Trinkwasser
NIS2-Pflichten für Wasserversorgungsunternehmen und Verteilnetzbetreiber
Ist Ihr Unternehmen betroffen?
- Öffentliche Wasserversorgungsunternehmen mit mehr als 50 Mitarbeitern oder Versorgung von mehr als 50.000 Personen (NIS2UmsuCG Anhang I)
- Betreiber von Wasserverteilungsnetzen und Pumpinfrastruktur ab NIS2-Schwellenwert
- Kommunale Wasserwerke, Kläranlagen und Abwasserentsorgungseinrichtungen mit automatisierter Steuerungstechnik (SCADA)
- Fernwartungsdienstleister für Wasserinfrastruktur sowie Hersteller von Wasseraufbereitungsanlagen mit direktem Netzwerkzugang
- Verbundnetzbetreiber und Zweckverbände der Trinkwasserversorgung, sofern Schwellenwerte überschritten werden
NIS2-Anforderungen nach Art. 21
- 01.
SCADA- und Prozessleittechnik-Absicherung
Wasserversorgungsanlagen setzen SCADA-Systeme (Supervisory Control and Data Acquisition) zur Fernsteuerung von Pumpen, Ventilen und Aufbereitungsanlagen ein. NIS2 verlangt eine Sicherheitsbewertung und Härtung dieser OT-Systeme nach aktuellem Stand der Technik.
- 02.
Schutz der Wasseraufbereitungssteuerung
Unbefugte Veränderungen an Chlorierungs-, pH-Regelungs- oder Fluoridierungssteuerungen können zu einer Gefährdung der öffentlichen Gesundheit führen. Zugriffskontrolle auf Steuerungsebene, Änderungsprotokollierung und Plausibilitätsprüfungen sind verpflichtend.
- 03.
Physische Sicherheit und KRITIS-Dachgesetz-Übergang
Trinkwasserversorger oberhalb des KRITIS-Schwellenwerts unterliegen auch dem KRITIS-Dachgesetz (in Kraft seit 17.03.2026), das physische Sicherheitsmaßnahmen für Pumpstationen, Wassertürme und Aufbereitungsanlagen vorschreibt — in Ergänzung zu den Cyber-Anforderungen aus NIS2.
- 04.
Fernwartungssicherheit und Lieferkettenkontrolle
Viele Wasserversorger nutzen Fernwartungszugänge durch Drittanbieter für Wartungsarbeiten an SCADA-Anlagen. NIS2 verlangt, dass alle Fernzugriffe über sichere, protokollierte Kanäle erfolgen und Lieferanten eine Mindest-Sicherheitsanforderung erfüllen.
- 05.
Aufrechterhaltung des Betriebs und Notfallplanung
Trinkwasserversorgung ist kritisch für die öffentliche Gesundheit. Business-Continuity-Pläne müssen manuelle Betriebsmodi, Notfallkommunikation mit Behörden und einen Mindestversorgungsplan für den Fall eines vollständigen Systemausfalls umfassen.
- 06.
Meldepflicht sicherheitsrelevanter Vorfälle an BSI
Erhebliche Sicherheitsvorfälle — insbesondere solche, die eine Beeinträchtigung der Wasserqualität oder Versorgungssicherheit verursachen könnten — sind innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden vollständig an das BSI zu melden.
- 07.
Risikoanalyse für kombinierte Cyber-/physische Bedrohungen
Wasserinfrastruktur ist exponiert gegenüber kombinierten Angriffsvektoren (gleichzeitiger physischer Einbruch und Cyber-Sabotage). Die NIS2-Risikoanalyse muss diese Hybridbedrohungen explizit adressieren.
Typische Bedrohungsszenarien
Manipulation von Wasseraufbereitungssystemen
Ein Angreifer erhielt über eine ungesicherte Fernwartungsverbindung Zugriff auf das SCADA-System einer Wasseraufbereitungsanlage und versuchte, den Natriumhydroxidgehalt auf ein gesundheitsgefährdendes Niveau anzuheben. Der Angriff wurde durch einen aufmerksamen Bediener erkannt.
Oldsmar Water Treatment Hack (USA, 2021)Angriff auf nationale Wasserinfrastruktur
Staatlich gesponserte Akteure griffen während einer geopolitischen Krise gezielt die Steuerungssysteme von Wasserversorgungsanlagen an, um kritische Infrastruktur zu destabilisieren und Versorgungsunterbrechungen zu verursachen.
Angriff auf israelische Wasserinfrastruktur (Israel, 2020)Manipulationsversuch an kommunaler Wasseraufbereitungsanlage
Ein ehemaliger Mitarbeiter nutzte weiterhin aktive Zugangsdaten zu einem Cloud-basierten SCADA-System, um Steuerungsbefehle an eine kommunale Wasseraufbereitungsanlage zu senden. Das Incident zeigt die Gefahr nicht deaktivierter Accounts.
Cyberangriff auf Bay Area Wasserversorgung (California, USA, 2021)Maßnahmen-Checkliste
- SCADA-Härtung: Abkopplung von Wasseraufbereitungs-OT-Systemen vom öffentlichen Internet und Verwaltungsnetz
- Physischer Zugangsschutz für alle Pumpstationen, Wassertürme und Aufbereitungsanlagen (Zutrittskontrolle, CCTV)
- Echtzeitmonitoring der Wasserqualitätsparameter (pH, Chlorgehalt, Trübung) mit automatisierten Grenzwertalarmierungen
- Mehrfaktor-Authentifizierung und Session-Logging für alle Fernwartungszugriffe auf SCADA-Systeme
- Redundante Steuerungssysteme und manuelle Betriebsfähigkeit als Fallback bei Systemausfall
- Regelmäßige Überprüfung und sofortige Deaktivierung von Zugangsdaten ausgeschiedener Mitarbeiter und Dienstleister
- Netzwerksegmentierung zwischen OT-Steuerungsebene, Prozessleitsystem und IT-Managementnetz
- Penetrationstest der SCADA-Umgebung und Fernwartungsinfrastruktur mindestens alle zwei Jahre
- Notfallkommunikationsplan mit Gesundheitsbehörden und Katastrophenschutz für Versorgungsunterbrechungen
- Lieferantenbewertung für SCADA-Hersteller und Fernwartungsdienstleister nach NIS2-Sicherheitsanforderungen
Verwandte Inhalte
Leistungen
Checklisten
NIS2-Compliance für Trinkwasser?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen