NIS-2 trifft Kommunen anders, als viele denken
Die Kernverwaltung ist ausgenommen. Ihre Eigen- und Regiebetriebe in vielen Fällen nicht. Wir helfen Ihnen zu klären, was das konkret für Ihre Stadt oder Kommune genau bedeutet.
Kurzfassung im Audioformat
Vier Fragen, die uns Verantwortliche am häufigsten stellen
Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz. In Rathäusern, Werkleitungen und Aufsichtsräten sorgt es für Diskussionen, meist um dieselben vier Punkte.
Sind wir überhaupt betroffen?
Die Kernverwaltung ist ausgenommen. Eigenbetriebe, Regiebetriebe, kommunale GmbHs und Zweckverbände können sehr wohl unter das Gesetz fallen, auch dann, wenn sie organisatorisch noch Teil der Kommune sind.
Wer trägt die Verantwortung?
§ 38 BSIG nimmt die Leitungsebene persönlich in die Pflicht: Werkleitung, Klinikgeschäftsführung, Vorstand. Die Verantwortung ist nicht an die IT-Abteilung delegierbar und nicht auf externe Dienstleister übertragbar.
Wo sollen wir anfangen?
Betroffenheitsprüfung, Registrierung beim BSI, Risikomanagement, Schulung der Leitung, Meldewege, Kontaktstelle, Dokumentation bis hin zum ISMS. Mehrere Pflichten greifen parallel, meist auf ein Haus, das ohnehin keine freien Personalkapazitäten hat.
Was hält einer Prüfung stand?
Das BSI prüft nicht alle, aber stichprobenartig und im Anlassfall. Wer dokumentiert hat, ist gelassen. Wer nicht, muss in Wochen aufbauen, was in Ruhe Monate gebraucht hätte.
Die Rechtslage
Das NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Die deutsche Kernverwaltung auf Landes- und Kommunalebene fällt nach Beschluss 2023/39 des IT-Planungsrats ausdrücklich nicht in den Anwendungsbereich des Bundesgesetzes. Das ist die eine Hälfte der Wahrheit, und sie wird in vielen Häusern als Entwarnung missverstanden. Die andere Hälfte besteht aus zwei Stufen, die man sauber trennen sollte:
Rechtlich selbstständige Kommunalbetriebe sind seit Einführung des neuen BSIG unmittelbar erfasst, sobald sie die Schwellenwerte für „wichtige“ oder „besonders wichtige Einrichtungen“ überschreiten oder als Betreiber Kritischer Anlagen gelten. Das war juristisch nie strittig.
Rechtlich unselbstständige Eigen- und Regiebetriebe dagegen waren lange ein Graubereich. Hier hat das BSI nun klargestellt: Auch sie fallen direkt unter das BSIG, sobald die genannten Kriterien erfüllt sind, unabhängig davon, dass sie organisatorisch Teil der Kommune sind.
Praktisch heißt das: Wenn Ihre Kommune ein Stadtwerk, ein Klinikum, einen Wasserzweckverband, einen Verkehrsbetrieb oder einen kommunalen IT-Dienstleister betreibt – egal in welcher Rechtsform –, ist die Frage nicht ob, sondern welcher Teil Ihrer Strukturen unter die neue Regulierung fällt und in welcher Stufe.
Hinzu kommt: Mehrere Bundesländer arbeiten an eigenen Landesgesetzen, die die Kommunalverwaltung selbst erfassen sollen. Wer jetzt strukturiert vorgeht, ist später vorbereitet. Wer wartet, handelt unter Aufsicht.
Wo NIS-2 in Ihrer kommunalen Familie ankommt
Vier Sektoren, in denen wir aktuell die meisten Fragen sehen und die klarsten Pflichten. Daneben fallen je nach Konstellation auch kommunale Gesundheitseinrichtungen und kommunale IT-Dienstleister in den Anwendungsbereich.
Stadtwerke · Wasserzweckverbände · Klärwerke · Wasserversorgungs-GmbHs
KRITIS-Schwelle: ab 500.000 ang. Einwohnern oder 22 Mio. m³ Trinkwasser/Jahr
NIS-2-Schwelle (wichtige Einrichtung): ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz
Zentrale Pflicht: Risikomanagement, Angriffserkennung in der Prozessleittechnik, Business Continuity, Backup- und Notfallkonzept.
Stadtwerke · Heizkraftwerke · Verteilnetzbetreiber · Fernwärmenetze
KRITIS Strom: 104 MW Netto-Nennleistung · 3.700 GWh/Jahr Verteilung
KRITIS Fernwärme: 250.000 angeschlossene Haushalte
NIS-2-Schwelle (wichtige Einrichtung): ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz
Besonderheit: Mehrfachregulierung durch BSIG, EnWG und IT-Sicherheitskatalog der BNetzA. Sie stehen parallel unter Aufsicht von BSI und BNetzA; die Anforderungen überschneiden sich, sind aber nicht identisch.
Kommunale Entsorger · Müllheizkraftwerke · Wertstoffhöfe · mechanisch-biologische Anlagen
KRITIS: ab 79.500 t Rest-/Gewerbeabfall pro Jahr (bzw. sektor-spezifische Werte für Bio-, LVP-, PPK- und Glasabfall)
NIS-2 (wichtige Einrichtung): ab 50 Mitarbeitern oder 10 Mio. € Umsatz
Zentrale Pflicht: OT-Sicherheit in thermischen, biologischen und mechanischen Behandlungsanlagen, also dort, wo IT-Sicherheit bisher selten Thema war und das Know-how am dünnsten ist.
Verkehrsbetriebe · Stadtbahnen · kommunale Straßenverkehrs-Leitsysteme
KRITIS ÖPNV: ab 125 Mio. Fahrgastfahrten/Jahr
KRITIS Verkehrsleitsysteme: ab Städten mit 500.000 Einwohnern
NIS-2-Schwelle (wichtige Einrichtung): ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz
Zentrale Pflicht: Business Continuity und Krisenkonzept, Lieferketten- und Dienstleistersicherheit, geregelte Verantwortlichkeiten im Sicherheitsbereich.
Eine tragfähige NIS-2-Umsetzung ordnet Maßnahmen nach Geschäftswirkung
Informationssicherheit nach BSIG ist mehr als eine Compliance-Aufgabe. Sie ist das Bindeglied zwischen dem Versorgungsauftrag Ihres Eigenbetriebs und dem operativen IT- und OT-Betrieb. Richtig aufgesetzt, stabilisiert sie Ihre Leistungserbringung. Falsch aufgesetzt, bindet sie Ressourcen ohne Wirkung.
Bei uns entsteht diese Umsetzung in einem strukturierten Prozess: mit allen relevanten Rollen am Tisch – Werkleitung, IT, Fachbereich, Datenschutz – und mit einer Dokumentation, die Aufsichtsrat, Verwaltung und Prüfer gemeinsam tragen können.
§ 38 BSIG: WARUM DIESE PFLICHT ZUR CHEFSACHE WIRD
Die persönliche Pflicht der Leitungsebene ist neu, und sie hat Konsequenzen, die in vielen Häusern noch unterschätzt werden.
Das neue BSI-Gesetz nimmt die Leitung der betroffenen Einrichtung persönlich in die Pflicht: für die Billigung, die Überwachung und die Wirksamkeit der Cybersicherheitsmaßnahmen. Bei Eigenbetrieben trifft das die Werkleitung. Bei kommunalen Krankenhäusern die Geschäftsführung. Bei kommunalen GmbHs den Geschäftsführer oder Vorstand.
Die Pflicht umfasst nicht nur die Einführung der Maßnahmen, sondern auch die regelmäßige Schulung der Leitungsebene selbst. Sie ist ausdrücklich nicht an die IT-Abteilung delegierbar, und auch ein externer Dienstleister kann sie Ihnen nicht abnehmen. Was er kann: Sie in die Lage versetzen, ihr zu genügen.
Hinzu kommen die erweiterten Durchsetzungsbefugnisse der Aufsichtsbehörden: von Auskunftsverlangen über Vor-Ort-Prüfungen und Audits bis zu Bußgeldern, die die Einrichtung und die Leitungspersonen treffen können.
Wer in Verantwortung steht, sollte zwei Fragen jederzeit beantworten können:
Sind wir betroffen und wenn ja, was haben wir bis heute umgesetzt?
Wenn auch nur eine der beiden Antworten unsicher ausfällt, ist genau das der Punkt, an dem ein Gespräch mit uns sinnvoll wird.
Wie wir öffentliche Auftraggeber unterstützen
Sechs Bausteine, modular kombinierbar. Sie entscheiden, wo wir andocken. Jeder Baustein hat ein definiertes Ergebnis und einen realistischen Zeitrahmen.
-
Betroffenheitsanalyse
Wir prüfen pro Eigen- oder Regiebetrieb anhand von § 28 BSIG und KRITIS-Verordnung, ob und in welcher Stufe (wichtige Einrichtung, besonders wichtige Einrichtung, Betreiber Kritischer Anlagen) eine Betroffenheit vorliegt, einschließlich der Frage möglicher Mehrfachregulierung durch EnWG, DORA oder SGB V.
Ergebnis: Schriftliches Kurzgutachten, vorlagefähig für Werkleitung, Verwaltungsrat oder Aufsichtsgremium.
-
Gap-Analyse gegen BSIG
Wir gleichen Ihre vorhandenen technischen und organisatorischen Maßnahmen mit den Pflichten aus § 30 ff. BSIG ab, einschließlich Backup- und Notfallkonzept, Meldewegen und der Frage, ob eine Kontaktstelle benannt und beim BSI registriert ist. Sie erhalten eine klare Übersicht: was vorhanden ist, was fehlt und in welcher Reihenfolge die offenen Punkte sinnvoll angegangen werden.
Ergebnis: Priorisierte Maßnahmenliste mit Aufwandsschätzung und Reihenfolgeempfehlung.
-
Aufbau ISMS / Anpassung an NIS-2
Wir bauen ein Informationssicherheits-Managementsystem auf, das zu Größe und Komplexität Ihres Betriebs passt: kein überdimensioniertes Konzern-ISMS, sondern eines, das eine Werkleitung mit begrenzten Ressourcen tatsächlich pflegen kann.
Ergebnis: Dokumentiertes, prüffähiges ISMS nach BSI-Grundschutz oder ISO 27001.
-
Dokumentation & Nachweisfähigkeit
Erstellung der Unterlagen, die das BSI im Stichproben- oder Anlassfall sehen will: Sicherheitskonzepte, Meldeprozesse, Schulungsnachweise, Risikoregister, Lieferantenverzeichnisse, Nachweis der Kontaktstelle.
Ergebnis: Prüfungsfeste Dokumentensammlung, jährlich aktualisierbar.
-
Dauerhafte Begleitung als externer ISB
Auf Wunsch übernehmen wir die laufende Funktion des Informationssicherheitsbeauftragten: Vorfallmeldung an das BSI, Audit-Vorbereitung, regelmäßige Risikoüberprüfung, Ansprechpartner für Aufsicht und Geschäftsleitung.
Ergebnis: Fester Ansprechpartner für alle Sicherheitsfragen, ohne intern eine Vollzeitstelle besetzen zu müssen.
Was Sie nach unserer Zusammenarbeit in der Hand halten
Drei konkrete, prüffähige Ergebnisse. Keine Beratungspräsentation, sondern Unterlagen, die der Aufsicht standhalten.
Betroffenheitsanalyse
Schriftliche Einordnung pro Eigen- oder Regiebetrieb – vorlagefähig für Werkleitung, Verwaltungsrat und Aufsichtsbehörden.
Priorisierter Maßnahmenplan
Konkrete Aufgaben mit Verantwortlichkeit, Aufwand und Reihenfolge. Am Tag nach der Übergabe arbeitsfähig.
Prüfungsfeste Dokumentation
ISMS-Dokumente, Sicherheitskonzepte, Meldeprozesse, Schulungsnachweise: das, was das BSI bei einer Stichprobe oder im Anlassfall sehen will.
Häufige Fragen
Klartext zu den Punkten, die in jedem Erstgespräch kommen.
Warum Kommunen mit uns arbeiten
Sechs Gründe, formuliert, wie sie unsere Kunden formulieren.
Vergaberecht-Erfahrung
UVgO, VgV, freihändige Vergabe, Schwellenwerte: wir kennen die Spielregeln öffentlicher Auftraggeber. Keine Ausschreibung, die uns überrascht, kein Verfahren, das wir nicht schon einmal bedient haben.
Zertifizierte Kompetenz
Wir sind nach DIN EN ISO/IEC 27001 zertifiziert und arbeiten in der eigenen Organisation nach denselben Maßstäben, die wir bei Ihnen aufbauen.
Kommunale Erfahrung
Städte und Kommunen gehören zu unseren langjährigen Kunden, darunter Siegen, Steinfurt, Lennestadt und Bad Honnef.
Pragmatische Größenordnung
Wir bauen kein Konzern-ISMS in einen kommunalen Eigenbetrieb. Wir bauen, was zur Größe passt — und tatsächlich gepflegt werden kann.
Klartext statt Fachchinesisch
BSIG, NIS-2, ISO 27001, Grundschutz: Wir übersetzen die Anforderungen in eine Sprache, die Werkleitung, Verwaltungsrat und Hauptausschuss verstehen.
Prüfungsfest
Was wir liefern, hält der BSI-Stichprobe stand: Dokumente, die der Aufsicht vorgelegt werden können.
Klarheit in 30 Minuten
Im Erstgespräch klären wir drei Dinge: ob Ihre Einrichtung von NIS-2 betroffen ist, welche Pflichten konkret auf Sie zukommen, und wie eine pragmatische Umsetzung in Ihrem Haus aussehen kann. Das Gespräch ist kostenfrei und unverbindlich, und Sie gehen mit einer belastbaren Ersteinschätzung aus dem Termin.