Daten, Smart Meter Rollout und NIS-2: Stadtwerke unter doppeltem Aufsichtsdruck

Schwerpunkt 4 unserer Reihe für kommunale Energieversorger und der Abschluss vor dem Whitepaper-Launch am 18.05.2026. Mit den am 27.03.2026 eingeleiteten BNetzA-Aufsichtsverfahren gegen 77 Messstellenbetreiber und der Geltung des NIS-2-Umsetzungsgesetzes seit dem 06.12.2025 stehen Stadtwerke unter doppeltem Aufsichtsdruck. Hinzu kommen das KRITIS-Dachgesetz, die DSGVO und die enge Verzahnung mit § 14a EnWG.

Auf einen Blick

  • Die Bundesnetzagentur hat am 27.03.2026 77 Aufsichtsverfahren gegen Messstellenbetreiber eingeleitet, die mit dem Rollout intelligenter Messsysteme noch nicht begonnen haben.
  • Eine zweite Welle gegen Unternehmen mit Quote unter 20 Prozent ist angekündigt; nach Behördenangaben verfehlen 688 der 814 grundzuständigen Messstellenbetreiber die Vorgaben.
  • Das NIS-2-Umsetzungsgesetz gilt seit 06.12.2025 ohne Übergangsfrist; die BSI-Registrierungsfrist ist am 06.03.2026 abgelaufen.
  • Das KRITIS-Dachgesetz ergänzt NIS-2 um physische Resilienz; Registrierungsfrist 17.07.2026.
  • Die MsbG-Novelle bringt verbindliche MSB-Rahmenverträge zum 01.07.2026 mit eigenem Sanktionsregime.
  • Wir begleiten Stadtwerke sowohl in der präventiven Compliance als auch in der Verteidigung gegen aufsichtsbehördliche Maßnahmen.

Vier Regulierungsstränge auf einer Verantwortlichkeit

Bei kaum einem anderen Themenfeld zeigt sich die Regulierungsdichte für Stadtwerke 2026 so deutlich wie bei den Daten- und Digitalisierungsthemen. Vier Regulierungsstränge wirken gleichzeitig auf dieselben Personen, Systeme und Prozesse: das Messstellenbetriebsgesetz mit der eskalierenden Aufsichtspraxis der Bundesnetzagentur, das NIS-2-Umsetzungsgesetz mit Geschäftsleiterhaftung, das KRITIS-Dachgesetz mit physischen Schutzanforderungen und die DSGVO mit den datenschutzrechtlichen Vorgaben für hoch aufgelöste Energiedaten. Wer in der Geschäftsführung eines Stadtwerks für „Digitalisierung" zuständig ist, trägt damit faktisch vier parallele Compliance-Verantwortungen – mit der Besonderheit, dass die Schnittstellen der Stränge bislang nirgends sauber synchronisiert sind.

Wir gliedern den Beitrag entlang dieser vier Stränge und ihrer Schnittstellen. Im Mittelpunkt stehen die aktuell drängendste Frage – die BNetzA-Aufsichtsverfahren – und die Beratungsansätze, mit denen wir Stadtwerke sowohl präventiv als auch reaktiv begleiten.

Die BNetzA-Verfahren beim Smart Meter Rollout

Am 27.03.2026 hat die Bundesnetzagentur 77 Aufsichtsverfahren gegen grundzuständige Messstellenbetreiber eingeleitet, die zum Stichtag 31.12.2025 die gesetzlich vorgegebene 20-Prozent-Quote für den Rollout intelligenter Messsysteme nicht erreicht haben. Die Behörde hat eine zweite Welle gegen weitere Unternehmen angekündigt; nach öffentlich gewordenen Zahlen haben 688 der 814 grundzuständigen Messstellenbetreiber die Vorgaben verfehlt. BNetzA-Präsident Klaus Müller hat in seiner Stellungnahme deutlich gemacht, dass die Phase der Mahnungen vorbei sei.

Aktueller Stand

Auch wenn die aggregierte Quote über alle Messstellenbetreiber zum 31.12.2025 bei 20,2 Prozent lag und damit knapp erreicht wurde, ist die Verteilung zwischen den Marktteilnehmern höchst ungleich. Große Unternehmen liegen teils deutlich über der Quote, viele kleinere und mittlere Stadtwerke sind weit zurück. Genau diese individuelle Quote ist Gegenstand der BNetzA-Verfahren – nicht die Gesamtmarktentwicklung.

Das Verfahren ist gestuft aufgebaut. In der ersten Stufe erhalten die betroffenen Unternehmen rechtliches Gehör. Sie können darlegen, weshalb die Quote zum Stichtag nicht erreicht wurde. Wer triftige Gründe vorträgt – etwa nachweisbare Bemühungen um Dienstleister, technische Hürden oder Lieferengpässe bei Smart-Meter-Gateways – kann das Verfahren in dieser Stufe beenden. Wer keine oder keine ausreichende Stellungnahme einreicht, gelangt in die zweite Stufe: die Zwangsgeldandrohung mit Nachfrist bis 30.09.2026. Erfolgt bis dahin keine Quotenerreichung, folgt in der dritten Stufe die Festsetzung des Zwangsgelds. Nach öffentlich gewordenen Einschätzungen beginnt das Zwangsgeld bei 5.000 Euro und orientiert sich an der Zahl der betreuten Messlokationen.

Wichtig ist die juristische Einordnung: Ein Zwangsgeld ist kein Bußgeld. Es sanktioniert nicht das vergangene Verhalten, sondern dient der Durchsetzung künftiger Pflichterfüllung. Es kann mehrfach festgesetzt und in der Höhe gesteigert werden, bis die Pflicht erfüllt ist. Parallel bleibt die Möglichkeit ordnungswidrigkeitenrechtlicher Sanktionen unberührt. Im Extremfall – darauf weist auch der Entschließungsantrag des Bundestags vom Dezember 2025 hin – ist nach Auffassung von Experten sogar der Entzug der Grundzuständigkeit denkbar.

Beratungsansätze: Verteidigung, Vermeidung, Aufbau

Wir begleiten Stadtwerke in dieser Aufsichtskonstellation auf drei Ebenen. Diese Differenzierung ist wichtig, weil die strategische Ausrichtung davon abhängt, in welcher Stufe sich ein Unternehmen befindet.

1. Reaktive Verteidigung im laufenden BNetzA-Verfahren

Für Stadtwerke, die bereits ein Anhörungsschreiben der Bundesnetzagentur erhalten haben, ist die Stellungnahme das entscheidende Verfahrensinstrument. Wir prüfen die Verfahrensakte, identifizieren die belastbaren Argumente – etwa Lieferengpässe bei Smart-Meter-Gateways, fehlende Verfügbarkeit zertifizierter Geräte, Kapazitätsengpässe bei externen Dienstleistern oder spezifische Schwierigkeiten der Versorgungsstruktur – und formulieren die Stellungnahme so, dass sie sowohl die Quotenfrage als auch die Frage der unternehmerischen Sorgfalt adressiert. Erfahrungsgemäß ist die Dokumentation der Bemühungen entscheidend, nicht das bloße Bestreiten der Quote.

2. Begleitung in der Zwangsgeldandrohungsphase

Wer bereits in der zweiten Stufe ist, hat zwei Handlungsfelder: die Erfüllung der Quote bis zum 30.09.2026 mit allen verfügbaren Mitteln – häufig durch Kooperationen mit erfahrenen Messstellenbetreibern, Outsourcing oder beschleunigte Dienstleisterverträge – und die rechtliche Begleitung der Zwangsgeldandrohung. Wir prüfen, ob die Verhältnismäßigkeit der angedrohten Höhe gewahrt ist, ob die Nachfrist angesichts der konkreten betrieblichen Situation realistisch ist und welche Vortragsmöglichkeiten zu einer differenzierten Behandlung führen können. In begründeten Fällen kommen auch Rechtsmittel gegen die Zwangsgeldfestsetzung in Betracht.

3. Präventive Roadmap-Beratung

Für Stadtwerke, die bislang keine Anhörung erhalten haben, ist die Phase bis zum nächsten Stichtag entscheidend. Wir entwickeln gemeinsam mit der Geschäftsführung eine belastbare Rollout-Roadmap, prüfen Kooperationsmodelle mit anderen Messstellenbetreibern, strukturieren Dienstleisterverträge entflechtungs- und vergaberechtlich sauber und dokumentieren die unternehmerischen Bemühungen so, dass sie im Fall einer späteren Anhörung als Verteidigung dienen können. Diese Dokumentation ist nicht nur juristisch sinnvoll, sondern auch haftungsrechtlich gegenüber Aufsichtsräten und Gesellschaftern.

Praxishinweis

Wir empfehlen jedem Stadtwerk, das die 20-Prozent-Quote nicht oder nur knapp erreicht hat, die vollständige interne Dokumentation des Rollouts in einem strukturierten Verfahrensordner zu konsolidieren – mit Zeitstempeln zu Dienstleisteranfragen, Lieferzusagen, technischen Verzögerungen und Geschäftsführungsbeschlüssen. Diese Akte ist die Grundlage jeder späteren Stellungnahme gegenüber der Bundesnetzagentur und schützt zugleich die Geschäftsleitung in der eigenen Pflichtenprüfung.

NIS-2: Geschäftsleiterhaftung ohne Übergangsfrist

Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 13.11.2025 vom Bundestag verabschiedet, am 20.11.2025 vom Bundesrat bestätigt und am 05.12.2025 im Bundesgesetzblatt verkündet. Es gilt seit dem 06.12.2025 ohne Übergangsfrist. Die Registrierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik ist am 06.03.2026 abgelaufen. Stadtwerke, die sich nicht registriert haben, befinden sich seither im rechtswidrigen Zustand – die Nichtregistrierung ist ein eigenständiger Bußgeldtatbestand.

Inhaltlich verlangt das Gesetz von Energieversorgern als „besonders wichtigen Einrichtungen" ein Risikomanagement, das mindestens zehn Bereiche abdeckt: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Backup-Management und Wiederherstellung, Lieferkettensicherheit, Sicherheit beim Erwerb, der Entwicklung und Wartung von Informationssystemen, Bewertung der Wirksamkeit der Maßnahmen, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Die Meldepflichten sind streng getaktet: 24 Stunden Frühwarnung an das BSI, 72 Stunden qualifizierter Bericht, 30 Tage Abschlussbericht. Verstöße können mit erheblichen Bußgeldern geahndet werden; zugleich besteht eine persönliche Verantwortung der Geschäftsleitung. Das ist die kritischste Neuerung gegenüber dem alten BSI-Gesetz: Die Geschäftsleitung muss Cybersicherheitsmaßnahmen nicht nur veranlassen, sondern auch überwachen und sich entsprechend schulen lassen. Dieser Pflichtenkatalog wirkt unmittelbar in die Aufsichtsratsverantwortung hinein – wir empfehlen, die Cybersicherheitsstrategie regelmäßig in der Tagesordnung der Aufsichtsratssitzungen zu führen und entsprechend zu dokumentieren.

Für Energieversorger gilt eine Besonderheit: Nach dem NIS-2-Gesetz und dem EnWG werden die Anforderungen über den BNetzA-Sicherheitskatalog konkretisiert. Stadtwerke, die als Betreiber von Energieversorgungsnetzen oder Energieanlagen eingestuft sind, erfüllen die NIS-2-Anforderungen über die sektorspezifischen Vorgaben. Diese Verzahnung ist juristisch anspruchsvoll und in der Praxis häufig unterschätzt.

KRITIS-Dachgesetz: Die physische Schwester von NIS-2

Während das NIS-2-Umsetzungsgesetz die Cybersicherheit regelt, schließt das KRITIS-Dachgesetz die Lücke der physischen Resilienz. Das Gesetz wurde am 29.01.2026 vom Bundestag beschlossen und am 06.03.2026 vom Bundesrat bestätigt. Es ergänzt die NIS-2-Pflichten um sektorenübergreifende Mindeststandards für Brandschutz, Zutrittskontrolle, Sabotagesicherung und physische Resilienz. Betreiber kritischer Anlagen müssen sich bis zum 17.07.2026 registrieren.

Für Stadtwerke ist diese Schnittstelle besonders relevant: Wer als Betreiber kritischer Anlagen im Sinne des KRITIS-Dachgesetzes eingestuft ist, ist regelmäßig auch nach NIS-2 erfasst. Die Compliance-Pflichten greifen ineinander, werden aber teils von unterschiedlichen Behörden überwacht – BSI für die Cybersicherheit, BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) für die physischen Aspekte. Ein integriertes Compliance-System, das beide Stränge zusammenführt, ist nicht nur effizienter, sondern auch haftungsrechtlich tragfähiger.

MsbG-Novelle: Neues Sanktionsregime ab 01.07.2026

Parallel zu den BNetzA-Aufsichtsverfahren tritt zum 01.07.2026 die novellierte Fassung des Messstellenbetreiberrahmenvertrags in Kraft. Erstmals werden bundesweit verpflichtende Endkundenverträge (MSV-AN für Anschlussnehmer, MSV-LF für Lieferanten) eingeführt. Damit ersetzt die BNetzA-Festlegung faktisch die bislang dominierenden BDEW-Musterwerke. Verbunden ist die Novelle mit einem eigenen Sanktionsregime: Stamm- und Messdatenqualität wird sanktionsbewehrt, Pönalen drohen bei nicht fristgerechter Marktkommunikation. Hinzu kommt eine zweijährige Haltefrist nach Smart-Meter-Einbau, die einseitige Wechsel des Messstellenbetreibers während dieser Zeit ausschließt.

Aus Sicht der Stadtwerke entstehen damit zwei Aufgabenfelder: Erstens die operative Anpassung an die neuen verpflichtenden Endkundenverträge – mit unmittelbarer Wirkung für AGB, Kundenkommunikation und Abrechnungssysteme. Zweitens die prozessuale Vorbereitung auf das Sanktionsregime – mit Datenqualitäts-Management, automatisierten Marktkommunikationsprozessen und sauber dokumentierter Eskalationskette.

Schnittstelle zu § 14a EnWG

Die enge Verzahnung zwischen Smart Meter Rollout und § 14a EnWG hatten wir bereits in Schwerpunkt 2 unserer Reihe ausführlich beleuchtet. Im Kontext der aktuellen BNetzA-Aufsichtsverfahren wird die Schnittstelle aber operativ besonders relevant: Verbraucher mit § 14a-Anlagen (Wärmepumpen, Wallboxen, Speicher mit Steuerbox) gehören zum Pflichteinbau-Segment. Wer hier die Quote nicht erreicht, blockiert nicht nur die eigene Smart-Meter-Pflicht, sondern auch die Wirksamkeit der § 14a-Module – insbesondere des Moduls 3 mit zeitvariablem Netzentgelt.

Für Stadtwerke entsteht daraus ein weiteres Argument für eine integrierte Aufsichtsverteidigung: Die Verzögerung beim Smart Meter Rollout führt nicht nur zu BNetzA-Aufsichtsverfahren, sondern auch zu wirtschaftlichen Erlösausfällen bei den § 14a-Modulen und potenziellen Ansprüchen von Anschlussnehmern, denen das Modul 3 angeboten werden müsste. Diese Querverbindungen sollten in der Stellungnahme an die Bundesnetzagentur sichtbar gemacht werden, da sie die Notwendigkeit einer differenzierten Behandlung – statt schematischer Zwangsgeldandrohung – dokumentieren.

Datenschutz und Energiedaten

Smart-Meter-Daten sind nach der DSGVO personenbezogen. Die rechtmäßige Verarbeitung verlangt eine taugliche Rechtsgrundlage – in der Regel § 49 ff. MsbG als sektorspezifische Spezialregelung – sowie die Einhaltung der Grundsätze der Zweckbindung, Datenminimierung und Speicherbegrenzung. Drei Konstellationen sind in unserer Beratungspraxis besonders konfliktanfällig: erstens die Weitergabe von Messdaten an Aggregatoren oder Mehrwertdienstleister, zweitens die Nutzung von Smart-Meter-Daten für Vertriebszwecke des Stadtwerks und drittens die Schnittstelle zwischen MsbG-Vorgaben und DSGVO bei Drittanforderungen.

Das Spannungsfeld wird sich mit dem Voranschreiten des Rollouts und der Einführung dynamischer Tarife weiter verschärfen. Wer die DSGVO-Compliance heute sauber aufstellt, vermeidet später Aufsichtsrisiken durch die Datenschutzaufsichtsbehörden – und schafft die Grundlage für datenbasierte Geschäftsmodelle, etwa im Bereich Flexibilität oder Energy Sharing.

Was Stadtwerke jetzt auf die Agenda nehmen sollten

1. Smart-Meter-Rollout: Lage einordnen, Verteidigung vorbereiten

Wir empfehlen jedem Stadtwerk eine kurzfristige Standortbestimmung: Quote zum 31.12.2025, Status laufender BNetzA-Anhörungen, vollständige Dokumentation der Rollout-Bemühungen, Roadmap für 2026 und 2027. Die Phase bis 30.09.2026 ist verfahrensentscheidend.

2. NIS-2-Compliance verifizieren

BSI-Registrierung erfolgt? Risikomanagement nach den zehn NIS-2-Bereichen aufgesetzt? Meldeprozesse für 24h/72h/30-Tage etabliert? Geschäftsleitung geschult und in der Aufsichtsratsdokumentation sichtbar?

3. KRITIS-Dachgesetz: Frist 17.07.2026 einhalten

Einstufung als Betreiber kritischer Anlagen prüfen, physische Resilienzmaßnahmen mit dem NIS-2-Risikomanagement integrieren, Registrierung beim BBK rechtzeitig veranlassen.

4. MsbG-Novelle: Vorbereitung auf 01.07.2026

Endkundenverträge (MSV-AN, MSV-LF) anpassen, Datenqualitäts-Management aufbauen, Marktkommunikationsprozesse pönalfest aufstellen.

5. DSGVO-Compliance bei Energiedaten

Rechtsgrundlagen für die Datenverarbeitung dokumentieren, Verarbeitungsverzeichnis aktuell halten, Drittweitergabe-Prozesse rechtssicher strukturieren.

Fazit

Die Daten- und Digitalisierungsthemen sind 2026 das Feld mit dem höchsten unmittelbaren Aufsichtsdruck für Stadtwerke. Mit den BNetzA-Verfahren beim Smart Meter Rollout, dem in Kraft getretenen NIS-2-Umsetzungsgesetz und dem KRITIS-Dachgesetz greifen erstmals Regulierungsstränge mit konkreten Sanktionsfolgen direkt in die operative Verantwortung der Geschäftsleitung ein. Wir begleiten Stadtwerke in dieser Phase präventiv – durch belastbare Roadmaps und Compliance-Strukturen – und reaktiv – durch Stellungnahmen, Verteidigung in Aufsichtsverfahren und Eingriff in die Verfahrensführung der Bundesnetzagentur, wo dies geboten ist.

Damit schließt unsere Reihe „Stadtwerke 2026". Am kommenden Montag, 18.05.2026, veröffentlichen wir das Whitepaper, das alle vier Schwerpunkte zusammenführt und in eine integrierte Roadmap überführt. Wir bedanken uns bei allen, die unsere Reihe verfolgt, kommentiert und mit Hinweisen begleitet haben.

Reihe „Stadtwerke 2026"

BNetzA-Verfahren, NIS-2 oder MsbG-Compliance: Wir begleiten Sie

Wir beraten Stadtwerke und kommunale Energieversorger sowohl präventiv – beim Aufbau einer belastbaren Smart-Meter-Roadmap, der NIS-2- und KRITIS-Compliance und der Vorbereitung auf die MsbG-Novelle – als auch reaktiv: in laufenden BNetzA-Aufsichtsverfahren, in der Stellungnahme zur Anhörung, in der Verteidigung gegen Zwangsgeldandrohungen und in der gerichtlichen Überprüfung aufsichtsbehördlicher Maßnahmen.

Jetzt Kontakt aufnehmen
Autor

Jasper Stein

Rechtsanwalt und Geschäftsführer der Stein Rechtsanwaltsgesellschaft mbH

Dieser Beitrag ersetzt keine Einzelfallberatung. Die geschilderten Beobachtungen aus der Beratungspraxis sind allgemein gehalten und geben keine konkreten Mandatsverhältnisse wieder. Der dargestellte Stand der BNetzA-Aufsichtsverfahren, des NIS-2-Umsetzungsgesetzes, des KRITIS-Dachgesetzes und der MsbG-Novelle gibt die zum Zeitpunkt der Veröffentlichung öffentlich verfügbaren Informationen wieder.

EnergierechtJasper SteinStein Rechtsanwälte SteuerberaterStadtwerke, Smart Meter, Datenschutz, Energierecht, Digitalisierung, KRITIS