> ## Content Index > Fetch the complete content index at: https://www.mrak.at/llms.txt > Use this file to discover other available public pages before exploring further. # Zwei Umspannwerke in zwei Tagen: NIS2 gehört in die Abwehr hybrider Angriffe - URL: https://www.mrak.at/zwei-umspannwerke-in-zwei-tagen-nis2-gehort-in-die-abwehr-hybrider-angriffe/ - Published: 2026-09-02T09:09:44.000Z - Updated: 2026-09-02T09:09:44.000Z - Author: Michael Mrak - Tags: nis2, business-continuity, isms Am Dienstagmorgen, dem 1\. September 2026, stellte die Polizei am Umspannwerk Turnow-Preilack im Landkreis Spree-Neiße eine Beschädigung an einer Leitung fest. Vor Ort fanden die Einsatzkräfte eine zweistellige Zahl unkonventioneller Spreng- und Brandvorrichtungen, nach Darstellung des Übertragungsnetzbetreibers 50Hertz selbstgebaute Flugkörper, die handelsüblichen Feuerwerksraketen ähneln. Brandenburgs Innenminister sprach von systematischem Vorgehen: Ziel sei gewesen, über leitfähiges Material Kurzschlüsse auszulösen. In zwei Fällen ist das gelungen. Die Leag meldete in der Folge den automatisierten Ausfall von Block B im Kraftwerk Jänschwalde. Über dieses Umspannwerk speist das Kraftwerk in das Netz von 50Hertz ein, von dort verläuft eine der beiden zentralen Leitungen nach Berlin. Am selben Abend gegen 20 Uhr fiel im Umspannwerk Bergheim-Rheidt im Rhein-Erft-Kreis nach einem Kurzschluss eine Reihe von Leitungen aus. Zunächst wurde eine technische Störung angenommen. Inzwischen schließt die ermittelnde Polizei Essen einen technischen Defekt aus und geht von einer vorsätzlichen Tat aus. Die Anlage gehört Amprion und liegt in der Nähe des Kraftwerks Niederaußem. Ob ein Zusammenhang zwischen den beiden Vorfällen besteht, ist offen. In beiden Fällen blieb die allgemeine Versorgung stabil. Das ist die gute Nachricht und zugleich die gefährlichste Lesart, denn sie legt nahe, es sei nichts passiert. Bei Turnow-Preilack half nach Angaben des Netzbetreibers auch das Wetter mit Sonne und Wind. Resilienz, die vom Wetter abhängt, ist keine Resilienz, sondern Glück. ## Das Muster ist klar erkennbar Wer die letzten Monate nebeneinanderlegt, sieht keine Häufung von Zufällen. Im Jänner 2026 legte ein Brandanschlag auf eine Kabelbrücke im Südwesten Berlins rund 45.000 Haushalte und mehr als 2.200 Betriebe, darunter Krankenhäuser und Pflegeheime, tagelang lahm; dazu bekannten sich die linksextremen sogenannten Vulkangruppen. Im März 2024 stoppte ein Brandanschlag auf einen Strommast die Produktion in Grünheide. Anfang August 2026 wurde am Flughafen Leipzig/Halle **eine mit Sprengstoff bestückte Drohne** entdeckt, **die nach Ermittlerangaben auf ein ukrainisches Frachtflugzeug gerichtet war**; **hier macht die deutsche Bundesregierung explizit Russland verantwortlich**, eine förmliche Zuordnung steht aus. In Italien traf im Februar 2026 eine koordinierte Sabotageserie die Bahninfrastruktur. > Das Täterspektrum reicht von staatlich gesteuerten Akteuren über Stellvertreter bis zu inländischem Extremismus, und genau diese Unschärfe ist Teil der Methode. Hybride Angriffe zielen darauf, unterhalb der Schwelle zu bleiben, ab der eine klare Zuordnung und eine klare Antwort möglich wären. Für den Betreiber einer Anlage ist die Motivlage im Moment des Vorfalls ohnehin zweitrangig. Was zählt, ist, ob und wie die Organisation den Ausfall bemerkt, aushält, meldet und wieder in den Griff bekommt. ## Warum das ein NIS2-Thema ist, auch wenn kein Bit angegriffen wurde Es hält sich hartnäckig die Vorstellung, NIS2 regle nur Cybersicherheit im engeren Sinn, also Computer, Firewalls, Patches und Awareness. Das ist eine Verkürzung, die der Rechtstext nicht hergibt. Art. 21 Abs. 2 NIS-2-RL verlangt ausdrücklich einen gefahrenübergreifenden Ansatz, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen. **Erwägungsgrund 79 beschreibt klar, was gemeint ist: Diebstahl, Feuer, Überschwemmung, Telekommunikations- und Stromausfälle sowie unbefugter physischer Zugang.** Das österreichische NISG 2026 folgt dieser Systematik in § 32 nahezu wörtlich. Die Anschlussfähigkeit an den Fall lässt sich direkt an den Maßnahmengruppen des § 32 Abs. 4 NISG 2026 zeigen. Die Bewältigung von Sicherheitsvorfällen nach lit. b setzt voraus, dass eine Störung überhaupt als möglicher Angriff klassifiziert wird und nicht neun Stunden lang als technischer Defekt läuft. Die Aufrechterhaltung des Betriebs samt Wiederherstellung und Krisenmanagement nach lit. c ist der Unterschied zwischen einem beherrschten Ausfall und einer Kaskade. Die Lieferkettensicherheit nach lit. d erfasst die Abhängigkeit von unmittelbaren Anbietern, und Strom ist die Vorleistung, ohne die keine andere funktioniert. Die gesicherte Notfallkommunikation nach lit. j ist genau dann relevant, wenn die eigene Produktivumgebung nicht mehr zur Verfügung steht. Dazu kommt die Meldeschiene. Wird ein Vorfall nach § 35 NISG 2026 als erheblich eingestuft, laufen die Fristen des § 34: Frühwarnung längstens binnen 24 Stunden, Meldung binnen 72 Stunden, jeweils ab Kenntnisnahme und an das zuständige sektorspezifische CSIRT, nicht an das Bundesamt für Cybersicherheit. Wer diese Unterscheidung erst im Ernstfall klärt, hat die Frist bereits verbraucht. ## NIS2 und RKEG sind zwei Hälften derselben Antwort Ehrlicherweise gilt: Ein Zaun, eine Videoüberwachung oder eine Drohnenabwehr am Umspannwerk folgen nicht aus NIS2\. Dafür gibt es in Österreich seit 1\. März 2026 das Resilienz [kritischer Einrichtungen-Gesetz](https://www.ris.bka.gv.at/eli/bgbl/i/2025/60/P0/NOR40272154?ref=mrak.at) (RKEG, BGBl. I Nr. 60/2025) samt der seit 15\. April 2026 geltenden RKE-Verordnung. Es setzt die CER-Richtlinie (EU) 2022/2557 um, deckt elf Sektoren ab und adressiert die physische und organisatorische Widerstandsfähigkeit, mit dem Bundesminister für Inneres als zuständiger Behörde und einer Einstufung per Bescheid nach § 11 RKEG. Entscheidend ist die Verzahnung: Kritische Einrichtungen im Sinne des RKEG gelten als wesentliche Einrichtungen nach dem NISG 2026 und unterliegen damit den Pflichten der §§ 29 bis 35, von der Registrierung über Governance und Risikomanagement bis zur Meldung. Der Gesetzgeber hat physische und digitale Resilienz also bewusst nicht getrennt. Wer die beiden Regime im Unternehmen in zwei Projekte mit zwei Verantwortlichen und zwei Risikoregistern zerlegt, arbeitet gegen die Konstruktion und produziert Lücken genau an der Nahtstelle, die Angreifer nutzen. Für die Praxis heißt das: Wer einen Einstufungsbescheid nach § 11 RKEG erwartet oder bereits erhalten hat, sollte die Risikoanalyse, den Resilienzplan und die Meldeprozesse gemeinsam mit der NISG-Betroffenheitsprüfung aufsetzen. Und wer als Netzbetreiber, Energieversorger oder Zulieferer bisher argumentiert hat, physische Sicherheit sei Sache des Werkschutzes, wird diese Argumentation gegenüber der Behörde nicht durchhalten. ## Auch relevant für alle, die nicht kritische Einrichtung sind > Der Großteil der Unternehmen im DACH-Raum wird weder nach RKEG eingestuft noch als wesentliche Einrichtung nach NISG 2026 erfasst. Betroffen sind sie trotzdem. Ein regionaler Stromausfall von mehreren Tagen, wie ihn Berlin im Jänner 2026 erlebt hat, trifft Produktion, Kühlketten, Rechenzentren, Zahlungsverkehr und Telefonie gleichzeitig. **Die dafür nötigen Vorkehrungen sind bekannt und werden trotzdem selten ernsthaft getestet**: eine Ausfallanalyse, die Strom als Ausfallszenario und nicht als Randbedingung führt, dokumentierte Wiederanlaufzeiten, ein Notstromkonzept mit realistischer Laufzeit und Betankungslogistik, eine Krisenorganisation, die auch ohne Telefonanlage und ohne Kollaborationsplattform erreichbar ist. **Ein Backup ohne getesteten Restore ist kein Nachweis, und ein Notstromaggregat ohne Lasttest existiert nicht.** Und auch die Lieferkette ist relevant in diesem Kontext. Kritische Einrichtungen und wesentliche Einrichtungen müssen die Sicherheit ihrer unmittelbaren Anbieter bewerten und vertraglich absichern. Diese Anforderungen kommen in den nächsten Monaten in Form von Fragebögen, Vertragsklauseln und Nachweisverlangen bei Lieferanten an, die selbst nie im Anwendungsbereich waren. **Ein ISO-27001-Zertifikat, ein Cyber Risk Rating oder eine strukturierte Selbstauskunft sind hier die üblichen Nachweisformen.** Wer das vorbereitet, verhandelt; wer es nicht vorbereitet, wird ausgetauscht. ## Der Zeitplan lässt keinen Puffer Für Österreich stehen die Termine fest. **Das NISG 2026 gilt ab 1\. Oktober 2026 ohne Übergangsfrist. Die Registrierung bei der Cybersicherheitsbehörde ist bis 31\. Dezember 2026 vorzunehmen (§ 29 Abs. 3). Die Selbstdeklaration nach § 33 Abs. 1 ist bis 30\. September 2027 fällig, gerechnet ab Eintritt der Registrierungspflicht und nicht ab der tatsächlichen Registrierung.** Ein Nachweis durch eine unabhängige Stelle kann frühestens ab 1\. Oktober 2028 verlangt werden. Parallel dazu laufen die Einstufungen nach dem RKEG. Bleibt ein Punkt, der klarerweise nicht in den Verantwortungsbereich der Unternehmen gehört. Kerstin Andreae vom BDEW hat es nach den jüngsten Vorfällen deutlich formuliert: Hunderttausende Kilometer Energienetz lassen sich nicht lückenlos durch die Betreiber schützen, und die Abwehr von Terrorismus und hybriden Bedrohungen darf nicht auf die Netzbetreiber abgewälzt werden. Das ist richtig. Diese Gefahren abzuwehren ist Aufgabe des Staates. Was Unternehmen jedoch leisten können und müssen, ist die andere Hälfte: **Angriffe früh erkennen, ihre Wirkung begrenzen, sauber melden und schnell wieder hochfahren.** Genau dafür ist NIS2 gebaut. Wer die Richtlinie und ihre nationale Umsetzung als Dokumentationsübung abarbeitet, hat den Zweck verfehlt. Wer sie als Mindestausstattung für einen Zustand versteht, in dem Sabotage an der Versorgungsinfrastruktur zum Normalfall geworden ist, liegt richtig. --- *Mrak Consulting e.U. begleitet Unternehmen bei der Betroffenheitsprüfung nach NISG 2026, beim Aufbau des ISMS und bei der Vorbereitung von Selbstdeklaration und Wirksamkeitsnachweis.* [*Kontakt*](https://mrak.at/kontakt?ref=mrak.at)