ISO 27001 für Stadtwerke: Schutz, der nie Pause macht

Am 3. Januar 2026 legte ein Brandanschlag auf eine Kabelbrücke Teile des Berliner Stromnetzes für mehrere Tage lahm. Der Vorfall war physisch, nicht digital, und trotzdem hat er die Debatte über den Schutz der Versorgung neu geordnet. Denn was für Kabelbrücken gilt, gilt genauso für Leitstellen und Fernwirktechnik: Fällt die Versorgung aus, trifft es die Bevölkerung sofort. Der Gesetzgeber hat entsprechend nachgezogen, und Stadtwerke stehen 2026 vor mehr Nachweispflichten als je zuvor.

Warum steht ISO 27001 für Stadtwerke und Versorger 2026 auf der Agenda?

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, und zwar ohne Übergangsfrist. Risikomanagement nach dem neuen § 30 BSIG, Meldepflichten und Registrierung waren ab dem ersten Tag verbindlich. Die dreimonatige Registrierungsfrist beim BSI lief am 6. März 2026 ab, die anschließende Nachfrist endete Ende Juli 2026. Besonders wichtige Einrichtungen müssen ihre Maßnahmen zudem innerhalb von drei Jahren gegenüber dem BSI nachweisen. Bei Verstößen drohen Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, und die Geschäftsleitung haftet persönlich.

Parallel dazu ist am 17. März 2026 das KRITIS-Dachgesetz in Kraft getreten, die deutsche Umsetzung der CER-Richtlinie. Es adressiert die physische Resilienz kritischer Anlagen und verlangt Registrierung beim BBK, Risikoanalysen und Resilienzpläne. Als Regelschwelle gelten Anlagen, deren Ausfall mindestens 500.000 Menschen betrifft, wobei die Länder niedrigere Schwellen festlegen können. Damit liegen für viele Versorger zwei Regelwerke gleichzeitig auf dem Tisch, das eine für Cybersicherheit, das andere für den physischen Schutz.

Wer die zehn Maßnahmenbereiche des § 30 BSIG liest, liest im Grunde das Inhaltsverzeichnis eines Informationssicherheits-Managementsystems. Genau deshalb ist ISO 27001 der Aufbau, mit dem sich mehrere Pflichten zugleich bedienen lassen.

Wer ist von ISO 27001 für Stadtwerke und Versorger betroffen?

Betroffen sind Betreiber kritischer Anlagen in Wasser, Abwasser, Abfall und Energie über die KRITIS-Nachweispflicht sowie ein deutlich größerer Kreis weiterer Betriebe über NIS2. Schätzungen gehen von 30.000 bis 40.000 Einrichtungen in Deutschland aus, die künftig unter die BSI-Aufsicht fallen. Vorher waren es rund 2.000. Maßgeblich sind Sektor und Größe, nicht das Selbstbild des Betriebs.

Der VKU vertritt allein über 1.600 kommunale Unternehmen in Energie, Wasser, Abwasser und Abfallwirtschaft. Viele davon sind Querverbundunternehmen, die mehrere dieser Sparten unter einem Dach führen. Für diese Betriebe ist die erste Frage nicht, ob sie ein ISMS brauchen, sondern wie weit der Geltungsbereich reichen soll.

Wie weit ist die Branche bei ISO 27001 für Stadtwerke und Versorger?

Der BSI-Lagebericht 2025 zeichnet ein gemischtes Bild. Rund 80 Prozent der beaufsichtigten KRITIS-Betreiber führen inzwischen ein ISMS, das mindestens die Muss-Anforderungen erfüllt. Bei Business-Continuity-Managementsystemen liegt der Anteil bei knapp zwei Dritteln, und bei Systemen zur Angriffserkennung erreichen nur 48 Prozent dieses Niveau. Fast die Hälfte der Betreiber merkt einen laufenden Angriff also womöglich zu spät.

Die Bedrohungsseite entwickelt sich schneller. Im Berichtszeitraum Juli 2024 bis Juni 2025 registrierte das BSI durchschnittlich 119 neue Schwachstellen pro Tag, ein Anstieg von 24 Prozent gegenüber dem Vorjahr. Das BKA dokumentierte 950 angezeigte Ransomware-Angriffe, 80 Prozent davon gegen kleine und mittlere Organisationen. Die Lage bleibt nach Einschätzung des BSI angespannt.

Zum Täterprofil äußert sich das BSI deutlich: Als Hauptakteure benennt der Bericht russische Gruppen, deren Ziel Störung und Desinformation ist, neben finanziell motivierter Cyberkriminalität. Bundesinnenminister Dobrindt ordnete Deutschland bei der Vorstellung des Berichts nach den USA, Indien und Japan als eines der Topziele für Cyberangriffe ein. Versorger sind in dieser Logik kein Zufallsziel, sondern ein strategisches.

Was macht ISO 27001 für Stadtwerke und Versorger anspruchsvoller als in der Büro-IT?

Die Anforderungen der Norm gelten unabhängig von der Branche. Der Aufwand tut es nicht. In der Versorgung trifft klassische IT auf Prozessleittechnik, und dort gelten andere Regeln: Die Verfügbarkeit hat Vorrang, Komponenten laufen jahrzehntelang, Patches sind die Ausnahme, und eine Maßnahme, die eine Steuerung destabilisiert, ist keine Option. Dazu kommen der Zuschnitt des Geltungsbereichs im Querverbund und IT-Teams, die oft ohne eigene Sicherheitsfunktion arbeiten.

Das Whitepaper arbeitet fünf solcher Eigenheiten heraus und nennt für jede einen pragmatischen Umgang, der im laufenden Versorgungsbetrieb funktioniert.

Welche Punkte werden bei ISO 27001 für Stadtwerke und Versorger am häufigsten unterschätzt?

Drei, und der erste betrifft den Zuschnitt je Sparte. Trinkwasser, Abwasser und Energie stehen in der Anlage 1 des BSIG, die Abfallbewirtschaftung dagegen in der Anlage 2, und § 28 Absatz 1 Nummer 4 BSIG lässt den Aufstieg zur besonders wichtigen Einrichtung nur für Einrichtungsarten der Anlage 1 zu. Für die Abfallsparte gilt deshalb der Bußgeldrahmen von 7 Millionen Euro oder 1,4 Prozent. Ein Geltungsbereich, der diese Grenze nicht abbildet, erzeugt Aufwand, den niemand schuldet, und Lücken dort, wo es zählt.

Zweitens die Erklärung zur Anwendbarkeit. Nach Kapitel 6.1.3 der ISO 27001 gehören dort alle Maßnahmen des Annex A hinein, jeweils mit Begründung für die Einbeziehung oder den Ausschluss. In der Leittechnik ist das der Ort, an dem ein nicht patchbares System belastbar dokumentiert und die Kompensation durch Segmentierung nachvollziehbar wird, statt als Randnotiz im Auditbericht zu erscheinen. Drittens die Risikoeigentümer. Die Norm verlangt für jedes Risiko einen benannten Eigentümer, der den Behandlungsplan freigibt und die verbleibenden Risiken akzeptiert. Im Querverbund liegt die Leittechnik beim Betrieb und die IT bei der Verwaltung, und ohne benannte Eigentümer bleiben genau die Risiken liegen, die zwischen den Sparten verlaufen.

Was steht im Whitepaper?

• Den Branchenkontext: warum die Versorgung regulatorisch und als Angriffsziel eine Sonderstellung einnimmt
• Fünf Eigenheiten der Ver- und Entsorgung, die die ISMS-Einführung erschweren, samt Gegenmitteln
• Die Risikoszenarien, die in der Praxis immer wieder auftauchen, jeweils mit den passenden Maßnahmen aus dem Annex A
• Was die Norm konkret verlangt, von Kontext und Geltungsbereich bis zu Bewertung und Verbesserung
• Eine Roadmap zum Zertifikat mit realistischer Zeitschätzung und der Reihenfolge, die vorhandene Strukturen nutzt
• Wie sich KRITIS-Nachweis, ISO 27001 und NIS2 in einem Aufbau gemeinsam abdecken lassen, mit einem Praxisbeispiel aus zwei Stadtwerken

Das Whitepaper richtet sich an Geschäftsführungen, IT-Leitungen und Sicherheitsverantwortliche in Stadtwerken und kommunalen Ver- und Entsorgungsbetrieben. Laden Sie es kostenfrei herunter.