❓ Cyberangriffe auf Energieversorger über externe Dienstleister – Regulierungslücken in Nordrhein-Westfalen

Die Kleine Anfrage behandelt das wachsende Sicherheitsrisiko von Cyberangriffen auf Energieversorger und Netzbetreiber in Nordrhein-Westfalen. Anders als frühere Angriffe auf die Energieunternehmen selbst, zielen aktuelle Cyberangriffe auf die externen Dienstleister ab, die für diese tätig sind. Der Abgeordnete weist auf mehrere konkrete Fälle hin: Hamburger Energienetze (über das Unternehmen Enseco), Netze BW und Stuttgart Netze (über einen Montage-Dienstleister) sowie die Gemeinschaftsstadtwerke Kamen. Das zentrale Problem ist eine regulatorische Lücke: Während KRITIS-Betreiber (kritische Infrastruktur) zur Sicherung ihrer Lieferkette verpflichtet sind, unterliegen externe Dienstleister oft nicht der direkten Aufsicht des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Betroffene sind Energieversorger und Netzbetreiber in Nordrhein-Westfalen (kommunale Stadtwerke wie GSW Kamen, private Energieunternehmen), ihre externen Dienstleister (Software-Anbieter, Montage- und Zähler-Servicedienstleister) sowie Millionen von Kunden: Bei Hamburger Energienetze waren 117.050 Kundendatensätze betroffen; bei GSW Kamen rund 60.000 Kunden.

Der Abgeordnete stellt fünf Fragen an die Landesregierung: (1) Welche konkreten Erkenntnisse über Cyberangriffe auf Energieversorger in NRW gibt es, bei denen externe Dienstleister der Angriffsvektor waren? (2) Nach welchem festgelegten Verfahren koordinieren die Cybersicherheitsagentur NRW, das Landeskriminalamt, die ZAC NRW und das BSI ihre Arbeit bei Cybervorfällen? (3) Welche Maßnahmen hat die Landesregierung nach dem Angriff auf GSW Kamen vom 28. Juni 2026 ergriffen? (4) Welche über die Bundesvorgaben hinausgehenden Meldepflichten für Cybervorfälle existieren im NRW-Recht? (5) Welche Initiativen plant die Landesregierung auf Bundes- oder Landesebene, um Kontroll- und Regulierungslücken bei nicht direkt BSI-regulierten Dienstleistern zu schließen?

Das Dokument enthält nur die Fragen der AfD; die Antwort der Landesregierung liegt noch nicht vor. Der Abgeordnete belegt jedoch folgende Fakten: Am 16. Juli 2026 wurden Hamburger Energienetze via Enseco angegriffen (117.050 Kundendatensätze mit Namen, Anschriften, Zählernummern und Termindaten); Netze BW und Stuttgart Netze wurden via Montage-Dienstleister aus München angegriffen; am 28. Juni 2026 griffen Cyberkriminelle GSW Kamen an (60.000 Kunden, Netzwerke und Zahlungsverkehr beeinträchtigt). Auch im Februar 2024 wurde PSI Software SE (zentraler Softwareanbieter für Energieunternehmen) angegriffen. Das NIS2-Umsetzungsgesetz ist seit 6. Dezember 2025 in Kraft und verpflichtet KRITIS-Betreiber zur Lieferkettensicherheit, aber die BSI-Aufsicht richtet sich nur gegen die Betreiber selbst, nicht gegen ihre Dienstleister. NRW verfügt nach Aussage des Abgeordneten über keine eigenständige landesrechtliche Meldepflicht für Cybervorfälle, separate von den Bundesvorgaben.