NIS2 Trinkwasser & Abwasser: Pflichten 2026

In einem Satz. Betreiber von Trinkwasser- und Abwasserdiensten müssen ihren Anwendungsbereich nach dem geltenden BSI-Gesetz prüfen und, wenn sie erfasst sind, insbesondere Cyberrisiken, Vorfälle und die Abhängigkeit ihrer IT- und OT-Systeme kontrollieren. Die Einstufung als wichtige oder besonders wichtige Einrichtung und eine mögliche zusätzliche KRITIS-Eigenschaft sind getrennt zu dokumentieren.

Ein Ausfall oder eine Manipulation der Steuerung kann Versorgungsqualität und Verfügbarkeit berühren. Viele Betreiber sind Teil kommunaler Stadtwerke — für sie gilt zusätzlich unser Leitfaden zu NIS2 im Energiesektor und für Stadtwerke. Die Datenschutzpflichten kommunaler Versorger betreffen andere Daten und Meldewege; beide Prüfungen sollten abgestimmt werden. Siehe ergänzend NIS2 Deutschland.

Wichtige Punkte

• Tätigkeit, Größe und Sonderregeln bestimmen die Einstufung; die Anlage ist gesondert auf KRITIS-Pflichten zu prüfen.
• ICS/SCADA-Schutz muss auf die tatsächlichen Prozessrisiken abgestimmt werden.
• Meldewege und Fristen sind für erhebliche Sicherheitsvorfälle vorab festzulegen.
• IEC 62443 kann bei der Strukturierung technischer Maßnahmen helfen.

1. Geltungsbereich

Trinkwassergewinnung und -verteilung sowie Abwassersammlung und -behandlung sind im europäischen Sektorkatalog erfasst. Ob ein konkreter Rechtsträger nach deutschem Recht als wichtige oder besonders wichtige Einrichtung gilt, hängt von der jeweiligen Einrichtungsart, Größe und Ausnahmen ab. Eine Anlage kann zusätzlich die Schwelle der BSI-Kritisverordnung erreichen. Der Betreiber dokumentiert jede Prüfung getrennt.

2. ICS/SCADA-Risiken

• Stuxnet-ähnliche Angriffe auf Steuerungssysteme.
• Manipulation Dosierung Chemikalien (Chlor).
• Überlastung exponierter Management- und Fernzugangsdienste.
• Ransomware auf Office-IT mit Übergreifen auf OT.
• Insider-Threats.

3. Risikomanagement nach § 30 BSIG

• Risikomanagement-Konzept.
• IT/OT-Trennung mit DMZ.
• Patch-Management OT (mit Anlagenherstellern abgestimmt).
• Backup und BCM.
• Mitarbeiterschulung.
• Geschäftsführer-Schulung.

4. Meldepflichten

• Bei einem erheblichen Sicherheitsvorfall prüfen Verantwortliche die gestuften Meldepflichten des aktuellen BSIG und den für ihre Kategorie geltenden BSI-Meldeweg; für Betreiber kritischer Anlagen gilt übergangsweise vorrangig das MIP.
• Fachrechtliche Meldewege, etwa bei einem Risiko für die Trinkwasserqualität, werden zusätzlich und getrennt geprüft.

5. IEC 62443

Internationaler Standard für ICS-Security:

• Zonen- und Conduit-Modell.
• Security Level 1-4.
• Anforderungen an Komponenten (CR), Systeme (SR).
• Zertifizierungsmöglichkeit.

6. Konkrete Maßnahmen OT

• Netzwerksegmentierung (Office, OT, Steuerung).
• Datendiode für höchste Sicherheit.
• Strenge Authentisierung Fernwartung (PAM, Session-Recording).
• Whitelist-basierte Kommunikation.
• Monitoring mit OT-spezifischem IDS (Claroty, Nozomi, Dragos).

7. KRITIS-Sektorstandards (B3S)

• Ein geeigneter branchenspezifischer Sicherheitsstandard kann die Auswahl und Dokumentation von Maßnahmen unterstützen.
• Welche Nachweise und Prüfzyklen für die konkrete Anlage gelten, ergibt sich aus ihrem Rechtsstatus und den jeweils anwendbaren Anforderungen.
• Eine B3S-Nutzung ersetzt die eigenständige Einstufung und Risikobewertung nicht.

8. Lieferkettenrisiken

• Drittwartung und Hersteller-Fernzugriff müssen in den Risikoprozess einbezogen werden.
• Firmware, Ersatzteile und Supportfristen sollten je kritischer Komponente nachvollziehbar sein.
• Sicherheitsanforderungen und Incident-Kontakte gehören in die Lieferantenvereinbarung.

9. Werkzeugunterstützung

Ein Werkzeug kann Inventar, Maßnahmen und Vorfälle dokumentieren; seine Eignung muss an den tatsächlichen OT- und Nachweisanforderungen geprüft werden.

Vom Geltungsbereich zur belastbaren Einstufungsakte

Der erste Arbeitsschritt eines Wasser- oder Abwasserbetriebs ist nicht die Anschaffung eines OT-Produkts, sondern die Abgrenzung der Rechtsträger und Dienstleistungen. Ein kommunaler Konzern kann Trinkwasser gewinnen und verteilen, Abwasser behandeln, Strom liefern und daneben Verwaltungs-IT für Dritte betreiben. Diese Tätigkeiten sollten getrennt erfasst werden: Welche juristische Person erbringt welche Dienstleistung, in welchem Gebiet, mit wie vielen Beschäftigten und mit welchen finanziellen Kenngrößen? Welche Anlage unterliegt zusätzlich den Regelungen für kritische Anlagen? Die NIS-2-Einstufung einer Einrichtung und die KRITIS-Einstufung einer konkreten Anlage sind zwei verschiedene Prüfungen. Eine Tabellenzeile mit „Stadtwerk = wesentlich“ ist deshalb kein tragfähiges Ergebnis.

Die Akte sollte die einschlägige Fassung des BSI-Gesetzes und die Anlagen zur Einrichtungskategorie nennen. Daneben gehört die aktuelle BSI-Kritisverordnung für die Schwelle einer bestimmten Anlage. Größe, Tätigkeit und gegebenenfalls Sondertatbestände werden dokumentiert; nicht passende Tätigkeiten werden begründet ausgeschlossen. Bei Zweckverbänden ist zusätzlich festzuhalten, ob der Verband selbst Betreiber und Vertragspartner ist oder ob die Aufgaben auf Mitgliedskommunen beziehungsweise ein Unternehmen verteilt sind. Der Beschluss über die Einstufung benötigt eine verantwortliche Person, Prüfdatum und Wiedervorlage bei Fusion, neuer Anlage oder geändertem Versorgungsgebiet. Für die allgemeine Zuordnung hilft die NIS-2-Übersicht für Deutschland, sie ersetzt die eigene Subsumtion aber nicht.

OT-Inventar mit Wiederanlaufreihenfolge

Ein Wasserwerk braucht ein Inventar, das den physischen Prozess beschreibt. Beginnen Sie bei Entnahme, Aufbereitung, Speicherung, Druckhaltung und Verteilung; in der Abwasseranlage bei Zulauf, Becken, Gebläsen, Dosierung, Schlammbehandlung und Einleitung. Für jeden Schritt erfassen Sie SPS, HMI, Historian, Leitwarte, Sensorik, Fernwirkstrecke, Dienstleisterzugang, Firmwarestand und die verantwortliche Fachkraft. Eine zentrale Office-CMDB enthält häufig nur Server und Laptops; damit fehlen die Geräte, deren Fehlsteuerung Versorgung oder Umwelt unmittelbar berühren kann.

Markieren Sie pro Prozess den tolerierbaren Ausfall, einen sicheren manuellen Betriebszustand und die benötigte Ersatzversorgung. Ein Beispiel: Wenn die zentrale Leitwarte nicht verfügbar ist, muss der Schichtleiter wissen, welche Pumpen lokal bedient werden dürfen, wer Grenzwerte überwacht und wie Laborergebnisse in den Entscheidungsweg gelangen. Ein RTO für den Büro-Mailserver darf diese Priorität nicht bestimmen. Stimmen Sie den Business-Continuity-Plan nach BSI 200-4 deshalb mit dem technischen Betriebsführer ab und üben Sie einen Szenario-Wechsel auf manuelle Verfahren unter Aufsicht der Anlagenverantwortlichen.

Netzgrenzen und Fernwartung konkret prüfen

IT/OT-Segmentierung wirkt nur, wenn die tatsächlichen Datenflüsse bekannt sind. Zeichnen Sie für jede Verbindung zwischen Büro-IT, OT-DMZ und Prozessnetz Quelle, Ziel, Protokoll, Zweck und Genehmiger auf. Ein Historian darf Messwerte an eine Auswertungsplattform liefern, aber diese Verbindung sollte nicht automatisch eine Schreibmöglichkeit auf die Steuerung eröffnen. Wo Fernwartung erforderlich ist, gehören zeitlich begrenzte Freigaben, persönliche Konten, starke Authentisierung und nachvollziehbare Sitzungsprotokolle zur Prüfung. Ein gemeinsam benutztes Herstellerkonto oder dauerhafter VPN-Tunnel verhindert die Zuordnung eines Eingriffs.

Patch-Management in der OT bedeutet nicht, unbekannte Updates sofort auf Produktions-SPS einzuspielen. Der Betreiber lässt Wirkung und Kompatibilität mit dem Hersteller prüfen, testet an einer geeigneten Umgebung, dokumentiert Wartungsfenster und kompensierende Maßnahmen bei aufgeschobener Installation. Für nicht patchbare Altgeräte kann eine engere Segmentierung, ein gesperrter Fernzugang oder der Austauschplan wichtiger sein als eine unrealistische „100-%-Patchquote“. Die NIS-2-Risikomanagementmaßnahmen sollten als kontrollierbare Nachweise auf diese Betriebsrealität übersetzt werden.

Meldeentscheidung an einem Vorfall durchspielen

Nehmen Sie ein konkretes Szenario: Der Fernwartungsdienst meldet eine kompromittierte Administratoranmeldung, während die Anlage weiter Wasser liefert. Der Bereitschaftsdienst isoliert den Zugang, bewahrt Zugriffsprotokolle auf und prüft, ob Steuerbefehle verändert wurden. Die Fachseite bewertet mögliche Auswirkungen auf Wasserqualität und Versorgung. Die Rechts- und Sicherheitsfunktion prüft anhand des geltenden BSIG, ob ein erheblicher Sicherheitsvorfall vorliegt und welche Meldestufen ausgelöst werden. Der Meldeweg an das BSI und etwaige fachrechtliche Informationswege zur zuständigen Wasser- oder Gesundheitsbehörde werden getrennt dokumentiert; nicht jeder Cyberalarm ist automatisch eine meldepflichtige Trinkwassergefährdung.

Für die erste Meldung braucht das Team keinen fertigen forensischen Bericht. Es braucht eine belastbare Zeitleiste: Zeitpunkt der Entdeckung, betroffene Anlagen, vermutete Ursache, grenzüberschreitende Auswirkungen soweit bekannt, bereits getroffene Eindämmung und Ansprechpartner. Unsicherheit wird als Unsicherheit bezeichnet. Nachträge werden an denselben Vorgang gebunden, damit die 24-Stunden-Frühwarnung, spätere Folgemeldung und Abschlussinformation konsistent bleiben. Die aktuelle BSI-Information zu Registrierung und Meldewegen sollte vor einem Ernstfall mit Rollen, Vertretung und Zugang geprüft werden. Die NIS-2-Registrierung erfolgt ausschließlich im BSI-Portal. Für Betreiber kritischer Anlagen und Bundesbehörden beschreibt das BSI in der Übergangsphase jedoch vorrangige Meldung über das bisherige MIP; eine doppelte Meldung ist nicht nötig. Der Betreiber hält den für seine konkrete Kategorie aktuellen Kanal im Vorfallplan fest und testet diesen mit der zuständigen Rolle.

Dienstleister, Übungen und Nachweise

Beauftragen Sie einen Integrator nicht bloß mit „NIS-2-Konformität“. Der Vertrag sollte festlegen, wer Fernzugänge genehmigt, innerhalb welcher Frist sicherheitsrelevante Hinweise an den Betreiber gehen, wie Schwachstellen priorisiert werden und wer bei einem Vorfall erreichbar ist. Für kritische Komponenten sind Ersatzteile, Offline-Konfigurationen und ein benannter Wiederherstellungsweg wichtiger als ein allgemeines Herstellerzertifikat. Prüfen Sie auch Abhängigkeiten zweiter Stufe: Ein Leitsystem kann lokal betrieben werden, aber Authentisierung, Wartung oder Telemetrie kann von einem Cloud-Dienst abhängen.

Eine Übung sollte eine Entscheidung und einen Nachweis produzieren. Geben Sie dem Team etwa eine gestörte Fernwirkstrecke und ein verdächtiges Dienstleisterkonto vor. Protokollieren Sie, wann der Betrieb die Anlage in einen sicheren Zustand brachte, ob Ersatzkommunikation funktionierte, wann Meldepflichten geprüft wurden und welche Annahmen falsch waren. Maßnahmen erhalten Eigentümer und Fälligkeit; eine Wiederholungsübung prüft die Korrektur. Der Leitfaden zu Sicherheitsvorfällen nach NIS 2 vertieft den Meldeablauf. Behalten Sie die Nachweise im normalen Betriebs- und Änderungsprozess, damit eine Aufsicht nicht nur eine einmalige PowerPoint-Präsentation sieht.

Geltungsgrenzen und häufige Fehlannahmen

Feste Größenangaben für Wasseranlagen, einheitliche Auditintervalle, pauschale persönliche Haftung und pauschale Kostenschätzungen lassen sich nicht auf jeden Betreiber übertragen. Die genaue Schwelle hängt vom einschlägigen Tatbestand und der aktuellen Verordnung ab; Pflichten und Nachweise hängen von der Einordnung als Einrichtung beziehungsweise Betreiber einer kritischen Anlage ab. Ein ISO-27001-Zertifikat oder ein branchenspezifischer Sicherheitsstandard kann die Arbeit stützen, belegt aber nicht automatisch eine bestimmte prozentuale NIS-2-Abdeckung. Die BSI-Grundschutzmethodik kann die Risikoakte strukturieren, muss aber auf die tatsächlich erfassten IT- und OT-Prozesse angewandt werden. Verantwortliche sollten deshalb für jede Behauptung die Norm, den Geltungsbereich und den zugehörigen Nachweis nebeneinanderlegen und alte Projektschätzungen nicht als gesetzliche Anforderungen behandeln.

Drei Kontrollen für die erste Betriebswoche

Am ersten Tag sollte die Betriebsleitung die drei gefährlichsten ungeprüften Fernzugänge benennen und für jeden einen Eigentümer festlegen. Ein Zugang ohne persönlichen Account, Genehmigungsweg oder Abschaltmöglichkeit erhält eine Sofortmaßnahme; die Fachseite prüft, ob seine Sperre die Versorgung beeinträchtigt. Am zweiten Tag vergleichen IT und OT gemeinsam die tatsächlichen Netzwerkregeln mit dem geplanten Datenfluss. Eine Verbindung, die niemand erklären kann, wird nicht allein deshalb als sicher angenommen, weil seit Jahren kein Vorfall bekannt ist. Am dritten Tag wird die letzte verwertbare Konfiguration einer kritischen SPS oder eines Leitsystems testweise aus der Sicherung gelesen. Der Test muss den richtigen Anlagenstand und die dazugehörigen Zugangsdaten belegen.

Anschließend prüft der Betreiber die Abdeckung des Rufdienstes, den Zugang zum jeweils gültigen Meldekanal und die Entscheidungsvorlage für eine Meldung. Der Leitfaden zur NIS-2-Meldepflicht hilft beim Ablauf; die Abgrenzung von NIS 2 und KRITIS bei der Einstufung. Wenn zugleich personenbezogene Daten betroffen sein könnten, beschreibt der gemeinsame Vorfall-Entscheidungsweg die getrennten Prüfungen. Die Woche endet mit einem kurzen Protokoll: was wurde tatsächlich geprüft, was blieb offen, wer entscheidet über das Restrisiko und wann erfolgt der nächste Test. Dieser kleine, wiederholbare Zyklus liefert mehr Sicherheit als ein einmaliges umfangreiches Dokument ohne Betriebseigentümer.

Amtliche Ausgangspunkte

• BSI-Gesetz, aktuelle Fassung, insbesondere die Kategorien, Risikomanagement- und Meldevorschriften.
• BSI-Information zu Registrierung und Meldewegen.
• Richtlinie (EU) 2022/2555 und ihre Sektoranhänge.
• BSI-Standard 200-4 für Business Continuity Management.

Beispiel einer prüffähigen Betreiberentscheidung

Angenommen, ein kommunaler Verband betreibt eine Trinkwasseraufbereitung, mehrere Hochbehälter und ein kleines Abwassernetz. Er beschäftigt zusätzlich ein IT-Team, das auch Dienstleistungen für benachbarte Kommunen erbringt. Die Geschäftsleitung sollte eine kurze Einstufungsnotiz beschließen. Darin stehen Rechtsträger, Tätigkeiten, betroffene Einrichtungen und Anlagen, angewandte Größenmerkmale sowie die Rechtsquellen mit Abrufdatum. Der IT-Dienst für Dritte wird als eigenständige Tätigkeit geprüft, statt ihn stillschweigend der Wasserversorgung zuzurechnen. Für jede Anlage wird festgehalten, ob eine Schwelle aus der jeweils geltenden BSI-Kritisverordnung erreicht ist. Ein nicht erreichtes KRITIS-Kriterium beendet die NIS-2-Prüfung der Einrichtung nicht. Wenn Zahlen unsicher sind, benennt die Notiz die fehlenden Nachweise und einen Termin zur Nachprüfung. Diese Form ermöglicht es später, eine geänderte Schwelle oder Struktur ohne vollständigen Neustart zu bewerten.

Danach erstellt die Betriebsführung eine Dienstekarte. Für die Trinkwasserversorgung werden Entnahme, Aufbereitung, Speicherung, Pumpwerk und Leitwarte als Kette abgebildet. Bei jeder Station stehen Eigentümer, Steuerung, Stromversorgung, Kommunikationsweg und die zum sicheren Betrieb erforderlichen externen Personen. Das IT-Team ergänzt verwaltete Konten, Backup-Stände und Logquellen. Die Karte zeigt zum Beispiel, dass eine außerhalb des Werks betriebene Identitätsplattform sowohl den Fernzugriff als auch die Alarmierung unterstützt. Wird sie gestört, muss der Bereitschaftsdienst einen anderen Weg haben, die Anlage zu erreichen, ohne einen unkontrollierten Sammelzugang zu öffnen.

Entscheidungskriterien für Investitionen

Ein Maßnahmenplan sollte keine Liste beliebiger Sicherheitstechnik sein. Bewerten Sie die Kombination aus möglicher Auswirkung und realistischer Eintrittsart. Ein offen erreichbarer Fernwartungsdienst für die Dosierung erfordert meist schnelleres Handeln als eine alte, aber vollständig isolierte Archivstation. Für jede Maßnahme werden Risiko, Zielzustand, Betreiber und Wirksamkeitsnachweis erfasst. Bei Segmentierung ist der Nachweis ein getesteter Datenfluss mit gesperrtem unerlaubtem Verkehr; bei Backup ein tatsächlich eingespielter Konfigurationsstand; bei Berechtigungen eine rezertifizierte Liste. So kann die Leitung Mittel dort freigeben, wo ein Versorgungs- oder Qualitätsrisiko konkret sinkt.

Die Finanzplanung trennt einmalige Umbauten, laufende Wartung und Übungen. Öffentlich kursierende NIS-2-Kostenzahlen hängen stark von Anlagenalter, Zahl der Standorte, bestehender Segmentierung und Dienstleisterverträgen ab. Ein Betreiber kann stattdessen drei lokale Schätzungen erstellen: Mindestmaßnahmen für akute exponierte Zugänge, mittelfristiger Ersatz nicht mehr wartbarer Steuerungen und jährliche Kosten für Überwachung, Schulung und Wiederherstellungstests. Die Kosten werden mit den Risiken und Betriebsfenstern abgestimmt. Eine pauschale Einsparquote durch ISO 27001 oder ein pauschaler Versicherungsrabatt ist kein belastbarer Business Case.

Datenschutz und Versorgungssicherheit zusammen behandeln

Wasserbetriebe verarbeiten auch Beschäftigten-, Kunden- und Messdaten. NIS-2-Risikomanagement und DSGVO-Sicherheit nach Art. 32 können dieselben Kontrollen nutzen, doch ein NIS-2-Vorfall ist nicht automatisch eine personenbezogene Datenverletzung. Umgekehrt kann ein kompromittiertes Abrechnungssystem eine Datenschutzmeldung erfordern, selbst wenn die OT weiter sicher läuft. Im gemeinsamen Vorfallformular stehen deshalb zwei getrennte Entscheidungen: erheblicher Sicherheitsvorfall nach BSIG und Risiko für Rechte und Freiheiten nach DSGVO. Die Fachseite bewertet Versorgung und Wasserqualität, die Datenschutzfunktion die betroffenen Personen, die IT-Sicherheit die technische Ursache. Meldungen behalten eigene Empfänger und Fristen; der DSGVO-Meldeablauf bei Datenpannen ist deshalb separat zu prüfen. Gemeinsame Fakten und Zeitstempel verhindern Widersprüche.

Für den Vorstand ist ein monatlicher kurzer Lagebericht hilfreicher als eine lange Maßnahmenliste. Er zeigt offene kritische Fernzugänge, überfällige Wiederherstellungstests, nicht bewertete Lieferanten und Vorfälle mit Meldeprüfung. Jede rote Position hat eine Entscheidung: Maßnahme, akzeptiertes Restrisiko mit Begründung oder Eskalation. Ein späterer Audit kann dann den Weg von der gesetzlichen Einstufung über konkrete Anlagenrisiken bis zum tatsächlich getesteten Schutz nachvollziehen.

Fazit

Wasserversorgung ist KRITIS-Kerninfrastruktur. Mit NIS2 wachsen Pflichten weiter. Eine risikogerechte OT-Architektur, klarer Fernzugriff und geübte Melde- und Wiederanlaufwege sind der praktische Pfad. Ein B3S oder IEC 62443 kann als Hilfsmittel dienen, wenn der Betreiber die Anforderungen passend auf seine Anlagen abbildet.