KRITIS Sektor-Steckbrief: Wasser

Trinkwasserversorgung

Der Regelschwellenwert: Die Versorgung von mindestens 500.000 Personen.

Berechnungsbeispiele (laut BSI-KritisV):

Trinkwasserversorgung: Eine Anlage (z. B. Wasserwerk oder Verteilnetz) gilt als kritisch ab einer pro Jahr abgegebenen Trinkwassermenge von 17,5 Millionen $m^3$ (basierend auf einem Pro-Kopf-Verbrauch von ca. 122 Litern pro Tag).
Abwasserbeseitigung: Eine Anlage (z. B. eine große Kläranlage) fällt unter die Pflicht ab einer eingeleiteten/behandelten Abwassermenge von 37,5 Millionen $m^3$ /Jahr.

Zuständige Landesbehörden & Umweltämter: Da die Wasserwirtschaft in Deutschland primär Ländersache ist, liegt die direkte fachliche Aufsicht bei den jeweiligen Ministerien und Behörden der Bundesländer (z. B. Landesumweltämter).
BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe): Zentrale Anlaufstelle auf Bundesebene für die physische Resilienz (Vorgaben durch das KRITIS-Dachgesetz).
BSI (Bundesamt für Sicherheit in der Informationstechnik): Zuständig für die IT-/Cyber-Sicherheit und das zentrale Meldewesen bei IT-Vorfällen.

Informationssicherheit (§ 30/31 BSIG / NIS-2): Umsetzung von Sicherheitsmaßnahmen nach dem “Stand der Technik” (häufig orientiert am branchenspezifischen Sicherheitsstandard B3S Wasser/Abwasser). Pflicht zum Einsatz von Systemen zur Angriffserkennung (SZA) sowie regelmäßige Audit-Nachweise alle 2 Jahre.
Physische Resilienz (§ 13 KRITIS-DachG): All-Gefahren-Ansatz: Proaktiver Schutz vor physischen Risiken wie Extremwetter (Jahrhundert-Hochwasser, extreme Trockenheit/Dürre), technischem Versagen, Sabotage oder dem Ausfall von Vorlieferanten. Konkrete Schutzmaßnahmen: Physische Absicherung von Brunnen, Speicherbecken und Klärbecken (Zäune, Videoüberwachung), strenge Zugangskontrollen zu Leitständen sowie die Vorhaltung einer autarken Notstromversorgung (Netzersatzanlagen für den Pumpenbetrieb).

Registrierung: Spätestens 3 Monate nach Erreichen des Status als kritische Anlage über das gemeinsame Portal von BSI und BBK, jedoch frühestens ab dem 17. Juli 2026.
Risikoanalysen & Resilienzplan: Turnusmäßige Durchführung von Risikoanalysen alle 4 Jahre. Ein umfassender Resilienzplan muss nach den Vorgaben des Dachgesetzes erstellt werden.
Strafen: Bußgelder von bis zu 500.000 € bei Verstößen gegen die Registrierungs- oder Nachweispflichten (Hinweis: Bei schweren Verstößen gegen IT-Anordnungen nach neuem Recht sind sogar noch deutlich höhere Bußgelder möglich).
Haftung: Die Geschäftsleitung (z. B. Geschäftsführer von Stadtwerken oder Zweckverbänden) haftet bei schuldhafter Verletzung der Überwachungspflichten persönlich und direkt mit dem Privatvermögen.