NIS2 für Wasser- und Abwasserversorgung: KRITIS-Pflichten und OT-Sicherheit

Wasserversorgung und Abwasserentsorgung gehören zu den sensibelsten kritischen Infrastrukturen in Deutschland: Ein Ausfall der Trinkwasserversorgung gefährdet unmittelbar die öffentliche Gesundheit. Gleichzeitig sind Wasserwerke, Kläranlagen und Pumpstationen zunehmend digital vernetzt — SCADA-Anlagen, speicherprogrammierbare Steuerungen (SPS) und Fernwirktechnik, die über Jahrzehnte gewachsen sind und selten für Cyberangriffe ausgelegt wurden.

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG, BGBl. 2025 I Nr. 301), in Kraft seit dem 6. Dezember 2025, hat das BSI-Gesetz (BSIG) neu gefasst. Trinkwasserversorgung und Abwasserbeseitigung stehen dort in Anlage 1 (Sektoren besonders wichtiger und wichtiger Einrichtungen). Die besondere Lage im Wassersektor: Größere Versorger sind zugleich Betreiber kritischer Anlagen mit zusätzlichen Pflichten. Hinzu kommt die überwiegend kommunale Trägerschaft durch Stadtwerke, Zweckverbände und Regie- oder Eigenbetriebe mit oft begrenzten IT-Budgets.

Dieser Leitfaden erklärt, wer betroffen sein kann, wie KRITIS- und NIS2-Pflichten zusammenwirken, wie OT/SCADA-Sicherheit in Wasserwerken umgesetzt werden kann — und welche Fristen und Bußgeldrisiken gelten. Einen Überblick über alle technischen und organisatorischen Basismaßnahmen bietet der Leitfaden zu den NIS2-Sicherheitsanforderungen nach § 30 BSIG.

Wasserversorgung und Abwasser als Anhang-I-Sektoren: Wer ist betroffen?

Die NIS2-Richtlinie (EU) 2022/2555 listet in Anhang I unter Nummer 6 das Trinkwasser (Lieferanten und Unternehmen der Versorgung mit Wasser für den menschlichen Gebrauch) und unter Nummer 7 das Abwasser (Unternehmen, die kommunales, häusliches oder industrielles Abwasser sammeln, entsorgen oder behandeln). Das BSIG übernimmt beides in Anlage 1 Nummer 5 (Sektor Wasser): Nr. 5.1.1 erfasst Betreiber von Wasserversorgungsanlagen im Sinne von § 2 Nr. 3 TrinkwV, Nr. 5.2.1 Unternehmen, die Abwasser nach § 54 Abs. 1 WHG sammeln, entsorgen oder behandeln. Ausgenommen sind jeweils Unternehmen, für die diese Tätigkeit nur ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist.

Ob eine Einrichtung erfasst ist, entscheidet sich nach § 28 BSIG anhand der Größe (Mitarbeiter, Umsatz, Bilanzsumme) — Voraussetzung ist zudem, dass die Einrichtung ihre Leistungen entgeltlich anbietet:

Einrichtungstyp	Schwellenwert	Aufsichtsregime
Besonders wichtige Einrichtung (bwE)	≥ 250 Mitarbeiter oder Jahresumsatz > 50 Mio. Euro und Jahresbilanzsumme > 43 Mio. Euro; unabhängig von der Größe: Betreiber kritischer Anlagen (§ 28 Abs. 1 Nr. 1 BSIG)	Aufsicht nach § 61 BSIG: Das BSI kann Audits anordnen, Nachweise verlangen und Überprüfungen auch ohne konkreten Anlass durchführen
Wichtige Einrichtung (wE)	≥ 50 Mitarbeiter oder Jahresumsatz > 10 Mio. Euro und Jahresbilanzsumme > 10 Mio. Euro	Aufsicht nach § 62 BSIG: Überprüfung, wenn Tatsachen die Annahme von Pflichtverstößen rechtfertigen
Unterhalb der Schwellenwerte	< 50 Mitarbeiter und Jahresumsatz oder Jahresbilanzsumme ≤ 10 Mio. Euro (sofern kein Betreiber einer kritischen Anlage)	In der Regel keine Pflichten nach §§ 30 ff. BSIG; freiwillige Meldungen an das BSI nach § 5 BSIG möglich

Praktisch bedeutet das: Ein regionaler Wasserversorger mit 120 Mitarbeitern ist in der Regel wichtige Einrichtung und unterliegt damit den Risikomanagementmaßnahmen des § 30 Abs. 2 BSIG. Ein Stadtwerk mit mindestens 250 Mitarbeitern oder mehr als 50 Mio. Euro Jahresumsatz bei zugleich mehr als 43 Mio. Euro Bilanzsumme gilt als besonders wichtige Einrichtung. Melde- und Sicherheitspflichten sind für beide Kategorien gleich; der Unterschied liegt in der Intensität der BSI-Aufsicht und im Bußgeldrahmen.

Für die Einstufung als Betreiber einer kritischen Anlage gilt ein anderer Maßstab: Bis zum Inkrafttreten der neuen KRITIS-Verordnung des Bundes ist weiterhin die BSI-Kritisverordnung maßgeblich (§ 66 BSIG). Sie geht im Sektor Wasser von 500.000 versorgten Personen aus. Für Gewinnungs-, Aufbereitungs- und Verteilanlagen sowie Leitzentralen der Trinkwasserversorgung sind das 22 Mio. m³ Wasser pro Jahr; für Kanalisation, Kläranlagen und Leitzentralen der Abwasserbeseitigung 500.000 angeschlossene Einwohner bzw. Einwohnerwerte. Wer eine solche Anlage betreibt, gilt nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von der Mitarbeiterzahl als besonders wichtige Einrichtung.

KRITIS und NIS2 — Doppelpflichten für Wasserversorger

Bereits vor NIS2 waren Betreiber Kritischer Infrastrukturen im Sektor Wasser nach § 8a BSIG a. F. reguliert — ein kleiner Kreis: Autoren aus DVGW und Wasserwirtschaft schätzen, dass statt bisher rund 80 Anlagen nun rund 800 Unternehmen betroffen sind (energie | wasser-praxis 02/2024). KRITIS-Betreiber mussten ihre Vorkehrungen alle zwei Jahre gegenüber dem BSI nachweisen und konnten sich dabei am Branchenspezifischen Sicherheitsstandard Wasser/Abwasser (B3S WA) orientieren, den DVGW und DWA gemeinsam erarbeitet haben (verankert im DVGW-Merkblatt W 1060 bzw. DWA-M 1060).

Mit dem NIS2UmsuCG hat sich die Rechtslage strukturell verändert:

• Betreiber kritischer Anlagen im Wassersektor sind nach § 28 Abs. 1 Nr. 1 BSIG besonders wichtige Einrichtungen. Für die IT-Systeme ihrer kritischen Anlagen gelten zusätzlich die erhöhten Anforderungen des § 31 BSIG, einschließlich der Pflicht zum Einsatz von Systemen zur Angriffserkennung.
• Der B3S WA ist vom BSI nach § 8a Abs. 2 BSIG a. F. als geeignet festgestellt; das BSI führt ihn in seiner B3S-Übersicht als gültig bis August 2027. Das neue BSIG sieht solche Standards in § 30 Abs. 8 und 9 weiter vor.
• Der bisherige 2-Jahres-Nachweiszyklus nach § 8a Abs. 3 BSIG a. F. ist durch § 39 BSIG ersetzt: Betreiber kritischer Anlagen weisen die Umsetzung künftig alle drei Jahre nach.

Für Wasserversorger, die bereits nach KRITIS-Recht geprüft wurden, verschieben sich vor allem folgende Punkte:

Anforderungsbereich	Bisheriges KRITIS-Recht (BSIG a. F.)	BSIG seit 6. Dezember 2025
Kreis der Pflichtigen	Nur Betreiber von Anlagen oberhalb der Schwellenwerte der BSI-Kritisverordnung	§ 28 BSIG — zusätzlich alle mittleren und großen Wasserversorger und Abwasserbetriebe, unabhängig von Anlagenschwellen
Mindestmaßnahmen, Lieferkette, MFA	§ 8a Abs. 1: angemessene Vorkehrungen nach dem Stand der Technik	§ 30 Abs. 2 BSIG — zehn ausdrücklich benannte Maßnahmen, u. a. Sicherheit der Lieferkette (Nr. 4) und Multi-Faktor- oder kontinuierliche Authentifizierung (Nr. 10); Dokumentationspflicht nach § 30 Abs. 1 Satz 3
Meldepflichten	§ 8b Abs. 4 BSIG a. F.: unverzügliche Meldung erheblicher Störungen an das BSI	Dreistufig: 24h / 72h / 1 Monat nach § 32 BSIG (Frühwarnung, Meldung, Abschlussmeldung)
Angriffserkennung und Nachweise	§ 8a Abs. 1a (seit 1. Mai 2023) und Abs. 3: Systeme zur Angriffserkennung, Nachweis alle zwei Jahre	§§ 31 Abs. 2, 39 BSIG — Angriffserkennung für kritische Anlagen bleibt Pflicht; Nachweis alle drei Jahre

Eine detaillierte Gegenüberstellung der Anforderungen, Prüfzyklen und Sanktionsmechanismen beider Regime bietet der Leitfaden NIS2 vs. KRITIS — Pflichten im Vergleich.

OT/SCADA-Sicherheit in Wasserwerken: Risiken und Schutzkonzepte

Wasserwerke sind hochgradig OT-abhängig: Chlorierungsanlagen, pH-Dosierungsstationen, Filtrationsprozesse und Druckhaltesysteme werden von speicherprogrammierbaren Steuerungen (SPS) gesteuert. Dutzende oder Hunderte dezentraler Pumpstationen übermitteln Messwerte und empfangen Steuerbefehle über SCADA-Systeme — oft über öffentliche Mobilfunknetze oder VPN-Verbindungen, da eine eigene Glasfaserinfrastruktur für viele Versorgungsgebiete zu kostspielig ist.

Das Gefährdungspotenzial ist dokumentiert. Im Februar 2021 verschafften sich unbekannte Akteure Zugang zum SCADA-System einer Trinkwasseraufbereitungsanlage in Oldsmar, Florida, und erhöhten die Dosierung von Natriumhydroxid (Natronlauge). Das Personal bemerkte die Änderung sofort und machte sie rückgängig; die Aufbereitung blieb nach Angaben von CISA und FBI unbeeinträchtigt. Als mögliche Schwachstellen nannten die Behörden schwache Passwörter, ein veraltetes Betriebssystem und Fernwartungssoftware wie TeamViewer; einen gezielten Angriff konnte das FBI nicht bestätigen. Ende 2023 warnte CISA zudem vor aktiv ausgenutzten SPS vom Typ Unitronics in US-Wasser- und Abwasseranlagen — dort ging der betroffene Versorger auf Handbetrieb über.

Für deutsche Wasserwerke lassen sich daraus drei typische OT-Risiken ableiten, die bei den Maßnahmen nach § 30 BSIG berücksichtigt werden sollten:

1. Fernwirktechnik ohne native Authentifizierung. Verbreitete Fernwirk- und Feldbusprotokolle wie IEC 60870-5-101/104, DNP3 und Modbus wurden in ihrer ursprünglichen Form ohne Authentifizierung entworfen; nachgerüstete Sicherheitserweiterungen sind in Bestandsanlagen häufig nicht aktiv. § 30 Abs. 1 BSIG verlangt geeignete Maßnahmen nach dem Stand der Technik — in der Praxis bedeutet das etwa verschlüsselte Tunnel für Fernwirkverbindungen, Protokoll-Gateways mit Authentifizierung oder unidirektionale Gateways (Data Diodes) an der OT-IT-Grenze.

2. Dezentrale Pumpstationen als verteilte Angriffsvektoren. Ein Versorgungsnetz mit 80 Pumpstationen hat potenziell 80 Einfallstore, wenn keine einheitliche Zugangskontrolle vorhanden ist. Fernzugänge mit geteilten oder Standard-Passwörtern und ohne MFA sind ein häufig genanntes Einfallstor; CISA empfiehlt für alle Fernzugriffe auf das OT-Netz eine Multi-Faktor-Authentifizierung. § 30 Abs. 2 Nr. 10 BSIG (MFA oder kontinuierliche Authentifizierung) adressiert dieses Risiko direkt.

3. Legacy-Systeme mit Betriebszyklen über 20 Jahre. SPS und RTUs (Remote Terminal Units) älterer Baujahre erhalten oft keine Sicherheits-Updates mehr. Ein sofortiger Austausch ist oft nicht finanzierbar. Das BSIG verlangt verhältnismäßige Maßnahmen und deren Dokumentation (§ 30 Abs. 1 Satz 2 und 3). In der Praxis bewährt sich eine dokumentierte Risikobewertung mit Kompensationsmaßnahmen: Netzwerksegmentierung, Anomalie-Monitoring und ein Austauschplan. Die Geschäftsleitung ist nach § 38 Abs. 1 BSIG verpflichtet, die Umsetzung der Maßnahmen zu überwachen.

Als verbreiteter OT-Sicherheitsrahmen für industrielle Steuerungssysteme gilt die Normenreihe IEC 62443; Teil IEC 62443-3-2 behandelt die Risikobeurteilung und die Einteilung in Zonen und Verbindungen. Für die Netzwerktopologie wird häufig das Purdue-Modell mit klarer Zonentrennung herangezogen:

• OT-Zone (Feld- und Leitebene): SPS, RTUs, Dosierungspumpen, SCADA-Server — strikt vom Büronetz isoliert. Kein direkter Internet-Zugang.
• DMZ (Demilitarisierte Zone): Historian-Server, Patch-Server, Jump-Server — einziger gesicherter Übergang zwischen OT und IT-Netz. Alle Fernzugriffe laufen über die DMZ.
• IT-Zone (Büronetz): ERP, E-Mail, Geschäftsprozesse — ohne direkten Zugang zur OT-Zone. Wartungslaptops sollten erst nach Prüfung auf Schadsoftware in die DMZ gelangen.

Anomalie-Monitoring für Prozessabweichungen hat im Wassersektor besonderen Wert: Unerwartete Änderungen in Chlorkonzentration, pH-Wert oder Druckniveau können sowohl technische Störungen als auch Cyberangriffe signalisieren. Für Betreiber kritischer Anlagen ist der Einsatz von Systemen zur Angriffserkennung nach § 31 Abs. 2 BSIG Pflicht; sie müssen Parameter aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Für die Absicherung der Lieferkette — inklusive OT-Dienstleister, Fernwartungsanbieter und Messtechniklieferanten — bietet der Leitfaden NIS2-Lieferkettensicherheit eine strukturierte Umsetzungshilfe.

§ 30 BSIG in der Wasserversorgung: Die zehn Maßnahmen im Sektorkontext

§ 30 Abs. 2 BSIG setzt Art. 21 Abs. 2 lit. a–j der NIS2-Richtlinie in deutsches Recht um. Für Wasserversorgungsunternehmen lässt sich jede Maßnahme sektorbezogen konkretisieren:

Maßnahme	Rechtsgrundlage	Wassersektor-Kontext
Risikoanalyse und Sicherheitskonzepte	lit. a / Nr. 1	OT-Asset-Inventar aller SPS, RTUs, SCADA-Server und Dosierungsanlagen — mit Betriebsalter, Patch-Stand und Netzwerktopologie; OT/IT-Zonenkonzept
Bewältigung von Sicherheitsvorfällen	lit. b / Nr. 2	Vorfallreaktionsplan mit Eskalation bei Versorgungsunterbrechung; Meldungen nach § 32 BSIG; bei möglicher Auswirkung auf die Trinkwasserbeschaffenheit zusätzlich Anzeige an das Gesundheitsamt (§ 47 TrinkwV)
Aufrechterhaltung des Betriebs, Backup, Krisenmanagement	lit. c / Nr. 3	Redundante SCADA-Konfiguration; Notbetriebsmodus ohne IT-Anbindung; Wiederanlaufziele am Versorgungsauftrag ausgerichtet
Sicherheit der Lieferkette	lit. d / Nr. 4	Sicherheitsanforderungen in Verträgen mit Wartungsfirmen, Leittechnik-Herstellern, Messgerätezulieferern und Fernwartungsanbietern
Sicherheit bei Erwerb, Entwicklung und Wartung, inkl. Schwachstellenmanagement	lit. e / Nr. 5	Sicherheitsanforderungen bei der Beschaffung neuer Leittechnik; Patch- und Schwachstellenmanagement für SPS/SCADA in Abstimmung mit den Herstellern
Bewertung der Wirksamkeit	lit. f / Nr. 6	OT-Penetrationstests; Auswertung des Anomalie-Monitorings; regelmäßige Überprüfung der DMZ-Konfiguration
Cyberhygiene und Schulungen	lit. g / Nr. 7	Schulungen für Schichtpersonal: USB-Risiken an SCADA-Terminals, sichere Handhabung von Fernwartungszugängen, Phishing-Erkennung
Kryptografie	lit. h / Nr. 8	Verschlüsselung für VPN-Fernwartungszugänge; Absicherung von Altprotokollen ohne eigene Verschlüsselung (Modbus, DNP3) über verschlüsselte Übertragungswege
Personalsicherheit, Zugriffskontrolle, Verwaltung von IKT-Systemen	lit. i / Nr. 9	Physische Zugangskontrolle zu Pumpstationen und Schaltwarten; vollständiges OT-Asset-Management; Need-to-Know-Prinzip für privilegierte Accounts
Multi-Faktor-Authentifizierung, gesicherte Kommunikation	lit. j / Nr. 10	MFA für Fernzugriffe auf SCADA und für privilegierte Konten; gesicherte Notfallkommunikation; begründete Abweichungen dokumentieren

Drei Maßnahmen sind für Wasserversorger besonders wichtig:

§ 30 Abs. 2 Nr. 3 BSIG — Notbetrieb ohne IT-Anbindung. Wasserversorgung ist ein Versorgungsauftrag mit unmittelbarem öffentlichem Gesundheitsbezug. Ein Ransomware-Angriff, der die SCADA-Anbindung unterbricht, darf nicht dazu führen, dass die Trinkwasserversorgung zusammenbricht. Wasserwerke sollten einen Notbetriebsmodus dokumentieren und regelmäßig testen, in dem Aufbereitung, Verteilung und Notfallpumpen ohne externe IT-Anbindung weiterlaufen. RTO und RPO sollten sich an der maximal vertretbaren Versorgungsunterbrechung orientieren.

§ 30 Abs. 2 Nr. 2 und § 32 BSIG — Vorfallbewältigung und Meldung. Ein erheblicher Sicherheitsvorfall ist dem BSI zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussmeldung spätestens einen Monat nach der Meldung (§ 32 BSIG). Kann ein Vorfall — z. B. eine manipulierte Dosierungsanlage — die Beschaffenheit des Trinkwassers beeinträchtigen, ist er zusätzlich dem Gesundheitsamt unverzüglich anzuzeigen (§ 47 Abs. 1 Nr. 1 TrinkwV): ein paralleler Meldepfad, der im Vorfallreaktionsplan ausdrücklich abgebildet sein sollte.

§ 30 Abs. 2 Nr. 10 BSIG — MFA für SCADA-Fernzugriffe. Fernwartungszugänge auf SCADA-Systeme oder SPS sollten mit MFA gesichert sein, notfalls über ein vorgeschaltetes VPN oder Gateway, wenn die Steuerung selbst kein MFA unterstützt. Wo MFA an einer lokalen Bedienstation den Echtzeitbetrieb gefährden würde, sollte die Abweichung im Rahmen der Verhältnismäßigkeit (§ 30 Abs. 1 Satz 2 BSIG) begründet, kompensiert und dokumentiert werden.

Kommunale Versorger — Stadtwerke, Zweckverbände und Regieeinrichtungen

Die deutsche Wasserwirtschaft ist kleinteilig und überwiegend kommunal geprägt: Laut dem Branchenbild der deutschen Wasserwirtschaft 2025 gab es 2022 rund 5.600 Unternehmen der öffentlichen Wasserversorgung, größtenteils kleine Regie- und Eigenbetriebe von Kommunen, sowie rund 6.600 Abwasserentsorgungsbetriebe.

Eigen- und Regiebetriebe und die Rolle der Länder. Nach den FAQ des BSI fallen kommunale Eigen- und Regiebetriebe, für die vorrangig Landesrecht gilt, normalerweise nicht unter das NIS2UmsuCG. Anders ist es, wenn sie kritische Anlagen betreiben oder die Schwellenwerte für wichtige bzw. besonders wichtige Einrichtungen überschreiten: Dann ist das BSI die zuständige Aufsichtsbehörde, denn § 28 BSIG erfasst ausdrücklich auch rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft. Für Fragen zur Kommunalverwaltung insgesamt verweist das BSI an die zuständige Aufsichtsbehörde der jeweiligen Landesverwaltung. Auch beim künftigen KRITIS-Dachgesetz spielen die Länder eine Rolle: Für den Sektor Wasser ist keine Bundesbehörde als zuständige Behörde benannt, sodass die Länder die zuständigen Landesbehörden bestimmen (§ 3 Abs. 6 KRITISDachG).

Stadtwerke als Multi-Utility-Betreiber versorgen Gemeinden oft gleichzeitig mit Strom, Gas, Fernwärme und Wasser. Damit fallen sie unter mehrere Einrichtungsarten der Anlage 1: Energie (Nr. 1) und Wasser (Nr. 5). Die Größenschwellen werden für die Einrichtung als Ganzes berechnet, nicht spartenweise: Ein Stadtwerk mit 300 Mitarbeitern ist auch mit seiner Wassersparte besonders wichtige Einrichtung. Zu beachten ist zudem § 28 Abs. 5 BSIG: Für Energienetz- und Energieanlagenbetreiber, die den IT-Sicherheitsvorgaben der §§ 5c bis 5e EnWG unterliegen, gelten u. a. §§ 30 bis 32 BSIG nicht — diese Ausnahme greift aber nicht, soweit sie aufgrund weiterer Tätigkeiten wie der Wasserversorgung einer anderen Einrichtungsart der Anlage 1 zuzuordnen sind oder weitere kritische Anlagen betreiben.

Zweckverbände und Abwasserzweckverbände sind oft kleiner und verfügen über weniger eigene IT-Kapazitäten. Eine ausdrückliche Regelung zur gemeinsamen Nutzung eines Informationssicherheitsbeauftragten enthält § 30 BSIG nicht. Kleinere Verbände können Know-how über kommunale IT-Dienstleister oder Kooperationen bündeln; die Verantwortung bleibt bei der jeweiligen Einrichtung und ihrer Geschäftsleitung (§ 38 BSIG).

Für die Selbsteinstufung bietet das BSI die NIS-2-Betroffenheitsprüfung an; ob eine kritische Anlage vorliegt, ist nach Angaben des BSI wie bisher anhand der BSI-Kritisverordnung zu prüfen. Fachlich ist der B3S WA im DVGW-Merkblatt W 1060 bzw. DWA-Merkblatt M 1060 „IT-Sicherheit – Branchenspezifischer Sicherheitsstandard Wasser/Abwasser“ verankert; er bietet auch Versorgern ohne KRITIS-Anlage eine branchenspezifische Orientierung.

Fristen, Registrierung und Bußgelder

Datum	Pflicht	Rechtsgrundlage
6. Dezember 2025	NIS2UmsuCG in Kraft; Pflichten nach §§ 30, 32 und 38 BSIG gelten ohne Übergangsfrist	NIS2UmsuCG (BGBl. 2025 I Nr. 301)
6. März 2026	Registrierungsfrist im BSI-Portal für bwE und wE — Wasserversorgung eingeschlossen; noch nicht registrierte Einrichtungen müssen dies unverzüglich nachholen	§ 33 BSIG
Laufend seit 6. Dezember 2025	Erhebliche Sicherheitsvorfälle: 24h-Frühwarnung, 72h-Meldung, Abschlussmeldung nach einem Monat an das BSI	§ 32 BSIG
Vom BSI festgelegter Zeitpunkt, danach alle drei Jahre	Nachweis der Maßnahmen für Betreiber kritischer Anlagen; für bisherige KRITIS-Betreiber frühestens drei Jahre nach dem letzten Nachweis nach altem Recht	§ 39 BSIG
Nach Inkrafttreten der KRITIS-Verordnung (derzeit noch Entwurf)	Registrierung kritischer Anlagen beim BBK binnen drei Monaten; Risikoanalyse und Resilienzmaßnahmen 9 bzw. 10 Monate nach Registrierung	§§ 8, 12, 13 KRITISDachG

Bußgelder nach § 65 BSIG werden vom BSI verhängt, liegen im behördlichen Ermessen und können bis zu folgende Beträge erreichen:

• Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro; bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro bis zu 2 % des Gesamtumsatzes
• Wichtige Einrichtungen: bis zu 7 Millionen Euro; bei einem weltweiten Gesamtumsatz von mehr als 500 Mio. Euro bis zu 1,4 % des Gesamtumsatzes
• Versäumte oder fehlerhafte Registrierung nach § 33: bis zu 500.000 Euro

§ 38 BSIG — Pflichten und Haftung der Geschäftsleitung: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen sind verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung nach den für deren Rechtsform geltenden gesellschaftsrechtlichen Regeln (§ 38 Abs. 2 BSIG). Die Cybersicherheitsverantwortung ist damit nicht allein an die IT-Abteilung delegierbar. Zudem müssen Geschäftsleitungen regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG).

Häufige Fragen zur NIS2-Pflicht für Wasserversorger

Muss ein Wasserversorger mit 40 Mitarbeitern NIS2 einhalten?

Nicht zwingend. Unter 50 Mitarbeitern ist eine Einrichtung nur dann wichtige Einrichtung, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro liegen — das sollten Sie anhand der Zahlen prüfen. Unabhängig von der Größe erfasst sind Betreiber einer kritischen Anlage nach der BSI-Kritisverordnung (z. B. 22 Mio. m³ Trinkwasser pro Jahr), was bei so kleinen Versorgern selten vorkommt. Einrichtungen außerhalb des Anwendungsbereichs können Sicherheitsvorfälle freiwillig an das BSI melden (§ 5 BSIG).

Gilt NIS2 auch für Zweckverbände ohne eigene Wassergewinnung?

Ja, wenn der Zweckverband eine Wasserversorgungsanlage im Sinne der Trinkwasserverordnung betreibt — dazu können auch Verteilungsanlagen gehören — und die Größenschwellen erreicht. Maßgeblich ist die Größe des Zweckverbands als Rechtsperson, nicht die der einzelnen Mitgliedsgemeinden. Auch reine Abwasser-Zweckverbände fallen unter Anlage 1 Nr. 5.2 BSIG (Abwasserbeseitigung), wenn sie die Schwellenwerte überschreiten.

Was ist der Unterschied zwischen KRITIS-Audit und NIS2-Konformität?

KRITIS-Nachweise (früher alle zwei Jahre, nach § 39 BSIG künftig alle drei Jahre) beziehen sich auf die kritischen Anlagen. Die Pflichten nach § 30 BSIG gelten dagegen für die gesamte Einrichtung, also auch für IT außerhalb der kritischen Anlage, und benennen ausdrücklich Lieferkettensicherheit und MFA. Bisherige KRITIS-Prüfungen sind eine gute Grundlage, ersetzen eine Prüfung aller § 30-Maßnahmen aber nicht automatisch.

Reicht der B3S WA als Nachweis für § 30 BSIG?

Nicht automatisch. Der B3S WA ist vom BSI als geeignet festgestellt (gültig bis August 2027) und dient Betreibern kritischer Anlagen als Maßstab für den Stand der Technik. Ob alle Maßnahmen des § 30 Abs. 2 BSIG für die gesamte Einrichtung abgedeckt sind, etwa Lieferkette (Nr. 4) und MFA (Nr. 10), sollte gesondert geprüft werden. Empfehlung: B3S WA als Ausgangsbasis verwenden und mit einer NIS2-Lückenanalyse ergänzen.

Welche OT-Maßnahme ist für Wasserwerke am dringlichsten?

MFA für alle Fernzugriffe auf SCADA und SPS — die Vorfälle in Oldsmar (2021) und die CISA-Warnung zu Unitronics-Steuerungen (2023) zeigen, dass schwach gesicherte Fernzugänge und schwache Passwörter ein direktes Einfallstor für OT-Angriffe im Wassersektor sein können. Als Grundlage für alle weiteren Maßnahmen sollte zudem ein vollständiges OT-Asset-Inventar erstellt werden, da ohne genaue Kenntnis aller Steuerungskomponenten keine wirksame Risikoanalyse möglich ist.

Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Compliance-Beratung dar. Die NIS2-Umsetzungspflichten können je nach Unternehmensstruktur, Sektor, Größe und nationaler Regulierung variieren. Stand: Oktober 2026; die KRITIS-Verordnung des Bundes ist noch nicht in Kraft. Wenden Sie sich für eine unternehmensspezifische Beratung an einen qualifizierten Rechtsanwalt oder NIS2-Compliance-Spezialisten.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Anhang I Nr. 6 und 7 — EUR-Lex, Europäisches Parlament und Rat
• BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG, insbesondere §§ 28–39, 61, 62, 65, 66 und Anlage 1 — gesetze-im-internet.de
• BSI-Kritisverordnung (BSI-KritisV), § 3 und Anhang 2 (Sektor Wasser) — gesetze-im-internet.de
• KRITIS-Dachgesetz (KRITISDachG), §§ 3, 4 und 8 — gesetze-im-internet.de
• Trinkwasserverordnung (TrinkwV), § 47 Anzeigepflichten — gesetze-im-internet.de
• BSI: Übersicht der Branchenspezifischen Sicherheitsstandards (B3S Wasser/Abwasser) — Bundesamt für Sicherheit in der Informationstechnik
• BSI: Allgemeine FAQ zu NIS-2 (u. a. kommunale Eigenbetriebe, BSI-Kritisverordnung) — Bundesamt für Sicherheit in der Informationstechnik
• OpenKRITIS: Sektor Wasser und Abwasser — NIS2-Anforderungen und KRITIS-Einstufung
• DVGW: IT-Sicherheit im Gas- und Wasserfach — Deutscher Verein des Gas- und Wasserfaches
• Cichowski, Fricke, Jepp, Tenner: Der neue B3S WA – Edition 2023, energie | wasser-praxis 02/2024 (PDF) — DVGW
• Branchenbild der deutschen Wasserwirtschaft 2025 — BDEW und Verbände der Wasserwirtschaft
• CISA: Compromise of U.S. Water Treatment Facility (AA21-042A, Oldsmar 2021) — Cybersecurity and Infrastructure Security Agency
• CISA: Exploitation of Unitronics PLCs used in Water and Wastewater Systems (2023) — Cybersecurity and Infrastructure Security Agency