Wasserversorger: Der vollständige NIS2-Leitfaden

Wasserversorger und Abwasserbetriebe sind nach NIS2-Anhang I Nr. 8 (Trinkwasser) und Anhang I Nr. 9 (Abwasser) als Wesentliche Einrichtung eingestuft - ohne Umsatzschwelle. Bereits ein kommunaler Wasserversorger, der mehr als 50.000 Menschen versorgt, ist KRITIS und damit der höchsten NIS2-Pflichtklasse zugeordnet. Dieser Leitfaden richtet sich an technische Leiter, Geschäftsführer und IT-Verantwortliche bei Wasserversorgern.

Wer ist betroffen?

Trinkwasserversorger fallen unter NIS2-Anhang I Nr. 8, Abwasserbetriebe unter NIS2-Anhang I Nr. 9. Die Schwelle: Versorger mit mehr als 50.000 versorgten Personen sind KRITIS (BSI-KritisV § 2 Nr. 24). Diese Betriebe sind Wesentliche Einrichtung nach § 28 Abs. 1 BSIG-neu.

Kleinere Versorger zwischen 50 und 50.000 versorgten Personen fallen unter NIS2-Anhang II - sofern sie mindestens 50 Mitarbeitende oder 10 Mio. EUR Umsatz haben. Sie sind dann Wichtige Einrichtung.

Ein kommunaler Wasserversorger mit 80.000 Einwohnern im Versorgungsgebiet ist Wesentliche Einrichtung nach NIS2-Anhang I. Für ihn gelten die strengsten Pflichten und höchsten Bußgelder.

Die Pflichten nach § 30 BSIG-neu

§ 30 BSIG-neu listet sieben Pflichtkategorien, die für Wasserversorger durch den 24/7-Betrieb und die direkten Auswirkungen auf die öffentliche Gesundheit besonders relevant sind:

1. Risikoanalyse und -management: Prozessleitsysteme (SCADA/DCS), Pumpsteuerungen, Chlorierungsanlagen, Fernwirktechnik und Laborinformationssysteme müssen bewertet werden.
2. Incident Handling: Ein Cyberangriff auf die Chlorierungssteuerung ist ein unmittelbarer Gesundheitsschutzvorfall. Der Incident-Response-Prozess muss regulatorische Eskalation (BSI, Gesundheitsamt, Behörden) einschließen.
3. Business Continuity: 24/7-Wasserversorgung muss auch bei IT-Ausfall gewährleistet sein. Manuelle Steuerungsverfahren und redundante Kommunikationswege müssen dokumentiert sein.
4. Supply-Chain-Sicherheit: Systemintegratoren, Fernwirktechnik-Anbieter und Laborsoftware-Hersteller müssen auf Sicherheitsstandards geprüft werden. Vertragsklauseln nach § 30 Abs. 2 Nr. 4 BSIG-neu sind Pflicht.
5. Zugangskontrolle und MFA: Zugang zu Prozessleitsystemen und Fernwirktechnik muss durch MFA gesichert sein. Insbesondere: kein ungesicherter Remote-Zugriff auf Pumpensteuerungen.
6. Verschlüsselung: Steuerungsdaten, Betriebsprotokolle und Kundendaten müssen verschlüsselt übertragen und gespeichert werden.
7. Schulung und Awareness: Betriebstechniker, Disponenten und Verwaltung müssen regelmäßig zu Cybersicherheit geschult werden.

Fristen und Meldepflichten

BSI-Registrierung nach § 33 BSIG-neu binnen drei Monaten. Für Sicherheitsvorfälle nach § 32 BSIG-neu: Erstmeldung 24 Stunden, vollständige Meldung 72 Stunden, Abschlussbericht 30 Tage.

Für Wesentliche Einrichtungen in der Trinkwasserversorgung gilt: Jeder Cyberangriff auf Chlorierungs- oder Aufbereitungssteuerungen ist ein kritischer Vorfall mit Meldepflicht binnen 24 Stunden. Parallel ist das zuständige Gesundheitsamt zu informieren.

Bußgelder und persönliche Haftung

Wesentliche Einrichtung (Anhang I): bis 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes. Für kommunale Betriebe ohne internationalen Umsatz: 2 % des Gesamtumsatzes.

§ 38 BSIG-neu: Persönliche Haftung der Geschäftsführung für schuldhaft versäumte NIS2-Pflichten. In Kombination mit wasserrechtlicher Haftung (WHG, TrinkwV) und der Haftung gegenüber der Allgemeinheit bei Versorgungsunterbrechungen ist das persönliche Risiko erheblich.

DVGW-W1060 und NIS2: die Überlappung verstehen

Der DVGW-Arbeitsblatt W1060 "Informationssicherheit für die Wasser- und Abwasserwirtschaft" ist seit 2021 der Branchenstandard für IT-Sicherheit in der Wasserversorgung. Er beschreibt Anforderungen an Informationssicherheits-Management-Systeme (ISMS) speziell für Wasserversorger.

Die Überlappung mit NIS2 ist erheblich: Beide Regelwerke fordern Risikoanalyse, Notfallplanung, Supply-Chain-Bewertung und Incident Handling. Wer W1060-konform ist, erfüllt damit bereits wesentliche Teile der NIS2-Anforderungen nach § 30 BSIG-neu.

Wichtige Unterschiede: NIS2 fügt Meldepflichten an das BSI hinzu, die im W1060 so nicht vorgesehen sind. Außerdem bringt NIS2 die persönliche Geschäftsführerhaftung (§ 38 BSIG-neu), die im W1060 nicht adressiert wird. Für Wasserversorger, die bereits W1060 umsetzen, empfiehlt sich eine Gap-Analyse zwischen W1060-Konformität und NIS2-Anforderungen.

Erste Schritte

1. Bestimme deine Einordnung: Wesentliche Einrichtung (Anhang I, >50.000 Versorgungseinheiten) oder Wichtige Einrichtung (Anhang II, KMU-Schwellen)?
2. Kartiere alle vernetzten Steuerungssysteme: SCADA, Fernwirktechnik, Chlorierungssteuerung, Pumpstationen-Remote-Zugänge.
3. Führe eine W1060/NIS2-Gap-Analyse durch, wenn W1060-Implementierung bereits begonnen hat.
4. Überprüfe alle Remote-Zugänge auf Netzwerksteuerungssysteme.
5. Erstelle einen Incident-Response-Plan, der BSI-Meldung, Gesundheitsamt-Eskalation und Medien-Kommunikation umfasst.
6. Prüfe Lieferantenverträge auf Sicherheitsanforderungen.
7. Registriere dich beim BSI.

Typische Fehler vermeiden

OT-Systeme als nicht-IT behandelt: Pumpensteuerungen und SCADA-Systeme sind IT im NIS2-Sinne. Wer sie aus der Risikoanalyse ausnimmt, hat eine gefährliche Lücke.

Fernwirktechnik ohne VPN und MFA: Viele ältere Fernwirksysteme verwenden proprietäre Protokolle ohne starke Authentifizierung. Das ist unter NIS2 nicht mehr akzeptabel.

W1060 als ausreichend bewertet: W1060-Konformität erfüllt viele, aber nicht alle NIS2-Anforderungen. Die Meldepflichten und Geschäftsführerhaftung kommen zusätzlich.

BSI-Registrierung als Formalität unterschätzt: Die Registrierung löst den Pflichtenzyklus aus. Wer sich zu spät registriert, setzt sich dem Vorwurf aus, Pflichten bewusst verzögert zu haben.

Nutze den branchengenauen NIS2-Rechner für Wasserversorger, um deine Einordnung zu überprüfen.