DWA und DVGW veröffentlichen aktualisierten IT-Sicherheitsleitfaden

​veröffentlicht am 24. Juni 2022

Wasserver- und Abwasserentsorgungsunternehmen gehören zu den „Kritischen Infrastrukturen”. Als zentrale Elemente der Daseinsvorsorge müssen sie umfassend vor Cyberangriffen geschützt werden. Zur bestmöglichen Unterstützung der Unternehmen haben die Deutsche Vereinigung für Wasserwirtschaft, Abwasser und Abfall (DWA) und der Deutsche Verein des Gas- und Wasserfaches (DVGW) ihren IT-Sicherheitsleitfaden Wasser/Abwasser (B3S WA) überarbeitet und das dritte Update veröffentlicht.

Vor dem Hintergrund vermehrter und immer komplexer werdenden Cyberangriffen hat die IT-Sicherheit für die Betreiber Kritischer Infrastrukturen eine hohe Relevanz. So auch für Wasserver- und Abwasserentsorgungsunternehmen. Denn alle benötigen frisches Trinkwasser sowie eine funktionierende Abwasserentsorgung und -aufbereitung. Und so ist es umso wichtiger, dass die informationstechnischen Systeme, Komponenten und Prozesse vor Ausfall und Manipulation geschützt sind.

Daher schreibt der Gesetzgeber vor, dass Versorgungsunternehmen, die die Schwellenwerte der BSI-Kritisverordnung (BSI-KritisV) erreichen oder überschreiten, ihre IT-Infrastruktur entsprechend der im BSI-Gesetz definierten Mindestanforderungen schützen und die Implementierung der dafür notwendigen Schutzmaßnahmen alle zwei Jahre dem BSI gegenüber nachweisen müssen.

Mit dem aktuell geltenden Schwellenwert sind jedoch lediglich Wasserversorgungsunternehmen mit einem jährlichen Wasseraufkommen von mindestens 22 Millionen m³/Jahr (bezogen auf die Anlagenkategorien Wasserwerk, Gewinnungsanlage, Aufbereitungsanlage, Wasserverteilungsnetz und Leitzentrale) zur Umsetzung verpflichtet.¹ Allerdings empfiehlt das Bundesamt für Sicherheit in der Informationstechnik auch kleinen und mittleren Wasserversorgungsunternehmen, die nicht unter die BSI-KritisV fallen, sich dringend mit dem Thema IT-Sicherheit auseinander zu setzen.

Zur Unterstützung in der Umsetzung haben DWA und DVGW den branchenspezifischen IT-Sicherheitsstandard Wasser/Abwasser (B3S WA) entwickelt, der Wasserver- und Abwasserentsorgungsunternehmen – unabhängig von der Größe – ein Instrument an die Hand gibt, ein Schutzniveau zu implementieren, dass dem Stand der Technik entspricht.

Dabei werden mit der Veröffentlichung des dritten Updates (Version 2021) des B3S WA durch die Berücksichtigung des DVGW-Merkblattes W 1060 zusammen mit dem „IT-Sicherheitsleitfaden” die aktuellen Entwicklungen in der IT sowie die geänderten gesetzlichen Vorgaben berücksichtigt. Wichtige neue Anwendungsgebiete sind Cloud-Nutzungen und das Internet of Things (IoT). Außerdem wurden vier neue Anwendungsfälle (AR6 Datenverbindung über öffentliche Netze, AR7 Virtualisierung, AR8 IoT-Geräte und ID1 Intrusion Detection) aufgenommen.

Damit können Wasserver- und Abwasserentsorgungsunternehmen durch seine Umsetzung eine Sicherung ihrer IT-Infrastruktur erreichen, die dem aktuellen Stand der Technik entspricht, unabhängig davon, ob sie unter die BSI-Kritis Verordnung fallen oder nicht.

 
¹vgl. auch Hofman, Falk und Hahn, Hannes (Rödl & Partner): KritisV und IT-Sicherheitsgesetz 2.0: Handlungsbedarf zunehmend auch für kommunale Trink- und Abwasserentsorger, Wasser Kompass, Ausgabe 2/2021.