Abwasser: Häufig gestellte Fragen

Maßgeblich sind Tätigkeit und Größe, nicht die Rechtsform. Abwassersammlung, -ableitung und -behandlung stehen in Anhang I des NIS2UmsuCG; erfasst sind Einrichtungen ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz. Eigenbetriebe und Zweckverbände fallen darunter, sofern sie als wirtschaftliche Einheit die Schwellen überschreiten. Prüfen Sie zusätzlich, ob eine Anlage nach BSI-KritisV als kritische Anlage gilt — daran hängen weitergehende Nachweispflichten nach § 39 BSIG.

Offene Funk- und Mobilfunkstrecken erlauben es, Steuerbefehle abzusetzen, ohne je ein Gebäude zu betreten — genau das war der Angriffsweg im Fall Maroochy Shire. Wirksam sind verschlüsselte und beidseitig authentisierte Verbindungen, ergänzt um eine Plausibilitätsprüfung, die technisch unmögliche Sollwertsprünge unabhängig vom Leitsystem meldet. Ebenso wichtig ist der physische Zutrittsschutz: Ein offenes Pumpwerk macht jede Netzhärtung wirkungslos.

Diese Geräte sind der häufigste Einstiegspunkt, weil sie automatisiert im Internet gefunden werden. Erfassen Sie zunächst standortweise, welche Steuerungen überhaupt vorhanden und von außen erreichbar sind. Tauschen Sie danach jedes Standardpasswort aus und dokumentieren Sie den Austausch je Standort einzeln — diese Liste ist im Prüfungsfall Ihr Nachweis. Prüfen Sie den Bestand wiederkehrend, denn nachgerüstete Geräte bringen die Voreinstellung erneut mit.

Der kritischste Moment ist der, in dem die Anlage am meisten leisten muss. Die Notfallplanung muss deshalb genau dieses Szenario abbilden: welcher Mitarbeiter welches Bauwerk anfährt, in welcher Reihenfolge Pumpwerke und Regenbecken gefahren werden und wie ein Rückstau in bebautes Gebiet verhindert wird. Üben Sie den Ablauf mindestens jährlich — ein Plan, den niemand gefahren hat, ist im Ereignisfall kein Plan.

An das BSI gehen Erstmeldung binnen 24 Stunden, Bewertung binnen 72 Stunden und Abschlussbericht binnen eines Monats über MELDEX. Führt derselbe Vorfall zu einer Grenzwertüberschreitung im Ablauf, besteht parallel eine Anzeigepflicht gegenüber der Wasserbehörde. Legen Sie vorab schriftlich fest, wer welchen Weg verantwortet — im Ereignisfall bleibt für diese Abstimmung keine Zeit.

Viele Betreiber führen beide Sparten in einer Organisation und oft im selben Netz. Beide fallen unter NIS2, unterscheiden sich aber in Schutzbedarf und Meldeschwelle: Bei Trinkwasser steht die Gesundheitsgefährdung im Vordergrund, bei Abwasser der Umweltschaden. Bilden Sie diese Abgrenzung ausdrücklich im Sicherheitskonzept ab, damit im Ereignisfall klar ist, welcher Maßstab greift.