NIS2 EU AI Act Stadtwerke 2026: Sicher vorbereiten

NIS2 & EU AI Act für Stadtwerke und KRITIS: Stadtwerke, Wasserbetriebe, Energieversorger, Netzbetreiber und Betreiber kritischer Infrastrukturen setzen zunehmend KI für Netzlastprognosen, Anomalieerkennung, Leckage-Erkennung, Predictive Maintenance, Leitstellenunterstützung, Cybersecurity und betriebliche Analysen ein.

Dabei treffen zwei unterschiedliche regulatorische Welten aufeinander: NIS2 regelt Cybersicherheits- und Risikomanagementpflichten, während der EU AI Act KI-Systeme nach ihrem Risiko und Einsatzzweck bewertet. Für Versorger entsteht deshalb eine zentrale Aufgabe: KI-Risiken, OT-Sicherheit, Lieferanten, Incident-Prozesse, Human Oversight und Nachweise in ein gemeinsames Governance-System bringen.

Aktueller Stand: 14.09.2026

In Deutschland ist das Gesetz zur Umsetzung der NIS-2-Richtlinie seit dem 6. Dezember 2025 in Kraft. Abhängig von Tätigkeit, Größe und Einrichtungsart können Unternehmen unter die neuen Pflichten zu Risikomanagement, Cybersicherheit, Lieferketten, Sicherheitsvorfällen, Registrierung und Leitungsebene fallen. Der EU AI Act ist grundsätzlich seit dem 2. August 2026 anwendbar. Die speziellen Regeln für Hochrisiko-KI-Systeme nach Annex III gelten nach dem aktuellen EU-Zeitplan ab dem 2. Dezember 2027.

Wichtig: Nicht jede KI in einem Stadtwerk ist Hochrisiko-KI.

Annex III erfasst KI-Systeme, die als Sicherheitskomponenten bei der Verwaltung oder dem Betrieb kritischer digitaler Infrastruktur, im Straßenverkehr oder bei der Versorgung mit Wasser, Gas, Wärme oder Elektrizität eingesetzt werden. Entscheidend sind also Zweck und Sicherheitsfunktion des konkreten Systems – nicht allein die Tatsache, dass die KI in einer kritischen Infrastruktur läuft.

Beispiel:
Ein KI-System, das einen sicherheitskritischen Anlagenzustand überwacht und unmittelbar vor Gefahren für Personen oder Infrastruktur schützen soll, kann unter Annex III fallen. Ein reines Tool zur Netzlastprognose, Ticketverwaltung oder Predictive Maintenance ist dagegen nicht automatisch Hochrisiko-KI, wenn es keine solche Sicherheitsfunktion übernimmt.

Wichtig: Diese Seite und das Stadtwerke & Wasser KRITIS Compliance-Kit bieten Orientierung, Master-Prompts und Dokumentationshilfen für die interne Vorbereitung. Sie ersetzen keine Rechtsberatung, NIS2- oder KRITIS-Prüfung, technische Sicherheitsbewertung, OT-Risikoanalyse, Zertifizierung, Datenschutzprüfung oder verbindliche Einzelfallbewertung.

Stadtwerke & Wasser KRITIS Compliance-Kit 2026/2027

100 Master-Prompts für NIS2, EU AI Act, OT & KI-Governance

Praktische Prompt-Vorlagen für Stadtwerke, Wasserbetriebe, Energieversorger, technische Leitungen, CISO, OT-Verantwortliche und Compliance-Teams, die KI-Systeme in kritischen Versorgungsprozessen strukturiert dokumentieren und kontrollierbarer machen möchten.

Modul I – 40 Prompts

AI-Act-Einstufung & Lieferanten-Compliance

Modul II – 30 Prompts

Human Oversight & OT-Protokollierung

Modul III – 30 Prompts

NIS2- & AI-Act-Verzahnung

100 KRITIS Master-Prompts ansehen

Digitales PDF • sofort verfügbar • 100 Master-Prompts • aktueller Checkoutpreis 99,00 €

Für Stadtwerke & Versorger

KI in Leitstellen, Netzbetrieb, Lastprognosen, Anlagenüberwachung und Versorgungsprozessen strukturiert erfassen.

Für OT, CISO & KRITIS

OT-Risiken, Human Oversight, Logging, Incident-Prozesse und KI-spezifische Sicherheitsfragen dokumentieren.

Für Einkauf & Lieferantenmanagement

KI-Funktionen, technische Dokumentation, Updates, Audit-Rechte und Sicherheitsnachweise gezielt abfragen.

Inhaltsübersicht

NIS2 & EU AI Act für Stadtwerke kurz erklärt
Wann ist KRITIS-KI Hochrisiko-KI?
Mini-Test für Stadtwerke
Risiko-Matrix für OT und KRITIS
NIS2 und AI Act zusammenführen
KI-Inventar aufbauen
Lieferanten-Compliance
Human Oversight in OT
KI-Fehlfunktion & Incident Management
10-Punkte-Checkliste
100 KRITIS Master-Prompts
So wird das Kit genutzt
FAQ
Offizielle Quellen

NIS2 & EU AI Act für Stadtwerke kurz erklärt

NIS2 und EU AI Act verfolgen unterschiedliche Ziele. NIS2 richtet den Blick auf Cyberrisiken, Verfügbarkeit, Sicherheitsmaßnahmen, Lieferketten, Incident Response und Managementverantwortung. Der AI Act betrachtet dagegen das Risiko eines konkreten KI-Systems und dessen vorgesehenen Einsatzzweck.

Für ein Stadtwerk kann dasselbe KI-System deshalb gleichzeitig ein Thema für OT-Sicherheit, NIS2-Risikomanagement, Lieferantensteuerung, Datenschutz und AI-Act-Governance sein.

Der praktische Ansatz:

Nicht für jede Regulierung einen eigenen Ordner führen, sondern KI-System, Zweck, Kritikalität, Anbieter, Daten, Cyberrisiken, menschliche Kontrolle, Logs, Vorfälle und Freigaben in einer gemeinsamen Nachweisstruktur zusammenführen.

Wann kann KI in kritischer Infrastruktur Hochrisiko-KI sein?

Annex III des AI Act nennt KI-Systeme als Hochrisiko-Anwendungsfall, wenn sie als Sicherheitskomponenten bei der Verwaltung oder dem Betrieb kritischer digitaler Infrastruktur, im Straßenverkehr oder bei der Versorgung mit Wasser, Gas, Wärme oder Elektrizität vorgesehen sind.

Eine Sicherheitskomponente muss dabei eine echte Schutzfunktion haben. Dass ein System wichtig, technisch komplex oder in einem KRITIS-Unternehmen eingesetzt wird, reicht allein nicht aus.

Hochrisiko möglich

KI übernimmt eine unmittelbare Sicherheitsfunktion zum Schutz von Infrastruktur, Personen oder Sachwerten.

Einzelfall prüfen

KI beeinflusst Betriebsentscheidungen oder priorisiert kritische Vorgänge, ist aber nicht eindeutig Sicherheitskomponente.

Nicht automatisch Hochrisiko

reine Netzlastprognose, Ticketverwaltung, allgemeine Optimierung oder Predictive Maintenance ohne direkte Sicherheitsfunktion.

Auch wichtig: Systeme, die ausschließlich Cybersecurity-Aufgaben erfüllen, gelten nach der Begründung des AI Act nicht allein deshalb als Sicherheitskomponenten kritischer Infrastruktur. Sie können trotzdem unter NIS2 und andere Sicherheitsanforderungen fallen.

Mini-Test: Wo besteht bei Ihrem Stadtwerk Prüfbedarf?

Nutzen wir KI in Leitstellen, Anlagen, OT oder Versorgungssystemen?
Hat ein KI-System eine unmittelbare Sicherheitsfunktion?
Beeinflusst KI Alarmierung, Eskalation oder Betriebsentscheidungen?
Nutzen Lieferanten- oder Cloud-Lösungen unbekannte KI-Funktionen?
Werden OT-, Sensor-, Netz-, Log- oder personenbezogene Daten verarbeitet?
Kann ein Fehloutput Versorgung oder Sicherheit beeinflussen?
Ist menschliche Übersteuerung technisch und organisatorisch möglich?
Werden KI-Outputs, Overrides und Freigaben protokolliert?
Sind KI-Risiken im NIS2-/ISMS-Risikomanagement sichtbar?
Gibt es einen Prozess für KI-Fehlfunktionen und den Rückfall auf manuelle Steuerung?

Risiko-Matrix für KI in Stadtwerken, OT und KRITIS

Einsatz	AI-Act-Einordnung	NIS2-/OT-Thema	Wichtiger Nachweis
Sicherheitskritische Anlagenüberwachung	Hochrisiko möglich, wenn echte Sicherheitskomponente	Ausfall, Manipulation, Fehlalarm	Zweck, Sicherheitsfunktion, Validierung, Oversight, Logs
Netzlastprognose	nicht allein deshalb Hochrisiko	Verfügbarkeit, Datenqualität, Abhängigkeit	Modellzweck, Grenzen, Monitoring, Freigabeprozess
Predictive Maintenance	häufig außerhalb Annex III, sofern keine Sicherheitsfunktion	falsche Wartungspriorität, Anlagenstillstand	Grenzen, Prüfschritte, Verantwortliche, Review
Leckage-/Überlauferkennung	Hochrisiko möglich, wenn Sicherheitskomponente der Wasserversorgung	Gesundheit, Versorgung, Fehlklassifikation	Daten, Grenzwerte, Alarmierung, Oversight, Incident-Prozess
KI-Cybersecurity	nicht allein wegen Cybersecurity Annex-III-Hochrisiko	False Positives, False Negatives, Manipulation	SOC-Prozess, Tests, Incident-Verknüpfung, Eskalation
Lieferanten-KI	abhängig vom vorgesehenen Zweck	Lieferkette, Cloud, Updates, Fernzugriff	Lieferantenprüfung, Dokumentation, Update- und Audit-Rechte

NIS2 und EU AI Act in einem Governance-System zusammenführen

Die Systeme sollten nicht künstlich getrennt werden. Derselbe Lieferant, dieselbe Datenquelle oder dieselbe KI-Funktion kann gleichzeitig Cyber-, Betriebs- und KI-Risiken erzeugen.

Thema	NIS2	AI Act / KI-Governance	Gemeinsame Lösung
Inventar	Assets und Risiken	KI-Systeme und Zweck	KI-Inventar mit Asset-Bezug
Lieferkette	Dienstleister und Cyberrisiken	KI-Funktion und Anbieterinformationen	gemeinsamer Lieferantenfragebogen
Vorfall	Cyber-Incident und Wiederherstellung	Fehloutput, Drift, KI-Fehlfunktion	gemeinsame Incident- und Eskalationslogik
Mensch	Verantwortung und Schulung	KI-Kompetenz und Human Oversight	Rollen- und Schulungskonzept
Management	Cyberrisiken und Maßnahmen	KI-Risiken und Freigaben	integriertes Management-Reporting

KI-Inventar für Stadtwerke und KRITIS

Der erste praktische Schritt ist Sichtbarkeit. Das Stadtwerk sollte wissen, welche KI-Funktionen intern, in OT-Systemen und über externe Anbieter überhaupt vorhanden sind.

System & Anbieter

Produkt, Hersteller, Dienstleister, Version, Betriebsmodell und Verantwortliche.

Zweck

Analyse, Prognose, Alarmierung, Sicherheit, Wartung oder Entscheidungsunterstützung.

Daten & Schnittstellen

OT-Daten, Sensorik, Logs, personenbezogene Daten, Cloud- und Fernzugriffe.

Sicherheitsfunktion

Prüfen, ob die KI tatsächlich eine Sicherheitskomponente im Sinne des AI Act ist.

Human Oversight

Prüfen, übersteuern, stoppen, eskalieren und manuell zurückfallen.

Nachweise

Tests, Logs, Freigaben, Lieferantendokumentation, Schulung und Reviews.

Lieferanten-Compliance: Versteckte KI-Funktionen sichtbar machen

Ein Stadtwerk kauft häufig kein Produkt mit dem Namen „KI-System“. KI kommt als neue Funktion eines SCADA-nahen Tools, einer Cloud-Plattform, Fernwartungslösung, Sicherheitssoftware oder Analyseplattform ins Unternehmen.

Fragen, die Lieferanten beantworten sollten:

Welche KI- oder Machine-Learning-Funktionen enthält das Produkt?
Was ist deren vorgesehener Zweck?
Welche Daten werden verarbeitet?
Welche technische Dokumentation steht zur Verfügung?
Wie werden Robustheit und Fehlverhalten getestet?
Welche Logging-Funktionen sind vorhanden?
Kann die KI übersteuert oder deaktiviert werden?
Wie werden Modell- und Softwareänderungen angekündigt?
Welche Cybersecurity-Nachweise liegen vor?
Welche Audit- und Kontrollrechte erhält der Betreiber?

Human Oversight in Leitstelle und OT

Menschliche Aufsicht muss praktisch funktionieren. Gerade in einer Leitstelle reicht es nicht, dass theoretisch jemand widersprechen könnte.

Kontrolle	Praxis	Nachweis
Verstehen	Zweck und Grenzen des Systems kennen	Schulung, Systemsteckbrief
Plausibilisieren	Output vor kritischer Wirkung prüfen	Prüf- oder Freigabelog
Übersteuern	KI-Empfehlung ändern oder ablehnen	Override-Protokoll
Stoppen	KI deaktivieren und Fallback starten	Notfall-SOP und Test
Begründen	Abweichungen dokumentieren	Operator-, Zeit- und Anlagenbezug

Wenn nicht der Hacker, sondern die KI selbst das Problem ist

Klassische Incident-Prozesse konzentrieren sich häufig auf Angriffe, Malware, Ausfälle und kompromittierte Systeme. KI erweitert dieses Bild.

systematisch falsche KI-Empfehlungen
ungewöhnlich viele False Positives oder False Negatives
Modell- oder Daten-Drift
fehlerhafte Priorisierung von Alarmen
nicht nachvollziehbare Modelländerungen
Ausfall einer KI-Komponente
unzulässige Datenverarbeitung
fehlgeschlagene Übersteuerung oder manuelle Rückfallprozesse

Deshalb sollten KI-Fehlfunktionen mit dem bestehenden Incident-, Business-Continuity- und Eskalationssystem verbunden werden.

10-Punkte-Checkliste für Stadtwerke und KRITIS

KI-Systeme und versteckte KI-Funktionen erfassen.
Zweck und Betriebsbereich dokumentieren.
Prüfen, ob eine Sicherheitskomponente vorliegt.
KI-Risiken mit NIS2-/ISMS-Risikomanagement verbinden.
Lieferanten und technische Dokumentation prüfen.
Human Oversight und Override definieren.
OT-Logbuch und Audit Trail aufbauen.
KI-Fehlfunktionen in Incident-Prozesse aufnehmen.
Fallback und manuelle Steuerung testen.
IT, OT, Leitstelle, Management und Compliance gezielt schulen.

Diese Prozesse nicht für jeden KI-Anwendungsfall neu erfinden

Das Stadtwerke & Wasser KRITIS Compliance-Kit liefert 100 Master-Prompts für AI-Act-Einstufung, Lieferantenprüfung, OT-Risiken, Human Oversight, KI-Logbücher, Incident-Prozesse, Business Continuity, Schulung und Management-Kommunikation.

100 KRITIS Master-Prompts ansehen

Stadtwerke & Wasser KRITIS Compliance-Kit: 100 Master-Prompts

Sie erhalten 100 sofort nutzbare Master-Prompts für typische Aufgaben an der Schnittstelle von NIS2, EU AI Act, OT-Sicherheit und KI-Governance.

Modul I – AI-Act-Einstufung & Lieferanten-Compliance

40 Master-Prompts unter anderem für:

Hochrisiko-Einstufung
KRITIS-Relevanz
OT-Risikoanalyse
Verfügbarkeit und Robustheit
Lieferanten- und Herstellerfragen
technische Dokumentation
Logging-Funktionen
Support und Update-Prozesse
Audit-Rechte
Schulungsanforderungen

Modul II – Human Oversight & OT-Protokollierung

30 Master-Prompts unter anderem für:

Leitstellen-SOPs
Schichtführer-Anweisungen
Plausibilitätsprüfung
manuelle Übersteuerung
KI-Fehlerreaktion
Abweichungsbegründung
sichere Kommunikation
Operator- und Anlagenbezug
zentrale OT-Logbuchstruktur

Modul III – NIS2- & AI-Act-Verzahnung

30 Master-Prompts unter anderem für:

integriertes Risikomanagement
Incident-Management
NIS2-Meldeketten
Business Continuity
KI-Ausfallprozesse
Wiederherstellung manueller Steuerung
OT-/IT-Zusammenarbeit
Schulungspflichten
interne Kommunikation
Management-Reporting

OT-Logbuch: Welche Angaben lassen sich vorbereiten?

Das Kit enthält Prompt-Bausteine zur Vorbereitung einer zentralen OT-Logbuchstruktur, beispielsweise für:

Zeitstempel
KI-System und Version
Einsatztyp und Anlagenbezug
KI-Output
Ist-Wert oder reale Beobachtung
menschliche Entscheidung
Override und Begründung
Operator-ID
Anlagen-ID
NIS2- oder Incident-Referenz

Was das Kit im Betriebs- und Compliance-Alltag erleichtert

Nachvollziehbare KI-Prozesse

Empfehlungen, Overrides und menschliche Entscheidungen systematischer dokumentieren.

NIS2 + AI Act verbinden

Cybersecurity, OT-Betrieb und KI-Governance nicht mehr isoliert betrachten.

Lieferanten gezielter prüfen

Dokumentation, Logging, Updates, Support und Audit-Rechte strukturiert abfragen.

Audit-Vorbereitung

Logbücher, SOPs, Schulungsnachweise und Risikobewertungen systematischer vorbereiten.

So nutzen Sie die 100 KRITIS Master-Prompts

Passenden Prompt auswählen.
Anlage, KI-Modul, Leitstelle oder Prozess einsetzen.
Rollen, Meldewege und technische Rahmenbedingungen ergänzen.
Prompt in das verwendete KI-System kopieren.
Output technisch, organisatorisch, rechtlich und sicherheitsfachlich prüfen.
Geprüfte Fassung intern dokumentieren und freigeben.

Bei compliance-relevanter Nutzung empfiehlt sich eine nachvollziehbare Ablage von Prompt, Output, Datum, KI-System, Version, Zweck, verantwortlicher Stelle, Prüfschritt, menschlicher Entscheidung und Freigabe.

100 Master-Prompts für Stadtwerke, Wasserbetriebe, OT und KRITIS

AI-Act-Einstufung, Lieferantenprüfung, Human Oversight, OT-Protokollierung, Incident Management, Business Continuity und NIS2-Verzahnung in einem digitalen Compliance-Kit.

Stadtwerke & Wasser Compliance-Kit herunterladen

Digitales PDF • sofort verfügbar • 100 Master-Prompts • aktueller Checkoutpreis 99,00 €

Für wen ist das Compliance-Kit geeignet?

Stadtwerke und kommunale Versorger
Wasser- und Abwasserbetriebe
Energieversorger und Netzbetreiber
Betreiber kritischer Infrastrukturen
technische Leiter und Leittechnik-Verantwortliche
CISO und IT-Sicherheitsbeauftragte
OT-Security- und Incident-Response-Teams
Compliance-, Risiko-, Audit- und Governance-Verantwortliche
Organisationen mit KI für Prognosen, Anomalieerkennung, Wartung oder Steuerungsempfehlungen

Was das Compliance-Kit nicht ersetzt

Das Kit ist eine praktische Prompt-Sammlung und Dokumentationshilfe. Es ersetzt keine Rechtsberatung, NIS2- oder KRITIS-Prüfung, technische Sicherheitsbewertung, OT-Risikoanalyse, Zertifizierung oder verbindliche regulatorische Bewertung. Alle erzeugten Ergebnisse müssen an Organisation, Anlagen, OT-Systeme, Sicherheitsarchitektur und konkrete Pflichten angepasst und fachlich geprüft werden.

Offizielle Quellen zu NIS2 und EU AI Act

FAQ – NIS2, EU AI Act, Stadtwerke & KRITIS

Gilt NIS2 in Deutschland bereits?

Ja. Das deutsche Gesetz zur Umsetzung der NIS-2-Richtlinie ist am 6. Dezember 2025 in Kraft getreten. Ob ein konkretes Stadtwerk oder Unternehmen betroffen ist, hängt unter anderem von Sektor, Tätigkeit, Größe und Einrichtungsart ab.

Ist jede KI in einem Stadtwerk Hochrisiko-KI?

Nein. Für die Hochrisiko-Kategorie kritischer Infrastruktur ist insbesondere relevant, ob ein KI-System als Sicherheitskomponente bei der Verwaltung oder dem Betrieb kritischer Infrastruktur vorgesehen ist.

Ist Predictive Maintenance automatisch Hochrisiko-KI?

Nein. Ein Predictive-Maintenance-System ist nicht allein deshalb Hochrisiko-KI, weil es in kritischer Infrastruktur eingesetzt wird. Entscheidend ist insbesondere, ob es eine Sicherheitskomponente im Sinne des AI Act darstellt.

Ist KI für Cybersecurity automatisch Hochrisiko-KI?

Nein. Systeme, die ausschließlich Cybersecurity-Zwecken dienen, gelten nach der Begründung des AI Act nicht allein deshalb als Sicherheitskomponenten kritischer Infrastruktur. Sie können dennoch umfangreichen Cybersecurity- und NIS2-Anforderungen unterliegen.

Ab wann gelten die Annex-III-Hochrisikoregeln?

Nach dem aktuellen EU-Zeitplan gelten die Regeln für Hochrisiko-KI-Systeme nach Annex III ab dem 2. Dezember 2027.

Was bedeutet Human Oversight in der Leitstelle?

Qualifiziertes Personal muss KI-Ausgaben verstehen, plausibilisieren und bei Bedarf übersteuern können. Für kritische Prozesse sollten zusätzlich Eskalations-, Abschalt- und manuelle Rückfallverfahren definiert werden.

Warum ist die Lieferantenprüfung so wichtig?

Viele KI-Funktionen gelangen über Drittanbieter-Software, Cloud-Dienste, Fernwartung oder Updates in die Organisation. Lieferanten sollten deshalb unter anderem zu KI-Funktionen, Datenflüssen, technischer Dokumentation, Logging, Robustheit, Updates und Audit-Rechten befragt werden.

Was enthält das Stadtwerke & Wasser KRITIS Compliance-Kit?

Das Kit enthält 100 Master-Prompts: 40 Prompts für AI-Act-Einstufung und Lieferanten-Compliance, 30 Prompts für Human Oversight und OT-Protokollierung sowie 30 Prompts für die Verzahnung von NIS2 und AI Act.

Ersetzt das Compliance-Kit ein NIS2- oder OT-Audit?

Nein. Das Kit bietet Master-Prompts und Dokumentationshilfen zur internen Vorbereitung. Es ersetzt keine Rechtsberatung, technische Sicherheitsprüfung, OT-Risikoanalyse, KRITIS-Bewertung, Zertifizierung oder formales Audit.

100 KRITIS Master-Prompts jetzt herunterladen

Digitaler Download • kein Versand • sofort nach dem Kauf verfügbar

NIS2 & EU AI Act Stadtwerke 2026: KI Compliance, OT-Sicherheit & KRITIS Audit