Stadtwerke versorgen Millionen Bürgerinnen und Bürger mit Strom, Gas, Wasser, Wärme und zunehmend auch mit digitaler Infrastruktur. Gleichzeitig geraten sie zunehmend in den Fokus von Cyberkriminellen und daher auch von Regulierungsbehörden. Mit NIS-2 steigen die Anforderungen an Cybersicherheit, Governance und Risikomanagement deutlich. Im Interview erklären Gilles Schneider und Andreas Grau, warum nahezu alle Stadtwerke jetzt handeln müssen, welche Herausforderungen die Umsetzung mit sich bringt und wie sich Compliance wirtschaftlich und nachhaltig gestalten lässt.
Gilles Schneider: Stadtwerke nehmen eine besondere Rolle ein, da sie für mehrere kritische Versorgungsbereiche gleichzeitig verantwortlich sind. Strom, Gas, Trinkwasser, Fernwärme oder Telekommunikation sind essenzielle Leistungen für Bürgerinnen und Bürger. Kommt es auch nur zu einer partiellen Unterbrechung, sind die Folgen für die öffentliche Versorgung unmittelbar spürbar. Genau deshalb stehen Stadtwerke zunehmend im Fokus der Cyberkriminalität.
Andreas Grau: Gleichzeitig hat sich die regulatorische Perspektive verändert. Während bislang nur ein Teil der Versorgungsunternehmen unter KRITIS oder NIS-1 fiel, erweitert NIS-2 den Kreis der betroffenen Unternehmen deutlich. Für viele Stadtwerke bedeutet dies eine grundlegende Veränderung ihrer regulatorischen Anforderungen. Cybersicherheit wird von einer IT-Aufgabe zu einem strategischen Managementthema.
Andreas Grau: Die Anforderungen gehen deutlich weiter als bisher. NIS-2 betrachtet nicht nur technische Schutzmaßnahmen, sondern die gesamte Organisation. Dazu gehören Risikomanagement, Incident Handling, Notfallmanagement, Lieferketten, Schulungen und Governance-Strukturen.
Besonders relevant ist die Verantwortung der Geschäftsleitung. NIS-2 macht ausdrücklich klar, dass die Einhaltung der Anforderungen nicht delegiert werden kann. Geschäftsführungen müssen sich mit dem Thema aktiv auseinandersetzen, selbst schulen, Maßnahmen überwachen und deren Wirksamkeit nachvollziehen können.
Gilles Schneider: Genau diese Frage hören wir sehr häufig. Tatsächlich unterschätzen viele Stadtwerke ihre Betroffenheit. Durch die erweiterten Kriterien fallen heute deutlich mehr Unternehmen unter die Regulierung als früher. Relevant sind unter anderem Unternehmensgröße, Umsatz und die Zugehörigkeit zu kritischen Sektoren wie Energie, Wasser oder Telekommunikation. Für viele Stadtwerke lautet die Antwort deshalb: Ja, sie sind betroffen.
Deshalb empfehlen wir immer, zunächst eine strukturierte Betroffenheitsanalyse durchzuführen. Consileon führt diese stets in enger Kooperation mit spezialisierter Rechtsberatung durch, denn erst wenn klar ist, welche Einstufung vorliegt und welche Anforderungen konkret gelten, können die richtigen Prioritäten gesetzt werden.
Andreas Grau: Stellen wir uns ein mittelgroßes Stadtwerk vor. Die IT läuft stabil, es gab bislang keine größeren Sicherheitsvorfälle und man geht davon aus, grundsätzlich gut aufgestellt zu sein.
Bei einer näheren Analyse zeigt sich dann häufig ein anderes Bild: Es gibt zwar technische Sicherheitsmaßnahmen, aber keine dokumentierten Risikoanalysen. Lieferanten werden nicht systematisch bewertet und es bestehen ggf. riskante Abhängigkeiten zu einzelnen Dienstleistern. Interne Meldeprozesse für Sicherheitsvorfälle sind nicht definiert, was dazu führt, dass im Ernstfall die NIS-2-Meldepflicht nicht eingehalten werden kann. Die Geschäftsleitung erhält keine regelmäßigen Reports zum Sicherheitsstatus und kann die Wirksamkeit nicht, wie erwähnt, nachvollziehen.
Technisch funktioniert vieles, regulatorisch entstehen jedoch erhebliche Lücken. Genau diese Diskrepanz wird durch NIS-2 sichtbar.
Andreas Grau: OT-Landschaften wie Leitstellen sowie Steuerungs- und Netzsysteme sind häufig historisch gewachsen und wurden ursprünglich nicht für die heutigen Bedrohungsszenarien entwickelt. Gleichzeitig müssen sie hochverfügbar bleiben. Das macht Veränderungen deutlich anspruchsvoller als in klassischen Office-IT-Umgebungen.
Gilles Schneider: Das ist einer der Punkte, der aktuell die größte Aufmerksamkeit erzeugt. Viele Geschäftsführer stellen erstmals fest, dass sie persönlich Verantwortung tragen.
Wichtig ist dabei: NIS-2 verlangt nicht, dass die Geschäftsleitung selbst technische Sicherheitsmaßnahmen umsetzt. Sie muss jedoch sicherstellen können, dass Risiken bekannt sind, geeignete Maßnahmen beschlossen wurden und deren Umsetzung regelmäßig überwacht wird.
Cybersicherheit wird damit zu einem festen Bestandteil der Unternehmenssteuerung und der Corporate Governance.
Gilles Schneider: Genau hier stoßen klassische Ansätze häufig an ihre Grenzen. Die manuelle Prüfung von Richtlinien, Prozessen, Sicherheitskonzepten und Nachweisen verursacht erheblichen Aufwand.
Deshalb setzen wir zunehmend auf KI-gestützte Verfahren. Moderne Analysewerkzeuge können große Dokumentenmengen wie Richtlinien und Verträge systematisch prüfen, regulatorische Anforderungen mit vorhandenen Nachweisen abgleichen und potenzielle Lücken identifizieren. Dadurch lassen sich Ressourcen gezielter einsetzen und Compliance-Prozesse deutlich effizienter gestalten.
Andreas Grau: Viele Organisationen betrachten Compliance noch immer als einmaliges Projekt. Genau das funktioniert bei NIS-2 und der Cybersicherheit im Allgemeinen nicht.
Die Anforderungen verändern sich, Systeme entwickeln sich weiter, neue Risiken entstehen. Deshalb braucht es einen kontinuierlichen Prozess. Compliance muss dauerhaft überwacht, dokumentiert und regelmäßig bewertet werden. Nur so bleibt die Organisation langfristig handlungsfähig.
Gilles Schneider: Nicht auf die perfekte Lösung warten. Der wichtigste Schritt ist, Transparenz zu schaffen. Wo stehen wir heute? Welche Anforderungen gelten für uns? Wo bestehen Risiken und Handlungsbedarfe?
Andreas Grau: Wer früh beginnt, kann die Umsetzung strukturiert planen und in bestehende Prozesse integrieren. Wer wartet, riskiert Zeitdruck, höhere Kosten und unnötige Unsicherheit. Das BSI hat die Lage inzwischen verschärft: Die gesetzliche Registrierungsfrist ist bereits im März abgelaufen, und das BSI überwacht den Stand der Anmeldungen aktiv. Mit einer Nachfrist bis zum 31. Juli 2026 bietet die Behörde erneut die Gelegenheit, die Registrierung nachzuholen. Danach sind empfindliche Bußgelder realistisch. NIS-2 sollte nicht als regulatorische Pflichtübung verstanden werden, sondern als Chance, Cybersicherheit nachhaltig zu stärken und die eigene Resilienz zu erhöhen.
Consileon unterstützt Stadtwerke entlang des gesamten NIS-2-Lebenszyklus. Von der Betroffenheitsanalyse über Audits, Registrierungsberatung und Geschäftsleitungsschulungen bis hin zur Umsetzungsbegleitung und zum Continuous Compliance Management entsteht ein ganzheitlicher Ansatz für regulatorische Sicherheit und nachhaltige Cyberresilienz.
Dr. med. Michael Ullmann ist Facharzt für Allgemeinmedizin, ehemaliger Herzchirurg und seit dem 1. Januar 2026 Geschäftsbereichsleiter Healthcare bei der Consileon Business Consultancy GmbH. Mit seiner Berufung hat Consileon die Krankenhausberatung und die digitale Transformation des Gesundheitswesens zum strategischen Schwerpunkt ausgebaut. Heute berät er mit seinem Team Krankenhäuser, Labore, Pharmaunternehmen sowie weitere Akteure im Gesundheitswesen. Ein Gespräch über Fachkräftemangel, NIS2, KI und darüber, warum gute Beratung im Gesundheitswesen auch eine gesellschaftliche Verpflichtung ist.
Gute Frage zum Einstieg. Den einen Moment gab es ehrlich gesagt nicht. Es war eher ein wachsendes Gefühl über die letzten Jahre hinweg. Ich habe als Arzt angefangen: Herzchirurgie, Universitätsklinik, echte Notfallsituationen. Dann kam irgendwann der Punkt, an dem ich gemerkt habe: Die größten Probleme in der Versorgung entstehen nicht am OP-Tisch, sondern in den Strukturen drumherum. Schlechte IT, fehlende Daten, fragmentierte Prozesse, kein Geld für Investitionen. Das hat mich zunehmend beschäftigt und irgendwann mehr als die medizinische Arbeit selbst.
Bei Consileon habe ich ein Team und ein Umfeld gefunden, das diese Komplexität ernst nimmt. Die Kollegen hier verstehen sowohl die betriebswirtschaftliche als auch die technologische Dimension und zunehmend auch die medizinische. Dass ich jetzt den Geschäftsbereich leite, fühlt sich weniger nach einem Karriereschritt an und mehr nach konsequentem Weiterdenken.
Weil Krankenhäuser keine gewöhnlichen Unternehmen sind. Wer einem Klinikgeschäftsführer erklären will, warum ein bestimmter Prozess nicht funktioniert, muss verstehen, wie eine Notaufnahme um drei Uhr morgens tickt. Wer eine Pflegedienstleitung davon überzeugen will, ein neues Dokumentationssystem einzuführen, muss wissen, was es bedeutet, zwölf Stunden im Dienst zu sein und dabei noch Formulare auszufüllen.
In unserem Team kennen Ärztinnen und Ärzte diesen Alltag aus eigener Erfahrung. Das schafft Vertrauen und bessere Lösungen. Gleichzeitig benötigen wir natürlich Fachexperten, die SAP beherrschen, die regulatorische Anforderungen im Schlaf kennen und KI-Architekturen bauen. Diese Kombination ist das, was uns ausmacht. Und ich sage das nicht, weil ich es schön klingen lassen will: Ich erlebe es täglich in meinen Projekten.
Das gilt übrigens nicht nur für Krankenhäuser. Wir beraten auch Pharmaunternehmen, Medizintechnikhersteller und medizinische Labore, und die Logik ist dieselbe. In einem Pharmaunternehmen sprechen wir über Zulassungsprozesse, GxP-Compliance und darüber, wie KI in regulierten Umgebungen eingesetzt werden kann. In einem Labor geht es um Digitalisierung der Prozesse, LIS, Schnittstellen. Überall braucht man Menschen, die die Prozesse und den Kontext wirklich kennen, nicht nur von außen beschreiben.
Was mir an Consileon insgesamt sehr gefällt, ist die Breite, die die gesamte Gruppe mitbringt. Wir sind keine Nischenberatung. Die Kollegen aus anderen Geschäftsbereichen, aus der Finanz- und Versicherungsbranche, aus dem Automotive-Sektor, bringen Erfahrungen mit, die uns im Healthcare-Bereich immer wieder weiterhelfen. Prozessoptimierung, Transformationsbegleitung, regulatorisches Change-Management: Das sind Disziplinen, die wir als Consileon seit mehr als 20 Jahren beherrschen und die wir jetzt konsequent in den Gesundheitssektor hineintragen.
Nein, und das wäre auch unehrlich. Rund vier von fünf deutschen Krankenhäusern schreiben rote Zahlen, das hat das Deutsche Krankenhausinstitut zuletzt bestätigt. Die seit Jahren diskutierte Krankenhausreform schafft einerseits neue Chancen, andererseits massive Unsicherheit. Viele Häuser wissen schlicht nicht, wie ihre Zukunft aussieht.
Ich kenne das aus eigener Erfahrung. Als ich noch in der Klinik war, haben wir über Betten diskutiert, die nicht belegt werden konnten, nicht wegen fehlender Patienten, sondern wegen fehlenden Personals. Über IT-Systeme, die nicht miteinander sprechen. Über Entscheidungen, die aus Kostendruck getroffen wurden und medizinisch eigentlich keine guten Entscheidungen waren. Das darf nicht der Dauerzustand sein.
Wir haben da im Wesentlichen zwei Stränge. Der Erste dreht sich um den Transformationsfonds, der im Rahmen der Krankenhausreform aufgelegt wurde. Klinikträger können über ihre Landesbehörde Mittel beantragen, um sich strukturell neu aufzustellen: Ambulantisierung, Spezialisierung, Kooperationen. Das klingt erstmal gut, aber die wenigsten Häuser haben die internen Kapazitäten, solche Anträge wirklich strategisch zu durchdenken, zu gestalten und durchzubringen. Da helfen wir: von der Analyse der eigenen Ausgangslage über die Antragsstrategie bis zur Umsetzungsbegleitung.
Der zweite Strang ist Fundraising, und das ist ein Thema, das im deutschen Krankenhaussektor noch stark unterschätzt wird. In den USA oder Großbritannien ist es selbstverständlich, dass Kliniken aktiv Spenden einwerben, über Stiftungen, Fördergesellschaften, Philanthropen. In Deutschland steckt das noch in den Kinderschuhen. Gemeinsam mit der FOM führen wir derzeit eine eigene Studie zu diesem Thema durch, deren Ergebnisse in Kürze vorliegen werden. Erste Gespräche mit Kliniken deuten darauf hin, dass das Potenzial enorm ist, aber auch, dass es struktureller Voraussetzungen bedarf, die viele Häuser noch nicht geschaffen haben.
Weil die Zeit abläuft und viele Häuser das noch nicht verinnerlicht haben. Mit der NIS2-Richtlinie fallen nahezu alle deutschen Krankenhäuser in den Anwendungsbereich einer ernsthaften Cybersicherheitsregulierung, unabhängig von Größe oder bisheriger KRITIS-Einstufung. Die Geschäftsführung haftet persönlich. Verstöße sind strafbewehrt. Das ist kein Papiertiger.
Ich erinnere mich noch gut an die Attacke auf die Uniklinik Düsseldorf im Jahr 2020. Rettungswagen wurden abgewiesen, eine Patientin starb, weil die IT ausgefallen war. Das war der erste dokumentierte Todesfall im unmittelbaren Zusammenhang mit einem Cyberangriff auf ein Krankenhaus. Seitdem ist viel geredet worden. Zu wenig ist passiert. Die Zahlen sprechen für sich: Rund 30 Prozent aller deutschen Krankenhäuser haben bereits einen schweren IT-Sicherheitsvorfall erlebt. Ein erfolgreicher Angriff findet statistisch alle zwei bis drei Wochen statt.
Und das Tückische daran: Die Angreifer wissen genau, dass Kliniken kaum Ausfalltoleranz haben. Wenn das KIS nicht läuft, steht der Betrieb still. Das macht sie erpressbar. Deswegen ist IT-Sicherheit im Krankenhaus keine IT-Frage. Sie ist eine Frage der Patientensicherheit.
Wir haben zum Beispiel den Consileon Compliance Manager entwickelt, ein KI-gestütztes Tool, das regulatorische Anforderungen wie NIS2, KRITIS oder den B3S automatisiert analysiert und mit der vorhandenen Dokumentation eines Hauses abgleicht. Es identifiziert Lücken, priorisiert den Handlungsbedarf und erstellt nachvollziehbare Bewertungen mit direkten Referenzen zu den relevanten Textstellen. So kann ein Krankenhaus jederzeit belegen, wo es steht.
Was mich dabei besonders freut: Wir reden hier nicht über ein Konzept oder einen PowerPoint-Folien-Ansatz. Das ist ein laufendes System, das wir selbst entwickelt haben.
KI wird in den nächsten Jahren zu einem zentralen Faktor im Krankenhaussektor. Das ist keine Prognose mehr; das ist Realität. Ärzte verbringen heute rund 35 Prozent ihrer Arbeitszeit mit der Dokumentation. Wenn KI das auch nur teilweise übernimmt, sind rein rechnerisch Tausende Arztstunden wieder für die eigentliche Versorgung verfügbar. Das ist kein Luxus, sondern eine Notwendigkeit angesichts des Fachkräftemangels.
Aber ich erlebe auch die andere Seite: Kliniken, die KI-Lösungen einkaufen, ohne zu wissen, was sie damit wollen. Tools, die schön in der Demo wirken und im Alltag scheitern. Governance, die fehlt. Daten, die nicht sauber sind. Schnittstellen, die nicht funktionieren.
Deswegen beraten wir nicht nur zur KI-Strategie, wir bauen auch selbst. Consileon verfügt mit dem Geschäftsbereich Software Solutions über die Fähigkeit, KI-Anwendungen tatsächlich zu entwickeln und in bestehende IT-Landschaften zu integrieren. Der Consileon Compliance Manager, von dem ich gerade gesprochen habe, ist ein Beispiel dafür. Wir verstehen nicht nur, wie man KI-Governance aufbaut, welche regulatorischen Anforderungen der EU AI-Act stellt oder wie man Risiken klassifiziert, wir haben auch die praktische Erfahrung, die man braucht, um zu wissen, wo Systeme in der Praxis wirklich scheitern.
Gute Beratung beginnt mit dem Verständnis dafür, dass KI kein Selbstzweck ist. Sie muss ein konkretes Problem lösen, messbar besser sein als die Alternative, und sie muss von den Menschen akzeptiert werden, die damit arbeiten. Eine Ärztin, die einem KI-Vorschlag nicht vertraut, wird ihn ignorieren, egal wie gut das Modell ist.
Schlechte Beratung beginnt mit der Technologie und fragt dann nach dem passendem Problem. Gute Beratung beginnt mit der Frage: Was ist das Problem? Was kostet dieses Problem die Klinik gerade? Und was wäre ein nachhaltiger Weg, es zu lösen? Grundsätzlich gilt: KI braucht ein Problem – aber nicht jedes Problem braucht KI.
Ich habe in meiner Industriezeit bei Nuance und Microsoft erlebt, wie groß der Unterschied ist zwischen einem KI-System, das im Labor funktioniert, und einem, das im klinischen Alltag wirklich hilft. Diese Erfahrung bringe ich direkt in unsere Projekte ein.
Ja, das mag sein. Aber ich meine es ernst. Krankenhäuser sind keine beliebigen Unternehmen. Sie versorgen Menschen in den verletzlichsten Momenten ihres Lebens. Wenn ein Krankenhaus schlechter wird oder schließt, trifft das direkt die Menschen: Patienten, Familien, ganze Regionen. Das spürt man in der ländlichen Versorgung heute schon deutlich.
Das gilt für den gesamten Sektor. Ein Pharmaunternehmen, das schlechte Prozesse hat, bringt Medikamente langsamer auf den Markt. Ein Medizintechnikhersteller, der regulatorische Anforderungen nicht im Griff hat, bremst Innovationen, die Patienten helfen könnten. Ein Labor, das seine Daten nicht sauber verwaltet, liefert Befunde, auf deren Basis Ärzte ggf. falsche Entscheidungen treffen. Die Qualität unserer Beratung hat also immer mittelbar Auswirkungen auf echte Menschen. Das ist eine Verantwortung, die ich sehr bewusst trage.
Wir als Consileon haben die Möglichkeit, diesen Akteuren zu helfen, besser zu werden. Effizienter, sicherer, zukunftsfähiger. Wenn wir das gut machen, verbessert das die Versorgung von Patienten. Das ist für mich und mein Team ein echter Antrieb, nicht nur ein Beratungsauftrag.
Ich glaube, das spüren auch unsere Klienten. Mir wurde mehr als einmal gesagt, dass der Unterschied in der Zusammenarbeit mit uns spürbar ist: Wir reden nicht von oben herab, wir sitzen im gleichen Boot. Das liegt auch daran, dass viele von uns selbst Teil dieses Systems waren.
Ich wünsche mir, dass wir zu einer echten Referenzadresse für Healthcare-Transformation in der DACH-Region werden, nicht weil wir die größten sind, sondern weil unsere Klienten wissen, dass sie bei uns Beratung bekommen, die funktioniert. Nicht auf dem Papier, sondern in der Realität.
Konkret: Ich möchte, dass unsere Fundraising-Studie echte Bewegung in die Krankenhausfinanzierung bringt. Ich möchte, dass der Consileon Compliance Manager in der Breite ankommt, weil die NIS2-Uhr tickt. Und ich möchte, dass wir in KI-Projekten zeigen, dass man Kliniken nicht nur beraten kann, sondern wirklich begleiten, von der Strategie bis zum fertigen System. Daran arbeiten wir, gemeinsam als Team. Und ich freue mich auf jeden Schritt davon.
Für mehr Informationen lesen Sie auch unsere Whitepaper „IT-Sicherheit im Krankenhausbetrieb: NIS2-Vorgaben und KI als Lösung“ und „Multi-Agenten-RAG im Krankenhaussektor“ oder unsere Studie zur Zukunftsfähigkeit medizinischer Labore.
Krankenhäuser stehen heute vor steigenden Anforderungen an Informationssicherheit, Datenschutz und stabile IT‑Versorgung. Mehrere Regelwerke greifen dabei ineinander. Wichtig ist vor allem zu verstehen, dass sie sich ergänzen und nicht gegenseitig ersetzen.
Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 bildet meist die Grundlage. Es sorgt dafür, dass Krankenhäuser systematisch mit Risiken für ihre IT und Daten umgehen, klare Verantwortlichkeiten definieren und Sicherheitsmaßnahmen dauerhaft steuern. Dadurch wird Informationssicherheit planbar und nachvollziehbar, ähnlich wie Qualitätsmanagement in der medizinischen Versorgung.
Die europäische NIS2‑Richtlinie verpflichtet viele Gesundheitseinrichtungen zusätzlich zu konkreten Cybersicherheitsmaßnahmen, Risikoanalysen und Meldepflichten bei Sicherheitsvorfällen. Ziel ist es, die Funktionsfähigkeit wichtiger gesellschaftlicher Einrichtungen, darunter Krankenhäuser, besser zu schützen.
In Deutschland betrifft das insbesondere Krankenhäuser, die als Kritische Infrastruktur (KRITIS) gelten. Diese müssen gegenüber dem Staat nachweisen, dass ihre IT‑Systeme angemessen abgesichert sind, damit die Patientenversorgung auch bei Störungen möglichst stabil bleibt.
Hier kommt der sogenannte B3S‑Standard ins Spiel. Der „Branchenspezifische Sicherheitsstandard“ für Krankenhäuser beschreibt konkret, welche Sicherheitsmaßnahmen im Klinikbetrieb als angemessen gelten. Er übersetzt allgemeine Sicherheitsanforderungen in die Praxis von medizinischen Einrichtungen, etwa im Umgang mit Medizintechnik, klinischen IT‑Systemen oder Notfallprozessen.
Kurz gesagt: Ein ISMS schafft die organisatorische Grundlage für Informationssicherheit. NIS2 und KRITIS definieren gesetzliche Anforderungen. Der B3S konkretisiert diese speziell für Krankenhäuser.
Zusammen helfen diese Regelwerke, Patientendaten zu schützen, Ausfälle zu vermeiden und die digitale Zukunft des Gesundheitswesens sicher zu gestalten.
Wir unterstützen Krankenhäuser dabei, Informationssicherheits‑ und Governance‑Strukturen praxisnah aufzubauen – von der Einführung eines ISMS über die Vorbereitung auf B3S‑ und regulatorische Anforderungen bis hin zur strategischen Einbindung neuer Technologien wie Künstlicher Intelligenz. Unser Fokus liegt auf umsetzbaren Lösungen, Management‑Orientierung und nachhaltiger organisatorischer Verankerung.
Wenn Sie Ihre Einrichtung sicher und zukunftsfähig aufstellen möchten, sprechen Sie uns gerne an.