Compliance abhaken: Jetzt mit SECJUR durchstarten und ab Januar 2024 zahlen.
.svg)
.svg)
Wasser und Energie in Anlage 1, Abfall in Anlage 2: Das Whitepaper zeigt Stadtwerken und kommunalen Entsorgern Einstufung, Nachweise und Fristen unter NIS2.
In kommunalen Betrieben liegen bei NIS2 zwei Regime in einem Haus, getrennt nicht nach Standort, sondern nach Sparte. Dazu kann die Rechtsform die Einstufung verändern, und der Nachweisrhythmus ist nicht mehr der, den viele aus dem alten KRITIS-Recht kennen.
Die Zuordnung fällt innerhalb desselben Unternehmens unterschiedlich aus. Trinkwasser, Abwasser und Energie stehen in der Anlage 1 des BSIG, also bei den Sektoren hoher Kritikalität. Die Abfallbewirtschaftung steht in der Anlage 2. Das ist keine Formalie, denn § 28 Absatz 1 Nummer 4 BSIG lässt den Aufstieg zur besonders wichtigen Einrichtung nur für Einrichtungsarten der Anlage 1 zu.
Für ein Stadtwerk mit Wasser, Energie und Entsorgung heißt das: Die Wasser- und Energiesparte kann in die strengere Stufe rutschen, die Abfallsparte bleibt durch Größe allein immer wichtige Einrichtung, und für sie gilt der Bußgeldrahmen von 7 Millionen Euro oder 1,4 Prozent statt der viel zitierten 10 Millionen. Die Eintrittsschwelle nach § 28 Absatz 2 BSIG ist in beiden Fällen dieselbe: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro. Wer diese Spartenlogik am Anfang aufschreibt, spart sich später die Diskussion über Umfang und Sanktionsrahmen.
Hier steht eine Ausnahme im Gesetz, die kaum jemand kennt. § 28 Absatz 4 BSIG ordnet für Beschäftigtenzahl, Umsatz und Bilanzsumme die Anwendung der Empfehlung 2003/361/EG der Kommission an, und zwar ausdrücklich außer für rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft.
Genau das sind viele kommunale Betriebe. Ein Eigenbetrieb oder ein Amt der Kernverwaltung ist rechtlich nicht selbstständig, eine Stadtwerke-GmbH oder eine Anstalt des öffentlichen Rechts mit eigener Rechtspersönlichkeit dagegen schon. Zwei Häuser mit praktisch identischem Betrieb können deshalb unterschiedlich zu beurteilen sein, nur weil das eine ausgegründet ist und das andere nicht. Wer eine Ausgründung, eine Fusion oder eine Rekommunalisierung plant, sollte die NIS2-Einstufung in die Prüfliste nehmen. Und weil die Einstufung eine Selbsteinschätzung ist, gehört sie schriftlich begründet: Kommunale Gremien, Aufsichtsräte und die Rechnungsprüfung fragen inzwischen genau danach.
Alle drei Jahre, nicht alle zwei. § 39 BSIG verlangt von Betreibern kritischer Anlagen Nachweise gegenüber dem BSI durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, frühestens drei Jahre nachdem sie erstmals als Betreiber einer kritischen Anlage gelten und anschließend alle drei Jahre. Werden Sicherheitsmängel sichtbar, kann das BSI einen Plan zu ihrer Beseitigung und später den Nachweis der Behebung verlangen. Der Zweijahresrhythmus stammt aus dem alten Recht und steht noch in vielen Unterlagen.
Dazu kommt § 31 Absatz 2 BSIG: Betreiber kritischer Anlagen müssen Systeme zur Angriffserkennung einsetzen, die fortlaufend und automatisch Parameter aus dem laufenden Betrieb erfassen und auswerten. Ob ein Betrieb dazugehört, entscheiden die Schwellen der BSI-Kritisverordnung, und die sind für diese Branche konkret: 22 Millionen Kubikmeter pro Jahr bei Gewinnung, Aufbereitung, Verteilung oder zentraler Steuerung von Trinkwasser, und 500.000 angeschlossene Einwohner beziehungsweise 500.000 Einwohnerwerte Ausbaugröße bei Kanalisation, Kläranlage und deren zentraler Steuerung.
Zwei aus anderen Regelwerken, und beide betreffen dieselben Systeme. Die Trinkwasserverordnung hat den risikobasierten Ansatz der Richtlinie (EU) 2020/2184 übernommen. Die Risikobewertung und das Risikomanagement der Einzugsgebiete müssen erstmals bis zum 12. Juli 2027 abgeschlossen sein, die der Wasserversorgungsanlagen erstmals bis zum 12. Januar 2029.
Für die Energiesparte läuft parallel eine Normfrist: Audits müssen ab dem 31. Oktober 2026 auf Basis der ISO/IEC 27019:2024 erfolgen, die Umstellung bestehender Zertifikate ist bis zum 31. Oktober 2027 abzuschließen. Wichtig für die Planung: Die Risikobewertung der Trinkwasserverordnung und die Risikoanalyse nach § 30 Absatz 2 Nummer 1 BSIG sind rechtlich nicht dasselbe, sie können aber dieselbe Methodik, dieselben Bewertungsmaßstäbe und dasselbe Register nutzen. Getrennt aufgebaut führt das zu zwei Verzeichnissen über dieselben Anlagen.
Drei. Erstens die Betriebs- und Leittechnik. Wasserwerke, Kläranlagen und Netze laufen mit Anlagen, die Jahrzehnte im Einsatz bleiben, und ihre Fernwartungszugänge sind der bequemste Weg hinein. Verlangt sind Trennung von Büro-IT, Protokollierung und eine Regel, wann ein Zugang offen ist.
Zweitens der kommunale Querverbund. Eine gemeinsame IT über Wasser, Energie, Abfall und oft noch Bad oder Telekommunikation ist wirtschaftlich sinnvoll, führt aber dazu, dass unterschiedliche Regime auf denselben Systemen liegen. Diese Abgrenzung muss dokumentiert sein, sonst gilt im Zweifel das strengere für alles. Drittens die Öffentlichkeit. Bei einem Ausfall der Grundversorgung sind nicht nur Behörden Adressat, sondern auch Bürgerinnen, Bürger und kommunale Gremien. Wer diese Kommunikation erst im Ernstfall entwirft, verliert Vertrauen schneller als Betriebszeit.
Das Whitepaper richtet sich an Geschäftsführungen und Werkleitungen, IT- und Betriebsverantwortliche sowie Sicherheits- und Datenschutzverantwortliche in Stadtwerken, Wasser- und Abwasserbetrieben und bei kommunalen Entsorgern. Laden Sie es kostenfrei herunter.
Sprechen Sie mit unseren Expert:innen und erfahren Sie, wie das Digital Compliance Office Ihre Compliance automatisiert.
Gespräch vereinbaren