Drei parallele Aufsichtsregime
Versorger müssen drei Meldungen mit unterschiedlichen Inhalten und Fristen koordinieren: BSI (Sicherheitsvorfall), BNetzA (Verfügbarkeit kritischer Komponenten), Datenschutzbehörde (Betroffenenrisiko). Hinzu kommt die TK-Regulierung, wenn ein eigenes Glasfaser- oder TK-Netz betrieben wird.
Die BNetzA-Meldung nach § 11 Abs. 1c EnWG ist formstrenger als die BSI-Meldung. Inhaltliche Widersprüche zwischen den Meldungen werden in späteren Bußgeldverfahren regelmäßig zitiert.
Was wir konkret tun
Wir erstellen die drei Meldungen aus einem konsistenten Sachverhalt. Wir prüfen, ob OT-Systeme (SCADA, Leitwarte) betroffen sind , dort verschärfen sich Meldepflichten. Wir koordinieren mit dem Krisenstab die Kommunikation gegenüber Stadt, Aufsichtsrat und Bürgern und sichern die Versicherungsdeckung.
Konkretes Leistungsversprechen
- Koordinierte Meldungen BSI, BNetzA, Datenschutzbehörde
- OT-Vorfallsbewertung (SCADA, Leitwarte, Fernwirktechnik)
- Geschäftsführungs-Haftungsanalyse (§ 38 BSIG-E)
- Versicherungs-Obliegenheitsprüfung
- Kommunikation Aufsichtsrat und Kommunalpolitik
- Lösegeld-Strafbarkeitsprüfung mit Sanktionslistenabgleich
- Abschlussbericht KRITIS / NIS2
- Strafanzeige und ZAC-Kontakt
Fallszenarien aus der Praxis
Anonymisierte, repräsentative Mandatsverläufe. Keine Erfolgsversprechen.
Verschlüsselung der Abrechnungssysteme, Leitwarte unverletzt. Ergebnis: keine BNetzA-Meldepflicht (keine Versorgungsstörung), aber BSI- und Datenpannenmeldung. Versicherung trägt Forensik und Ertragsausfall.
Initialvektor VPN-Schwachstelle. Datenabfluss aus CRM (47.000 Kunden). Bußgeldverfahren der Landesdatenschutzbehörde mit reduzierter Strafe nach kooperativer Aufarbeitung und Nachweis B3S-Umsetzung.
Honorar
| Leistung | Bandbreite | Hinweis |
|---|---|---|
| Soforthilfe-Pauschale erste 72h | ab 7.500 € netto | — |
| Anschluss-Stundensatz | 280 bis 400 € netto/h | — |
| BNetzA-Meldung mit Stellungnahme | ab 3.500 € netto | — |
| NIS2-Compliance-Audit nach Vorfall | ab 14.000 € netto | — |
Bandbreiten netto, zzgl. USt. Verbindliche Vereinbarung vor Mandatsbeginn schriftlich.
Häufige Fragen
- Sind alle Stadtwerke KRITIS?
- Nein, KRITIS knüpft an Schwellen pro Sparte (z. B. 3.700 GWh/a Strom, 22 Mio. m³/a Wasser). Unterhalb davon greift NIS2 oft trotzdem, weil Stadtwerke regelmäßig als ‚wesentlich' oder ‚wichtig' nach NIS2 gelten.
- Was ist die BNetzA-spezifische Pflicht?
- Der IT-Sicherheitskatalog Strom/Gas (§ 11 Abs. 1a/b EnWG) verlangt ISMS nach ISO 27001 plus branchenspezifische Anhänge. Verstöße werden bei einem Vorfall regelmäßig sichtbar.
- Wie reagieren wir bei OT-Vorfällen anders?
- OT-Wiederherstellung ist zeitkritischer und forensisch sensibler als IT. Wir koordinieren mit den Herstellern (Siemens, ABB) und sichern Beweise vor Reset.
- Haftet der kaufmännische Geschäftsführer für OT-Sicherheit?
- Ja. § 38 BSIG-E (NIS2-Umsetzung) macht die gesamte Geschäftsleitung haftbar, unabhängig von Ressortzuschnitt.
Mehr Hintergrund im Ratgeber
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
