NIS2 Checkliste für Städtische Ver- und Entsorgung: der praktische Fahrplan

Ein kommunaler Ver- und Entsorger führt bei NIS2 nicht eine Einordnung, sondern eine je Sparte. Für zwei der drei Sparten gilt der strengere Teil des Gesetzes, für die dritte ein anderer, und dazu kommt eine Vorschrift, die kommunale Strukturen ganz herausnehmen kann.

In welcher Anlage steht die NIS2 Checkliste für Städtische Ver- und Entsorgung?

In beiden, und das ist der wichtigste Satz für die Planung. Trinkwasser und Abwasser stehen in der Anlage 1 des BSIG, also bei den Sektoren hoher Kritikalität. Die Abfallbewirtschaftung steht in der Anlage 2.

Der Unterschied wirkt sofort. Nach § 28 Absatz 1 Nummer 4 BSIG ist der Aufstieg zur besonders wichtigen Einrichtung nur für Einrichtungsarten der Anlage 1 möglich. Die Abfallsparte bleibt daher durch Größe allein immer wichtige Einrichtung, und für sie gilt der Bußgeldrahmen von 7 Millionen Euro oder 1,4 Prozent statt der viel zitierten 10 Millionen oder 2 Prozent. Auch die Schwelle selbst lohnt den genauen Blick: Für die höhere Stufe verlangt das Gesetz mindestens 250 Beschäftigte oder einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro. Die Bilanzsumme fehlt in fast jeder Zusammenfassung, und sie entscheidet in umsatzstarken Betrieben mit schlanker Bilanz über die Stufe.

Wann gilt die NIS2 Checkliste für Städtische Ver- und Entsorgung gar nicht?

Wenn eine kommunale Sonderregel greift, und die kennt kaum jemand. § 28 Absatz 8 BSIG bestimmt, dass das Gesetz keine Anwendung findet auf rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und auf juristische Personen, an denen ausschließlich Gebietskörperschaften außer dem Bund beteiligt sind, wenn sie erstens zu dem Zweck errichtet wurden, im öffentlichen Auftrag Leistungen für Verwaltungen zu erbringen, und zweitens durch vergleichbare landesrechtliche Vorschriften unter Bezugnahme auf diesen Absatz reguliert werden.

Beide Voraussetzungen müssen zusammen erfüllt sein. Für das kommunale Rechenzentrum oder den IT-Zweckverband, der die Verwaltung mit Fachanwendungen versorgt, kann das zutreffen, sofern das jeweilige Landesrecht die Regelung tatsächlich getroffen hat. Für das Stadtwerk oder den Entsorgungsbetrieb trifft es nicht zu, denn dessen Leistungen gehen an Bürgerinnen und Bürger und nicht an Verwaltungen. Wer im Querverbund arbeitet, prüft das deshalb je Gesellschaft und belegt das Ergebnis mit dem Landesrecht.

Ab welcher Menge ist ein Betrieb bei der NIS2 Checkliste für Städtische Ver- und Entsorgung kritische Anlage?

Ab Schwellen, die je Sparte in der BSI-Kritisverordnung stehen und erstaunlich niedrig ausfallen. Bei Trinkwasser sind es 22 Millionen Kubikmeter pro Jahr, bei Abwasser 500.000 angeschlossene Einwohner beziehungsweise Einwohnerwerte Ausbaugröße. Für die Siedlungsabfallentsorgung gilt in der Sammlung und Beförderung eine Disposition für 500.000 Einwohner oder 79.500 Tonnen pro Jahr, bei thermischer und mechanischer Behandlung eine genehmigte Kapazität von 79.500 Tonnen pro Jahr, bei biologischer Behandlung 33.500 Tonnen Bioabfall und bei der Sortierung 79.500 Tonnen oder 18.500 Tonnen für Leichtverpackungen und Kunststoffabfall.

Wer eine dieser Schwellen überschreitet, ist Betreiber einer kritischen Anlage und damit unabhängig von der Größe besonders wichtige Einrichtung. Daran hängen zwei zusätzliche Pflichten: Systeme zur Angriffserkennung nach § 31 Absatz 2 BSIG, die fortlaufend und automatisch Parameter aus dem laufenden Betrieb erfassen und auswerten, sowie Nachweise gegenüber dem BSI alle drei Jahre nach § 39 BSIG. Ein mittelgroßer Entsorger kann über die Sortierschwelle stolpern, ohne es zu erwarten.

Wen muss man bei der NIS2 Checkliste für Städtische Ver- und Entsorgung informieren?

Neben dem BSI möglicherweise die eigenen Kunden, und darüber entscheidet nicht der Betrieb. Die Kette gegenüber dem BSI ist bekannt: Frühwarnung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Weniger bekannt ist § 35 Absatz 1 BSIG: Das Bundesamt kann anordnen, dass eine Einrichtung die Empfänger ihrer Dienste unverzüglich über einen erheblichen Sicherheitsvorfall unterrichtet, und die Norm nennt ausdrücklich auch den Weg über eine Veröffentlichung auf der Website.

Eine proaktive Unterrichtungspflicht besteht dagegen nicht. § 35 Absatz 2 BSIG legt sie nur Einrichtungen aus Finanzwesen, Sozialversicherung, digitaler Infrastruktur, Verwaltung von IKT-Diensten und digitalen Diensten auf. Wasser und Abfall stehen dort nicht. Für einen Grundversorger heißt das: Der Entwurf einer Bürgerinformation gehört vorher geschrieben, gemeinsam mit Pressestelle und Krisenstab, denn die Erwartung der Öffentlichkeit richtet sich nicht nach Fristen.

Welche Punkte werden bei der NIS2 Checkliste für Städtische Ver- und Entsorgung am häufigsten übersprungen?

Drei. Erstens die schriftliche Zuordnung je Sparte und je Gesellschaft. Sie entscheidet über Stufe, Bußgeldrahmen, Nachweisrhythmus und die Anwendbarkeit des § 28 Absatz 8 BSIG, und sie ist das erste Dokument, nach dem Aufsichtsrat und Rechnungsprüfung fragen.

Zweitens die Fernzugänge der Anlagenbauer in Wasserwerk, Kläranlage und Sortieranlage. Verlangt sind namentliche Konten, Protokollierung und eine Regel, wann ein Zugang offen ist und wann nicht. Drittens die Reihenfolge der Wiederherstellung. Leittechnik und kaufmännische Systeme laufen bei einem Ausfall um dieselben Ressourcen, und ohne vorher festgelegte Priorität wird im Ernstfall die Abrechnung vor der Versorgung wiederhergestellt.

Was steht in der Checkliste?

• Vier Situationen, in denen NIS2 für Ver- und Entsorgungsbetriebe konkret wird, von der Einordnung über OT und SCADA bis zur Haftung der Geschäftsführung
• Eine Readiness in sechs Schritten, von der Betroffenheitsprüfung bis zur Meldefähigkeit
• Drei typische Stolperfallen, von vergessenen OT-Systemen über den fehlenden Meldeprozess bis zur unterschätzten Lieferkette
• Drei Quick Wins, unter anderem die Trennung von IT und OT und eine zentrale Dokumentation

Die Checkliste richtet sich an Geschäftsführungen und Werkleitungen, IT- und Betriebsverantwortliche sowie Sicherheitsverantwortliche in Stadtwerken, Wasser- und Abwasserbetrieben und bei kommunalen Entsorgern. Laden Sie sie kostenfrei herunter.