Abb. 2: Reifegrad der Resilienzsteuerung: Viele Stadtwerke bewegen sich aktuell zwischen Stufe 1 und 2, Zielbild ist Stufe 3. (Quelle: eigene Darstellung)
Realität in Stadtwerken
Die Lage in Stadtwerken und Netzbetreibern ist ambivalent. Einerseits ist das Problembewusstsein bei vielen Informationssicherheitsbeauftragten, Krisenmanagern und Fachverantwortlichen hoch. Die IT-Sicherheit ist, nicht zuletzt durch frühere Regulierung, solide aufgestellt. Strukturen eines Informationssicherheits-Managementsystems (ISMS) existieren und werden formal bedient.
Andererseits bleibt Resilienz oft auf Teilbereiche beschränkt. IT-Sicherheit wird mit Gesamtschutz gleichgesetzt, während physische Infrastruktur, OT-Systeme, Lieferketten, Personalrisiken und Wissensabgänge nur punktuell betrachtet werden. Die Stromausfälle in Berlin im Januar zeigten: Kritische Hardware und physische Redundanzen fehlen häufig in Risikobetrachtungen.
Klare Unterschiede zeigen sich zwischen kleineren und größeren Netzbetreibern. Kleinere Häuser haben oft erste Leitfäden erstellt und einzelne Themen aufgearbeitet, stehen beim Aufbau eines belastbaren Krisen- und Resilienzmanagements jedoch noch am Anfang – insbesondere bei Cybersicherheit und regelmäßigen Übungen. Größere Netzbetreiber zeigen dagegen ein deutlich strukturierteres Bild. Ihre Prozesse und Verantwortlichkeiten sind klarer geregelt und mögliche Krisenszenarien werden häufiger und systematischer durchgespielt.
Gerade kleine und mittlere Versorger stehen vor einem Dilemma: Sie erkennen die Risiken, sehen sich jedoch durch begrenzte Budgets und personelle Engpässe überfordert. Tausende Kilometer an Mittel- und Niederspannungsleitungen, weitverzweigte Wasserversorgungsnetze sowie unzählige Transformatorenstationen mit öffentlich zugänglichen Knotenpunkten werfen die drängende Frage auf, was zuerst angegangen werden soll. Diese Überlastung führt dazu, dass bekannte Schwachstellen zwar registriert, aber mangels systematischer Priorisierung nicht konsequent behoben werden.
Reifegradmodelle (siehe Abb. 2) liefern Orientierung, suggerieren aber manchmal mehr Sicherheit, als tatsächlich vorliegt. Sie bewerten Dokumentation häufig höher als tatsächliche Funktionalität unter Stress. Ein ausgefeilter Plan ohne Übung bleibt im Ernstfall wirkungslos. Der wahre Reifegrad zeigt sich erst, wenn Prozesse unter Belastung getestet wurden.
Papierlage und Praxis klaffen auseinander. Krisenhandbücher, Notfallpläne und Leitfäden existieren in vielen Versorgungsunternehmen, werden aber selten unter realistischen Bedingungen eingeübt. Zwar finden punktuell Übungen statt, diese beziehen jedoch nicht alle relevanten Akteure ein. Statt gezielt Schwachstellen aufzudecken, bestätigen sie eher bestehende Strukturen. Damit bleibt Resilienz eine formale Anforderung. Sie wird nicht zum praktischen Bestandteil der Organisationskultur.
Governance als zentraler Hebel
In vielen Häusern zeigt sich ein klares Muster: Resilienz scheitert selten am fehlenden Fachwissen, sondern an Steuerung und Zuständigkeiten. Rollen bleiben unklar, Mandate unscharf und die Schnittstellen zwischen IT, Technik, Krisenstab, Compliance und Geschäftsführung sind nicht eindeutig geregelt. Im Ereignisfall drohen Verzögerungen, Doppelzuständigkeiten und Unsicherheit darüber, wer tatsächlich entscheidet.
Ein psychologischer Effekt verschärft dies. Die Wahrscheinlichkeit, selbst Opfer eines Angriffs auf IT-Systeme oder physische Infrastruktur zu werden, wird von vielen unterschätzt. Die verbreitete Haltung „Uns wird schon nichts passieren“ passt nicht zur Bedrohungslage. Aus Beratungserfahrung ergibt sich ein anderes Mindset: Wir müssen davon ausgehen, dass es uns trifft. Offen bleibt, wann und mit welchen Auswirkungen.
Das KRITIS-Dachgesetz erhöht den Druck zusätzlich. Es bringt neue Pflichten, Akteure und Zuständigkeiten ins Spiel. Länder können weitere kritische Anlagen definieren, während die Meldewege über mehrere Behördenebenen verlaufen und unterschiedliche Regelwerke ineinandergreifen. Ohne klare interne Zuständigkeiten entstehen Spannungen zwischen gesetzlichen Anforderungen und Unternehmensabläufen. Eine belastbare Governance ist deshalb kein „Nice-to-have“, sondern Voraussetzung dafür, regulatorische Vorgaben überhaupt wirksam umsetzen zu können.
Reifere Organisationen zeichnen sich durch einige gemeinsame Merkmale aus:
- eine eindeutig verankerte Gesamtverantwortung für Resilienz, häufig in Form einer zentralen Stelle oder eines „Resilience Officer“;
- klare Eskalations- und Entscheidungswege für den Krisenfall, einschließlich Vertretungsregelungen und Budgetkompetenzen;
- eine feste Verankerung von Resilienzthemen in Geschäftsführungssitzungen und – wo relevant – in Aufsichtsratsgremien;
- ein systematisches Prozessmanagement als Basis für Risikoanalysen, Notfallpläne und Übungen.
Solche Steuerungsmodelle schaffen Transparenz und entlasten die operativen Bereiche. Resilienz wird von einem „IT-Thema“ oder einer Spezialaufgabe einzelner Stäbe zu einer geführten Querschnittsaufgabe, bei der Geschäftsführung, Fachbereiche und externe Partner in einem gemeinsamen Orchestrierungsmodell zusammenarbeiten.
Finanzierung: Kapitalallokation statt Technikfrage
Resilienz kostet Geld. Sie erfordert nicht nur Aufmerksamkeit, sondern auch finanzielle Mittel. Während IT-Sicherheitsbudgets vielerorts bereits existieren, beginnen die Herausforderungen bei der physischen Infrastruktur, Redundanzen und den baulichtechnischen Schutzmaßnahmen.
Geplante Förderpakete auf europäischer Ebene mit einem dreistelligen Millionenbetrag für Deutschland sind angesichts des Investitionsbedarfs eher ein symbolischer Beitrag. Ergänzend plant die Bundesregierung einen Resilienzfonds zum Schutz kritischer Infrastruktur mit bis zu 500 Mio. € jährlich und insgesamt rund 2 Mrd. €. Auch dieses Volumen liegt deutlich unter dem kumulierten Bedarf. Zwar lassen sich bestimmte Investitionen in die Netzinfrastruktur über Netzentgelte refinanzieren, etwa wenn sie unmittelbar der Versorgungssicherheit dienen und regulatorisch anerkannt werden. Viele Maßnahmen zur Resilienzsteigerung – etwa zusätzliche Redundanzen, bauliche Schutzmaßnahmen oder organisatorische Vorkehrungen wie Krisenübungen – sind jedoch nur eingeschränkt oder gar nicht umlagefähig und belasten damit direkt das Ergebnis. Hinzu kommt: Kommunale Anteilseigner stehen selbst unter Ertragsdruck und schränken die Investitionsspielräume der Stadtwerke zusätzlich ein.
Damit wird Resilienz auch zur Frage der Kapitalallokation. Geschäftsführungen müssen abwägen: Wie gewichten wir Maßnahmen zur Absicherung kritischer Infrastruktur im Verhältnis zu Netzausbau, Dekarbonisierung und Digitalisierung? In vielen Häusern tauchen KRITIS-Themen bislang jedoch nicht systematisch in Mehrjahresplanungen, Investitionsprogrammen oder Kreditgesprächen auf.
Ein häufiger Einwand lautet: „Wir können nicht für jedes hypothetische Szenario Rücklagen bilden.“ Das ist korrekt. Resilienz bedeutet jedoch nicht, jede denkbare Eventualität finanziell abzusichern, sondern bewusste Schwerpunkte zu setzen. Wer allerdings die Vorsorge vernachlässigt, riskiert, dass ein einziges Schadensereignis die finanziellen Spielräume über Jahre hinweg bindet und damit genau jene Investitionen blockiert, die das Unternehmen zukunftsfähig machen will.
Wer nicht aktiv wird, nimmt ein doppeltes Risiko in Kauf: explodierende Schadenskosten im Krisenfall sowie wachsende Haftungs- und Sanktionsgefahren durch verschärfte regulatorische Vorgaben. Neben den unmittelbaren wirtschaftlichen Folgen rückt damit auch die persönliche Verantwortung der Geschäftsführung stärker in den Fokus, denn erweiterte Transparenz- und Meldepflichten gehen mit deutlich erhöhten Bußgeldern und einer engeren Erwartungshaltung von Aufsichtsrat, Eigentümern und Aufsichtsbehörden einher. Wird im Nachhinein sichtbar, dass bekannte Risiken über längere Zeit ignoriert oder gesetzliche Anforderungen nur formal erfüllt wurden, kann dies schnell zur Frage der eigenen Organhaftung und Glaubwürdigkeit werden.
Resilienzinvestitionen dürfen daher kein isoliertes Fachthema bleiben. Sie müssen strategisch in die Finanzplanung, die Berichterstattung an den Aufsichtsrat und den Bankendialog eingebettet werden, bevor der erste Ernstfall zur unfreiwilligen Argumentationshilfe wird.