Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Elf Schritte zum Zertifikat für Stadtwerke und Entsorger. Plus: warum der Querverbund zwei Einstufungen trägt und was der KRITIS-Nachweis zusätzlich verlangt.
Wasser, Abwasser, Abfall, Energie: In einem kommunalen Querverbund laufen mehrere Sparten unter einem Dach, und das hat eine Folge, die viele überrascht. Ein und dasselbe Unternehmen kann nach dem BSIG zwei unterschiedliche Einstufungen tragen, mit unterschiedlichen Pflichten und unterschiedlichen Bußgeldrahmen. Wer eine Liste abarbeitet, sollte deshalb mit dieser Einordnung anfangen und nicht mit der Technik.
Zwei Teile. Der erste sind die Anforderungen der Kapitel 4 bis 10, also das Managementsystem: Kontext, Führung, Planung, Betrieb, Bewertung, Verbesserung. Der zweite ist der Annex A mit 93 Maßnahmen in vier Themen, 37 organisatorischen, 8 personenbezogenen, 14 physischen und 34 technologischen, aus denen risikobasiert ausgewählt wird.
Die Besonderheit steckt im Asset-Register. Die Liste führt IT-Assets und OT-Assets getrennt, also Server, Endgeräte und Cloud auf der einen Seite, Leitsysteme, SCADA und Feldgeräte auf der anderen, und markiert die kritischen Versorgungsanlagen zusätzlich. Das ist mehr Aufwand als ein gemeinsames Register, aber es ist die einzige Struktur, mit der sich Schutzbedarf und Kritikalität später sauber begründen lassen.
Das hängt von der Sparte ab, und zwar spartenweise. Trinkwasser und Abwasser stehen in der Anlage 1 des BSIG, also im Kreis der Sektoren mit hoher Kritikalität. Wer dort die Größenschwellen erreicht, ist besonders wichtige Einrichtung. Die Abfallbewirtschaftung steht dagegen in der Anlage 2, und Anlage-2-Einrichtungen sind wichtige Einrichtungen, unabhängig von der Größe. Zusätzlich gilt dort eine Einschränkung, die häufig übersehen wird: Erfasst sind Unternehmen der Abfallbewirtschaftung nach § 3 Absatz 14 Kreislaufwirtschaftsgesetz, ausgenommen Unternehmen, für die die Abfallbewirtschaftung nicht die Hauptwirtschaftstätigkeit ist.
Praktisch heißt das: Ein Stadtwerk mit Wasser und Abfall kann für die eine Sparte besonders wichtige und für die andere wichtige Einrichtung sein. Der Unterschied ist nicht kosmetisch, denn der Bußgeldrahmen unterscheidet sich und die Aufsicht setzt anders an. Und die Größenschwelle selbst ist präziser, als sie oft zitiert wird: Sie greift ab 50 Beschäftigten oder wenn Jahresumsatz und Jahresbilanzsumme jeweils über zehn Millionen Euro liegen.
Nein, und dieser Punkt kostet Betreiber regelmäßig Zeit. Wer eine kritische Anlage betreibt, muss nach § 39 BSIG frühestens drei Jahre nach der erstmaligen Einordnung und danach alle drei Jahre nachweisen, dass die Anforderungen erfüllt sind, und zwar durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Übermittelt werden die Ergebnisse einschließlich der dabei aufgedeckten Sicherheitsmängel.
Ein vorhandenes ISO-27001-Zertifikat ist dabei Ausgangspunkt und Bestandteil der Unterlagen, aber es genügt allein nicht. Die Prüfgrundlage muss so gewählt sein, dass Stand der Technik und branchenspezifische Themen abgedeckt sind; zulässig sind ISO 27001, ISO 27001 auf Basis IT-Grundschutz oder ein branchenspezifischer Sicherheitsstandard. Entscheidend ist der Geltungsbereich: Er muss die kritische Anlage tatsächlich umfassen, samt Prozessen, IT, Schnittstellen und fremdbetriebenen Komponenten. Wer vorhandene Audits verwendet, muss schriftlich dokumentieren, wie jeder Punkt darin abgedeckt wurde.
Beim internen Audit gilt die Regel aller Branchen: Wer das ISMS aufgebaut hat, kann es nicht selbst auditieren. Die Liste verweist dafür zu Recht auf die ISO 19011 als Leitfaden für Auditprogramm und Auditorenkompetenz.
Beim KRITIS-Nachweis kommt eine zweite Ebene hinzu. Die prüfenden Personen müssen Kompetenz in vier Feldern zeigen: Auditkompetenz, IT-Sicherheitskompetenz, Branchenkompetenz und Kompetenz für das besondere Verfahren einschließlich Angriffserkennung. Die gute Nachricht: Diese Gesamtkompetenz darf im Prüfteam verteilt sein, eine einzelne Person muss nicht alles mitbringen. Für kommunale Betriebe heißt das, dass sich Branchenkenntnis aus dem eigenen Haus mit externer Prüfkompetenz kombinieren lässt.
Drei. Erstens die beiden Asset-Register. Getrennt zu führen ist richtig, aber sie driften auseinander, sobald eine Anlage erneuert wird und nur eines der beiden Register nachgezogen wird. Es braucht einen Prozess, der Änderungen in beide trägt, sonst stimmt die Kritikalitätsbewertung nach einem Jahr nicht mehr.
Zweitens die Schulungsnachweise im Schichtbetrieb. Wer in Wechselschicht arbeitet, sitzt selten in einer Regelschulung, und genau dort fehlt im Audit der Nachweis. Das gehört terminlich und formatseitig gesondert geplant. Drittens die Krisenkommunikation. Ein Ausfall in der Versorgung ist binnen Stunden öffentlich, und die Abstimmung mit Kommune, Aufsicht und Presse gehört vorbereitet, nicht improvisiert. Der Notfallplan endet nicht bei der Wiederherstellung der Systeme.
Die Checkliste richtet sich an Geschäftsführungen, IT- und Betriebsleitungen sowie Sicherheitsverantwortliche in Stadtwerken, Wasserversorgern und Entsorgungsbetrieben. Laden Sie sie kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren