07. April 2022
Wasserver- und Abwasserentsorgungsunternehmen gehören zu den „Kritischen Infrastrukturen“. Als zentrale Elemente der Daseinsvorsorge müssen sie umfassend vor Cyberangriffen geschützt werden. Um die Unternehmen dabei bestmöglich zu unterstützen, haben DWA und DVGW den branchenspezifischen IT-Sicherheitsstandard Wasser/Abwasser (B3S WA) entwickelt. Nachdem das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt hat, dass auch die Version 2021 des B3S WA die gesetzlichen Anforderungen im BSI-Gesetz für KRITIS-Betreiber erfüllt, wurde jetzt das dritte Update des IT-Sicherheitsleitfadens veröffentlicht. KRITIS-Betreiber können durch die Umsetzung des B3S WA das gesetzlich vorgeschriebene Schutzniveau erreichen und sich so vor Cyberangriffen schützen. „Bei der Aktualisierung stand im Fokus, den B3S WA um Aspekte zu ergänzen, die im Rahmen der fortschreitenden Digitalisierung besondere Bedeutung gewinnen. Dazu zählen zum Beispiel Cloud-Nutzung, Internet of Things oder Angriffserkennung. Wichtig war auch, dass die neue Version weiterhin eine Basis-Absicherung der IT-Struktur für kleine und mittlere Betreiber bietet“, betonen DWA und DVGW. Durch das DVGW-Merkblatt W 1060 „IT-Sicherheit – Branchenstandard Wasser/Abwasser“ wird der B3S WA im Regelwerk der Branchenverbände verankert. Sie sind inklusive des dazugehörigen IT-Tools ab sofort erhältlich.
Im B3S WA 2021 werden die aktuellen Entwicklungen in der IT sowie die geänderten gesetzlichen Vorgaben berücksichtigt. Wichtige neue Anwendungsgebiete sind Cloud-Nutzungen und das Internet of Things (IoT). Außerdem wurde die Angriffserkennung (Intrustion Detection) bereits jetzt aufgenommen, obwohl die zugehörigen Anforderungen erst ab Mitte 2023 zwingend erfüllt werden müssen. KRITIS-Betreiber können sich somit frühzeitig auf die neuen Anforderungen einstellen.
Der B3S WA 2021 beschreibt die zu erfüllenden Mindestanforderungen für KRITIS-Betreiber zur Einhaltung der Vorgaben des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik (BSIG). Aber auch für Betreiber, deren Anlagen die Schwellenwerte (22 Millionen Kubikmeter Wasserabgabe pro Jahr bezogen auf Anlagenkategorien, z.B. Wasserwerk oder Leitzentrale, bzw. 500 000 angeschlossene Einwohner an die Kanalisation oder Ausbaugröße der Kläranlage von 500 000 Einwohnerwerten) in der BSI-Kritisverordnung nicht erreichen, empfehlen DWA und DVGW mindestens die Implementierung des Basisschutzniveaus. Die derzeit laufenden Überlegungen auf EU-Ebene zur NIS-2-Richtlinie (Europäische Richtlinie zur Gewährleistung einer hohen Netzwerk- und Informationssicherheit) deuten darauf hin, dass auch Anlagen unterhalb der Schwellenwerte der aktuellen BSI-Kritisverordnung in Zukunft als Kritische Infrastrukturen eingestuft werden könnten.
