NIS2-Checkliste Trinkwasser

Trinkwasserversorgungsunternehmen sind Betreiber kritischer Infrastruktur mit unmittelbarer Auswirkung auf die öffentliche Gesundheit. Manipulationen an SCADA-Steuerungssystemen können die Wasserqualität gefährden — wie reale Angriffe auf Wasseraufbereitungsanlagen weltweit belegen. NIS2 hat die Betroffenheit auf kleinere Wasserversorger ausgeweitet.

Ihre NIS2-Checkliste für Trinkwasser

1. 1

   Registrieren Sie Ihr Versorgungsunternehmen beim BSI über MELDEX

   Melden Sie sich als Wasserversorgungsunternehmen beim BSI an und benennen Sie einen Informationssicherheitsbeauftragten. Klären Sie, ob KRITIS-Schwellenwerte überschritten werden und damit zusätzliche Pflichten nach KRITIS-Dachgesetz bestehen.

2. 2

   Erstellen Sie ein vollständiges Asset-Inventar aller SCADA- und Prozessleitsysteme

   Erfassen Sie sämtliche Steuerungssysteme für Pumpen, Ventile, Aufbereitungsanlagen und Wasserqualitätsüberwachung mit Hersteller, Firmware-Version, Netzwerkanbindung und letztem Sicherheits-Audit. Schließen Sie Fernwirkeinheiten und Remote-Terminal-Units (RTUs) ein.

3. 3

   Führen Sie eine wasserversorgungsspezifische Risikoanalyse durch

   Bewerten Sie Bedrohungsszenarien mit direktem Gesundheitsbezug: unbefugte Manipulation von Chlorierungs- oder pH-Regelung, Ausfall von Pumpensteuerungen, Kompromittierung von Fernwartungszugängen und physische Sabotage kombiniert mit Cyber-Angriffen.

4. 4

   Implementieren Sie OT-Netzwerksegmentierung zur SCADA-Isolation

   Trennen Sie SCADA- und Prozessleitsysteme vollständig vom Verwaltungsnetz und vom Internet. Setzen Sie unidirektionale Datengateways (Data Diodes) für Monitoring-Datenübertragungen ein. Fernwartungszugriffe sind ausschließlich über gesicherte Zugangspunkte mit vollständiger Protokollierung zu erlauben.

5. 5

   Sichern Sie alle Fernwartungszugriffe mit MFA und Session-Logging

   Alle externen Zugriffe auf SCADA-Systeme müssen über VPN mit Multi-Faktor-Authentifizierung erfolgen. Protokollieren Sie jede Fernwartungssession vollständig (Benutzer, Zeitstempel, ausgeführte Befehle). Deaktivieren Sie Zugangsdaten ausgeschiedener Dienstleister sofort.

6. 6

   Prüfen Sie OT-Komponentenlieferanten auf Sicherheitsstandards

   Fordern Sie von Herstellern von Pumpensteuerungen, SCADA-Software und Fernwirkeinheiten Sicherheitszertifizierungen nach IEC 62443. Überprüfen Sie Wartungsverträge auf Patch-Lieferpflichten, sichere Fernzugriffsregelungen und Incident-Response-Unterstützung.

7. 7

   Entwickeln Sie Incident-Response-Verfahren für Versorgungsunterbrechungen

   Definieren Sie Eskalationspfade für Szenarien, die die Wasserqualität oder Versorgungssicherheit gefährden. Bestimmen Sie Kommunikationswege zu Gesundheitsbehörden, Katastrophenschutz und BSI (24h Frühwarnung, 72h Vollmeldung bei erheblichen Vorfällen).

8. 8

   Integrieren Sie physische Sicherheitsmaßnahmen nach KRITIS-DachG

   Sichern Sie Pumpstationen, Wasserwerke, Reservoire und Aufbereitungsanlagen mit Zutrittskontrollsystemen, Perimetersicherung und Videoüberwachung. Konvergieren Sie physische Sicherheitsmaßnahmen mit Ihren Cyber-Schutzmaßnahmen in einem gemeinsamen Sicherheitskonzept.

9. 9

   Schulen Sie OT-Operatoren zu sicheren Betriebsverfahren

   Trainieren Sie alle Mitarbeiter, die SCADA-Systeme bedienen, zu sicheren Konfigurationspraktiken, Erkennung ungewöhnlicher Systemzustände und korrekter Reaktion bei Manipulationsverdacht. Führen Sie mindestens jährlich Notfallübungen für Betriebsunterbrechungsszenarien durch.

10. 10

    Beauftragen Sie ein jährliches SCADA-Sicherheitsaudit

    Lassen Sie Ihre SCADA-Umgebung und Fernwartungsinfrastruktur mindestens alle zwei Jahre durch einen spezialisierten OT-Sicherheitsauditor prüfen. Dokumentieren Sie Befunde, Maßnahmenpläne und Umsetzungsstand als Nachweis für BSI-Prüfungen.