Sektor Energie unter NIS2 – warum Stadtwerke und Netzbetreiber im Herbst-Audit 2026 die Microsoft-365-Frage nicht mehr aussitzen können

Am 17. Oktober 2026 endet die erste operative Nachweisfrist des deutschen NIS2-Umsetzungsgesetzes für besonders wichtige Einrichtungen im Sektor Energie. Betroffen sind Strom-, Gas-, Fernwärme- und Wasserstoffversorger, Verteil- und Übertragungsnetzbetreiber, Ladepunktbetreiber sowie Bilanzkreisverantwortliche. Anders als unter dem alten IT-Sicherheitsgesetz 2.0 fällt die 500.000-Kunden-Schwelle. Damit sind auch kleine kommunale Stadtwerke ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz zum ersten Mal in der Pflicht – und stehen in der gleichen Nachweislogik wie ein großer Übertragungsnetzbetreiber. In den laufenden Prüfvorbereitungen wird eine Frage sichtbar, die IT-Leitungen bisher gerne verschoben haben: Ist Microsoft 365 im auditfähigen Betrieb eines Energieversorgers 2026 überhaupt noch tragfähig?

Was NIS2 im Sektor Energie 2026 konkret verlangt

NIS2, umgesetzt im deutschen NIS2UmsuCG, verpflichtet betroffene Einrichtungen in Artikel 21 zu einem Katalog technischer und organisatorischer Maßnahmen: Risikomanagement, Vorfallsbewältigung, Business-Continuity, Sicherheit der Lieferkette, sichere Beschaffung von Netzwerk- und Informationssystemen, Wirksamkeitsprüfung, Cyberhygiene, Kryptografie, Zugangskontrolle, Personalmanagement, Multi-Faktor-Authentifizierung, Anlagenmanagement und gesicherte Kommunikation. Für den Sektor Energie kommen sektorspezifische Anforderungen aus dem BSI-Kritis-Sektorstandard und den branchenspezifischen Sicherheitsstandards des BDEW und des VKU hinzu. Die zentrale Neuerung: Der Nachweis muss konkret und prüffähig sein. Eine reine Vertragsklausel gegenüber einem Cloud-Anbieter genügt der BSI-Prüfstelle seit dem Frühjahr 2026 in der Regel nicht mehr, wie wir im Beitrag zum BSI-C3A-Kriterienkatalog bereits ausgeführt haben.

Warum Microsoft 365 im NIS2-Audit zur harten Nuss wird

Das Problem ist nicht neu, verschärft sich aber unter NIS2 zwei Stufen: Erstens verlangt NIS2 den Nachweis, dass Betriebs-, Netz- und Kundendaten einer geregelten Kryptografie und Zugangskontrolle unterliegen. Zweitens greift die neue Lieferkettenpflicht: Die Einrichtung muss dokumentieren, wie sich Zugriffe von Sub-Auftragsverarbeitern und deren Rechtsträgern auf die verarbeiteten Daten technisch und rechtlich ausschließen lassen. Solange die verarbeitende Rechtseinheit eine Tochter eines US-Mutterkonzerns ist, greift der US CLOUD Act – 18 U.S. Code §2713 – und die FISA Section 702. Der Betreiber kann verpflichtet werden, Daten herauszugeben, ohne die europäische Einrichtung informieren zu dürfen. Für einen Bilanzkreis, ein Netzleitsystem oder ein Kunden-Portal eines Verteilnetzbetreibers ist das ein regulatorisch nicht auflösbarer Widerspruch. Die tiefergehende juristische Herleitung haben wir im Beitrag zum CLOUD Act 2026 dokumentiert.

Die konkrete Nachweislage im Herbst-Audit

BSI und die zuständigen Landesaufsichten prüfen im Herbst-2026-Zyklus konkret vier Punkte:

• Speicherorte aller verarbeiteten Netz- und Marktkommunikationsdaten inklusive Backup- und Log-Kopien.
• Verschlüsselungsketten – Zero-Knowledge oder mindestens serverseitige Verschlüsselung mit europäisch verwahrten Schlüsseln.
• Zugriffskontrolle durch den Betreiber und dessen Sub-Auftragsverarbeiter, inklusive Zugriffslogik durch Muttergesellschaften.
• Betriebliche Kontinuität bei einem regulatorischen oder politischen Ausfall des Cloud-Anbieters, unter Bezug auf den EU Data Act und die Cloud-Switching-Pflichten ab Januar 2027.

Wer diese vier Punkte für einen US-Hyperscaler-Betrieb nicht auditfest beantworten kann, riskiert eine negative Prüfbewertung und in der Folge Zwangsgelder bis 10 Millionen Euro oder zwei Prozent des weltweiten Konzernumsatzes – zusätzlich zu persönlicher Haftung der Geschäftsleitung.

Der souveräne Stack für Stadtwerke – kein Sonderweg mehr

Der Baukasten, der die vier Prüfpunkte auditfest bedient, ist inzwischen produktionsreif und bei mehreren kommunalen Betrieben live: Nextcloud mit Collabora Online ersetzt SharePoint und OneDrive für Verwaltungsdokumente. Open-Xchange oder Mailcow übernehmen E-Mail und Kalender. OpenTalk oder BigBlueButton bilden Video- und Präsenzkommunikation ab. Univention Corporate Server oder Keycloak liefern das Identity-Backend. Der Betrieb liegt in einem eigenen Rechenzentrum, bei Dataport, bei IONOS SE oder bei einem kommunalen IT-Dienstleister. Für Verteilnetzbetreiber und Bilanzkreisverantwortliche kommt eine strikte Trennung zwischen Verwaltungsnetz und Netzleitsystem hinzu – eine Anforderung, die unter Microsoft 365 ohnehin schon schwer umzusetzen war. Der operativ dokumentierte Referenzweg ist im Schleswig-Holstein-Blueprint beschrieben. Für die Auswahl der konkreten Betreiber liefert unsere kategorisierte Anbietermatrix eine schnelle Orientierung.

Kosten und Zeitrahmen bis zum 17. Oktober 2026

Für ein Stadtwerk mit 200 bis 800 Verwaltungsarbeitsplätzen liegt der Einmalaufwand einer sauberen Migration erfahrungsgemäß zwischen 150.000 und 700.000 Euro, verteilt über 90 bis 150 Tage. Der laufende Betrieb der Kern-Suite kostet 6 bis 12 Euro pro Nutzer und Monat – deutlich unter den effektiven Preisen für Microsoft 365 E3 oder E5 inklusive Compliance-Add-ons, Sovereign-Cloud-Aufschlägen und Azure-Verbindungsentgelten. Wer die Frist zum 17. Oktober 2026 nicht mehr vollständig erreicht, kann in Abstimmung mit dem BSI eine dokumentierte Übergangsphase vereinbaren – Voraussetzung ist ein belastbarer Zeitplan und ein bereits laufender Pilotbetrieb. Ohne Pilot ist die Übergangsphase erfahrungsgemäß nicht mehr erreichbar.

Was jetzt konkret zu tun ist

Drei Schritte empfehlen wir Energieversorgern, die im Herbst-Audit auditfest sein wollen: Erstens die Live-Analyse der Microsoft-365-Datenflüsse über /microsoft – daraus wird die konkrete Nachweislücke im Audit-Sinn sichtbar. Zweitens die Auswahl der passenden souveränen Bausteine über die Anbietermatrix und – wenn eine kompakte Vergleichsrechnung nötig ist – über /pricing. Drittens ein Erstgespräch über /contact zur Migrationsplanung und zur Vorbereitung der BSI-Nachweisdokumente. Wer die Umstellung als isoliertes IT-Projekt betrachtet, wird die Frist nicht halten. Wer sie als Vergabe-, Betriebs- und Nachweisprojekt zusammen mit Datenschutz, Netzführung und Geschäftsleitung aufsetzt, hat 2026 noch die Zeit, den souveränen Stack sauber in den Regelbetrieb zu überführen. Der Kontext zwischen Krankenhaus- und Energiesektor-Umsetzung ist im Beitrag zum Krankenhaus-NIS2-Ausstieg parallel dokumentiert.