Der Fristen-Countdown: enger, als er aussieht

Die Eckwerte sind eindeutig (siehe Abb. 1): Inkrafttreten war am 17. März 2026, die Registrierung der Betreiber im Informationssystem des BBK muss bis zum 17. Juli 2026 erfolgen, danach läuft die Pflichtuhr. Die Risikoanalyse muss neun Monate nach der Registrierung vorliegen, der Resilienzplan und das Meldewesen zehn Monate danach – jeweils ausgearbeitet, umgesetzt und auditfähig dokumentiert. Ab dem zweiten Quartal 2027 können die zuständigen Behörden mit Vor-Ort-Prüfungen beginnen.

Zehn Monate klingen nach einem genügend großen Spielraum. In der Energiewirtschaft sind sie es nicht. Das eigentliche Handlungsfenster wird durch die Vorlaufzeiten der Maßnahmen bestimmt, nicht durch das Datum der Pflichterfüllung. Allein die Identifikation und Qualifizierung alternativer Lieferquellen für versorgungskritische Komponenten – mit Marktanalyse, Auditierung und Vertragsverhandlungen – kostet bei realistischer Betrachtung mehrere Monate. Großtransformatoren, gasisolierte Schaltanlagen oder Schutz- und Leittechnik haben Lieferzeiten, die sich aktuell über ein bis zwei Jahre erstrecken; eine Ersatzteilstrategie lässt sich nicht innerhalb einer Berichtsfrist nachholen. Rahmenverträge mit Dienstleistern, in denen Sicherheitsanforderungen nach § 13 erstmals verankert werden müssen, sind in dezentralen Beschaffungsstrukturen ebenfalls keine Wochenfrage. Und eine belastbare Krisenübung zur Validierung der Meldewege braucht sechs bis zwölf Wochen Vor- und Nachbereitung.

Wer das Programm erst im August 2026 startet, hat realistisch drei bis vier Monate für die strukturellen Weichenstellungen – danach binden Risikoanalyse, Resilienzplan und Meldewesen die Kapazitäten. Wer früher beginnt, kauft sich Optionen statt Eile.

Zwei Erleichterungen mildern den Druck, lösen ihn aber nicht auf. Erstens: Wer NIS2 bereits umsetzt, kann auf die ihm bekannte Programmlogik, Governance und Bewertungssystematik aufsetzen – die Verwandtschaft ist hoch. Zweitens sieht § 17 vor, dass bestehende Risikoanalysen und Schutzkonzepte anrechenbar sein können. Beides gilt jedoch nicht automatisch. Aus der Praxis decken vorhandene Unterlagen meist zwei bis drei der sechs Risikokategorien substanziell ab; die übrigen – typischerweise Klima- und Geopolitikrisiken sowie Risiken durch Auftragnehmer – müssen ergänzt werden. Eine saubere GAP-Analyse gegen § 12 und § 13 ist deshalb die erste Pflichtübung: Sie liefert den belastbaren Aufwandsrahmen für alles Weitere.

Ein praktischer Stolperstein speziell für kommunal geprägte Versorger liegt darin, dass die Frage „Bin ich betroffen?“ je Anlage zu beantworten ist, nicht je Konzern. Der Regelschwellenwert von 500.000 versorgten Einwohnern kann im Einzelfall unterschritten werden; zugleich können die Länder weitere Anlagen als kritisch einstufen. In dezentralen Strukturen mit mehreren Versorgungsgebieten, Tochtergesellschaften und Beteiligungen ist die Eigenprüfung der Betroffenheit deshalb anspruchsvoller, als sie wirkt – und sie ist Bringschuld des Betreibers, nicht der Behörde.

§ 20: Resilienz wird zur persönlichen Haftung der Geschäftsführung

Die eigentliche Zäsur des Gesetzes liegt nicht in den Fristen, sondern in § 20. Die Norm verpflichtet die Geschäftsführung, die Erfüllung der KRITIS-Pflichten aktiv zu überwachen, die dafür erforderlichen Strukturen zu schaffen und deren Wirksamkeit sicherzustellen. Bei schuldhafter Pflichtverletzung haftet sie persönlich; die Bußgelder reichen bis zu 1 Mio. €. Diese Verbindlichkeitsstufe ist in der deutschen Wirtschaftsregulierung selten – und sie verändert die Eigentümerschaft des Themas.

Entscheidend ist eine Unterscheidung, die in der Praxis oft übersehen wird: Delegation entlastet nicht. Die Beauftragung eines Stabes, einer Compliance-Funktion oder des Informationssicherheitsbeauftragten ist keine Pflichterfüllung im Sinne des § 20. Wer Aufgaben überträgt, ohne explizite Entscheidungskompetenzen, Ressourcenzusagen und Berichtswege zu mandatieren, hat § 20 formal nicht erfüllt und bleibt in der persönlichen Haftung. Genau diese Lücke – „Delegation ohne Mandatierung“ – ist das häufigste Muster, das uns in Vorbereitungsphasen begegnet: KRITIS wird auf der mittleren Führungsebene aufgehängt, ohne dass die Geschäftsführung mit dokumentierten Entscheidungspunkten eingebunden ist.

Für die Energiewirtschaft kommt eine besondere Governance-Dimension hinzu. Stadtwerke und Netzbetreiber stehen unter Beobachtung von Aufsichtsräten, kommunalen Anteilseignern, Kommunalpolitik und Öffentlichkeit. Im Schadensfall werden Resilienzentscheidungen rückwirkend bewertet – und es wird nicht gefragt, ob ein Versorger die Mindestanforderungen erfüllt hat, sondern ob er seinen Versorgungsauftrag erfüllen konnte. Wird dann sichtbar, dass bekannte Risiken über längere Zeit nur formal adressiert wurden, verschiebt sich die Diskussion schnell auf die Frage der Organhaftung und der persönlichen Glaubwürdigkeit.

Ein verbreiteter Einwand lautet: „Wir erfüllen die regulatorischen Mindestanforderungen, mehr ist nicht finanzierbar.“ Diese Sicht verkennt zweierlei. Erstens schützen Mindestanforderungen vor Bußgeldern, nicht vor langanhaltenden Versorgungskrisen. Zweitens ist die Haftungslogik des § 20 keine Frage der Dokumentenmenge, sondern der nachweisbaren Wirksamkeit. Eine formal vollständige, aber funktional ungeprüfte Governance schützt im Ernstfall nicht. Genau deshalb wird Audit-Readiness – die Fähigkeit, Risikoanalyse, Resilienzplan, Meldewesen und Wirksamkeitskontrolle jederzeit und widerspruchsfrei nachzuweisen – zum unmittelbaren Schutzgut der Geschäftsführung.

Der wunde Punkt der Branche: kritische Ersatzteile und ihre Lieferketten

Wo Energieversorger über die reine IT-Sicht hinausdenken müssen, zeigt sich am deutlichsten beim Wiederanlauf nach einem Schadensereignis. Ein zerstörtes oder ausgefallenes Großgerät – ein 110- oder 380-kV-Transformator, eine Schaltanlage, eine Leittechnikkomponente – entscheidet darüber, ob eine Versorgung in Tagen oder erst in Monaten wieder steht. Und genau hier sind viele Betreiber strukturell verwundbar: Die Beschaffungsmärkte für diese Komponenten sind eng, von wenigen Herstellern dominiert, teils mit klaren geografischen Abhängigkeiten, und die Lieferzeiten sind selbst im Normalbetrieb lang.

Das Gesetz macht diese Verwundbarkeit zur Compliance-Frage. Der Resilienzplan nach § 13 verlangt Maßnahmen für den Wiederanlauf – und ein Versorger, der für seine versorgungskritischen Komponenten keine belastbare Ersatzteil- und Lieferantenstrategie nachweisen kann, hat an dieser Stelle eine offene Lücke. Drei Hebel stehen im Vordergrund:

• Dual oder Multiple Sourcing für versorgungskritische Komponenten: die bewusste Qualifizierung einer zweiten, möglichst geografisch und politisch diversifizierten Bezugsquelle, statt sich auf eine Single-Source-Konstellation zu verlassen. Das ist kein Beschaffungsdetail, sondern eine Resilienzentscheidung mit erheblicher Vorlaufzeit.
• Strategische Ersatzteilbevorratung für die wenigen Bauteile, deren Ausfall die längste Wiederanlaufzeit verursacht – dort, wo eine Nachbeschaffung im Ernstfall schlicht zu lange dauert, um den Versorgungsauftrag zu sichern.
• Sektorkooperation als Resilienzhebel: gemeinsam finanzierte Reservepools für Großkomponenten, wie sie unter Netzbetreibern bereits etabliert sind. Sie senken die Vorhaltekosten des Einzelnen und erhöhen die Verfügbarkeit im Verbund – ein Modell, das das Gesetz mittelbar belohnt.

Hinzu kommt die vertragliche Seite: Sicherheitsanforderungen nach § 13 – etwa zur Lieferfähigkeit unter Krisenbedingungen, zur Sub-Tier-Transparenz und zum Umgang mit Auftragnehmer-Personal – müssen in den Rahmenverträgen verankert sein. In gewachsenen, dezentralen Beschaffungsstrukturen ist das ein eigenes Arbeitspaket mit mehrmonatiger Vorlaufzeit.

Aus der Praxis: Ein illustratives, aus mehreren Projekten verdichtetes Beispiel macht das Muster greifbar. Ein regionaler Verteilnetzbetreiber stellt in der GAP-Analyse fest, dass seine Flotte an Mitteltransformatoren faktisch von einem einzigen Hersteller abhängt, dass für den kritischsten Transformatortyp keine Reserve vorgehalten wird und dass die einschlägigen Rahmenverträge keinerlei Krisen- und Lieferfähigkeitsklauseln enthalten. Im bestehenden Notfallhandbuch taucht dieser Wiederanlauf-Pfad gar nicht auf – die Risikoanalyse hatte den IT-Blick, nicht den Anlagen-Blick. Die Folge ist nicht nur eine Compliance-Lücke nach § 13, sondern ein reales Versorgungsrisiko. Die Lösung kombiniert die Qualifizierung einer zweiten Bezugsquelle, den Beitritt zu einem überbetrieblichen Reservepool und die Nachverhandlung der Schlüssel-Rahmenverträge – ein Maßnahmenbündel mit klarem Risikobezug, das genau deshalb auditfest ist. Das Beispiel ist anonymisiert und verdichtet; das Muster ist typisch.