudie 2026 über den Druck auf Stadtwerke zeigt

Für die 24. Stadtwerkestudie haben der Bundesverband der Energie- und Wasserwirtschaft (BDEW) und die Beratungsgesellschaft EY zwischen Januar und März 2026 die Geschäftsleitungen und Vorstände von 100 Stadtwerken und regionalen Energieversorgern befragt. Das Hauptthema ist die Finanzierung der Energiewende: 92 Prozent der Befragten sehen sich nur eingeschränkt oder gar nicht in der Lage, die anstehenden Investitionen aus eigenen Mitteln zu stemmen. Für die Frage nach Dokumentationspflichten ist die Studie trotzdem aufschlussreich, denn sie zeigt, womit sich die Führungsebene in den nächsten zwei bis drei Jahren intensiv beschäftigen will.

Wie der Bremsfaktor Regulierung zu lesen ist

Für die Einordnung ist eine Zahl wichtig, die leicht falsch gelesen wird. Als stärksten Bremsfaktor für geplante Investitionen nennen die Befragten die Regulierung, mit 4,0 auf einer Skala bis 5. Die Studie diskutiert Regulierung dabei vor allem im Zusammenhang mit der neuen Netzentgelt- und Anreizregulierung. Risiko- und Compliance-Anforderungen landen mit 2,7 auf dem letzten Platz der begrenzenden Faktoren, hinter den Personalkapazitäten mit 3,2.

Welche Stadtwerke unter NIS2 fallen und was das Gesetz verlangt

Wer betroffen ist

Stadtwerke mit Energie- oder Wassersparte fallen unter NIS2, sobald sie mindestens 50 Beschäftigte haben oder mehr als zehn Millionen Euro Jahresumsatz und Jahresbilanzsumme erreichen. Für Sie heißt das: Betroffenheit prüfen und, falls noch nicht geschehen, beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. NIS2 ist eine EU-Richtlinie für mehr Cybersicherheit in wichtigen Wirtschaftszweigen. Deutschland hat sie mit einem Umsetzungsgesetz übernommen, das am 6. Dezember 2025 in Kraft getreten ist und die Pflichten im BSI-Gesetz (BSIG) verankert. Behörden informieren betroffene Unternehmen nicht von sich aus, die Einstufung muss jedes Stadtwerk selbst vornehmen. Die Frist für die Registrierung endete am 6. März 2026. Wer sie verpasst hat, sollte sie nachholen.

Was betroffene Stadtwerke umsetzen und belegen müssen

Im Kern verlangt NIS2 drei Dinge: IT-Risiken systematisch steuern, Sicherheitsvorfälle schnell melden und die Geschäftsleitung in die Pflicht nehmen. Das Risikomanagement nach § 30 BSIG umfasst zehn Mindestbereiche, von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen und die Aufrechterhaltung des Betriebs bis zur Sicherheit der Lieferkette. Die EU-Richtlinie verlangt dabei ausdrücklich, auch die physische Umgebung der IT-Systeme zu schützen. Ein Serverraum mit ungeprüfter Brandmeldeanlage ist damit auch ein NIS2-Thema.

Erhebliche Sicherheitsvorfälle meldet das Stadtwerk dem BSI in drei Stufen: eine erste Meldung spätestens nach 24 Stunden, eine ausführlichere spätestens nach 72 Stunden und einen Abschlussbericht einen Monat danach. Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen (§ 38 BSIG). Verletzt sie diese Pflichten, haftet sie dem eigenen Unternehmen nach den Regeln des Gesellschaftsrechts.

Netz und Energieanlagen: Das Energiewirtschaftsgesetz geht vor

Welche Betreiberpflichten jedes Stadtwerk schon heute nachweisen muss

Unabhängig von NIS2 und KRITIS trägt jedes Stadtwerk die Betreiberverantwortung für seine Anlagen und Gebäude. Diese Pflichten kennen keinen Schwellenwert, und sie betreffen gerade die Sparten, die in den Debatten über Cybersicherheit kaum vorkommen: Bäder, Parkhäuser, Betriebshöfe, Verwaltungsgebäude, Heizwerke und Wasserwerke. Die wichtigsten Grundlagen im Überblick:

• Arbeitsschutzgesetz: Gefährdungsbeurteilung für alle Tätigkeiten, vom Netzbau bis zur Badeaufsicht. Ergebnis, festgelegte Maßnahmen und deren Überprüfung müssen dokumentiert sein.
• Betriebssicherheitsverordnung: regelmäßige Prüfung von Arbeitsmitteln und überwachungsbedürftigen Anlagen wie Aufzügen oder Druckanlagen in Heizwerken. Jede Prüfung muss nachvollziehbar aufgezeichnet werden: was geprüft wurde, in welchem Umfang, mit welchem Ergebnis und von welcher befähigten Person.
• DGUV Vorschrift 3 bzw. 4 der Deutschen Gesetzlichen Unfallversicherung: wiederkehrende Prüfung elektrischer Anlagen und Betriebsmittel. Beide Fassungen sind inhaltsgleich, Vorschrift 3 gilt für Betriebe in einer Berufsgenossenschaft, Vorschrift 4 für Betriebe bei einer Unfallkasse.
• Prüfverordnungen der Länder: wiederkehrende Prüfung sicherheitstechnischer Anlagen wie Brandmeldeanlagen, Rauchabzug oder Sicherheitsbeleuchtung in Sonderbauten. Welche Gebäude erfasst sind und welche Fristen gelten, regelt jedes Bundesland selbst.

Wo Nachweise in der Praxis verloren gehen

Die Prüfungen selbst finden in den meisten Stadtwerken statt. Schwierig wird es bei der Nachweislage: Das Protokoll des Aufzugsprüfers liegt beim Gebäudemanagement, die Elektroprüfung beim Netzbereich, die Mängelliste des Bades in einer Tabelle der Betriebsleitung. Fragt nach einem Unfall der Unfallversicherungsträger oder nach einem Brand die Versicherung, muss der Nachweis zur konkreten Anlage schnell und vollständig vorliegen. Wie die Prüfpflichten im Brandschutz im Einzelnen aussehen, beschreibt unser Beitrag Prüfpflichten im Brandschutz: Intervalle, Zuständigkeiten und Nachweise für Betreiber kritischer Anlagen. Welche Unterlagen im Gebäudebestand vorliegen müssen, zeigt Brandschutzdokumentation: Welche Nachweise Betreiber im Bestand führen müssen.

Wo sich die Pflichten überschneiden und wie Sie Nachweise einmal führen

Die drei Pflichtenkreise haben unterschiedliche Absender, treffen aber oft dieselben Räume und Anlagen. Drei Beispiele aus dem Stadtwerkealltag:

• Leitwarte oder Serverraum: Die geprüfte Brandmeldeanlage erfüllt die Prüfverordnung des Landes und belegt zugleich den Schutz der physischen Umgebung der IT-Systeme, den NIS2 verlangt.
• Netzersatzanlage im Wasserwerk: Die Prüfung als elektrische Anlage nach DGUV Vorschrift 3 bzw. 4 dient dem Arbeitsschutz und dokumentiert gleichzeitig, wie der Betrieb bei Stromausfall aufrechterhalten wird. Das ist ein Kernthema des NIS2-Risikomanagements und später der Resilienzmaßnahmen nach dem KRITIS-Dachgesetz.
• Türen und Zutritt in Umspannstationen: Die Brandschutztür wird nach Bauordnungsrecht gewartet. Der Zutrittsschutz wird für die Resilienzplanung relevant, sobald eine Anlage als kritisch gilt.

Was Ihr Stadtwerk jetzt klären sollte: Betroffenheit, Zuständigkeit, Nachweislage

Für die meisten Stadtwerke ist NIS2 die Pflicht mit unmittelbarer Wirkung, das KRITIS-Dachgesetz eine Pflicht mit offenem Starttermin und die Betreiberverantwortung der Bereich, der schon heute den größten Dokumentationsaufwand erzeugt. Drei Fragen bringen Ordnung in die Lage. Welches Regelwerk gilt für welche Anlage, BSI-Gesetz oder Energiewirtschaftsgesetz, und erreicht eine Anlage die KRITIS-Schwelle? Wer ist für jede Pflicht benannt, und wie überwacht die Geschäftsleitung die Umsetzung? Liegt für jede Anlage der letzte Prüfnachweis vollständig und auffindbar vor? Wer diese drei Fragen für sein Stadtwerk beantworten kann, ist auch auf die Kritisverordnung vorbereitet, wann immer sie kommt.

Häufige Fragen zu Dokumentationspflichten für Stadtwerke

Ersetzt eine ISO-27001-Zertifizierung die NIS2-Pflichten?

Nur teilweise. Ein Informationssicherheits-Managementsystem nach ISO 27001 deckt einen großen Teil der Risikomanagementmaßnahmen ab. Die Registrierung beim BSI, das gestufte Meldeverfahren und die Pflichten der Geschäftsleitung kommen eigens hinzu. Für Stromnetz und Energieanlagen richten sich die Anforderungen nach dem IT-Sicherheitskatalog der Bundesnetzagentur.

Darf die Geschäftsführung ihre Pflichten delegieren?

Die Durchführung ja, die Verantwortung bleibt. Aufgaben aus Arbeitsschutz und Betriebssicherheit lassen sich schriftlich an zuverlässige und fachkundige Personen übertragen. Billigung und Überwachung der NIS2-Maßnahmen bleiben Sache der Geschäftsleitung. In beiden Fällen muss die Leitung kontrollieren, ob die beauftragten Personen ihre Aufgaben erfüllen.

Gelten NIS2 und KRITIS-Dachgesetz auch für Bäder und Parkhäuser?

In der Regel nicht, da diese Sparten zu keinem der regulierten Sektoren gehören. Die Betreiberpflichten aus Arbeitsschutz, Betriebssicherheit und Bauordnungsrecht gelten dort vollständig. Für den Dokumentationsaufwand eines Stadtwerks sind diese Sparten deshalb oft ebenso bedeutsam wie Netz und Erzeugung.

Wie lange müssen Prüfnachweise aufbewahrt werden?

Die Betriebssicherheitsverordnung verlangt, Prüfaufzeichnungen für Arbeitsmittel mindestens bis zur nächsten Prüfung aufzubewahren. Für die Beweisführung nach einem Schaden reicht das oft nicht, weil sich der Zustand einer Anlage über mehrere Prüfzyklen belegen lassen muss. Sinnvoll ist deshalb, die Prüfhistorie einer Anlage über ihre gesamte Nutzungsdauer verfügbar zu halten.

* Wenn Ihnen unsere Inhalte gefallen haben, freuen wir uns, wenn Sie KEVOX in Google als bevorzugte Quelle festlegen. Ihre Suchergebnisse und KI-Antworten zeigen Beiträge von KEVOX danach sichtbarer. Voraussetzung ist, dass Sie ein Google-Konto besitzen und angemeldet sind, da die Auswahl dort gespeichert wird.