„Die manuelle Steuerung bleibt als Backup unverzichtbar“
Die Anforderungen an die Cybersicherheit kritischer Infrastrukturen steigen. Für Wasserversorger bedeutet das nicht nur technische und organisatorische Anpassungen, sondern auch erhebliche finanzielle Belastungen. Dr. Jörg Rehberg, zuständig beim Bundesverband der Energie- und Wasserwirtschaft (BDEW) für Sicherheitspolitik in der Wasserwirtschaft, erklärt im Interview mit energie.blog, wo die Wasserwirtschaft im Vergleich zur Energiebranche steht, welche Unterstützung kleine und mittlere Unternehmen brauchen – und warum manuelle Steuerung als unverzichtbares Backup gilt.
Kleinteilige Strukturen als Herausforderung und Schutz zugleich
e.b: Welche besonderen Herausforderungen gibt es in der Wasserwirtschaft im Vergleich zur Energiebranche, wenn es um Cybersicherheit geht?
Jörg Rehberg: Die Wasserwirtschaft ist deutlich kleinteiliger als beispielsweise die Energieversorgung organisiert – mit vielen kleinen, regional tätigen Versorgern. Die Herausforderung liegt darin, dass auch kleine Unternehmen im Prinzip dieselben Sicherheitsanforderungen erfüllen müssen wie große. Relativ gesehen ist der Aufwand für sie also deutlich höher.
Die Energiebranche steht stärker im Fokus von Cyberangriffen. Hier schützt die Struktur der Wasserwirtschaft ein Stück weit: Ein großflächiger Stromausfall erzeugt sofort Aufmerksamkeit, während eine kurze Unterbrechung der Wasserversorgung weniger Beachtung findet. Dabei darf man nicht vergessen: Wasser ist ein Grundnahrungsmittel – und ohne Strom laufen die Pumpen irgendwann nicht mehr.
Angriffe gibt es in der Wasserwirtschaft aber durchaus. Wie Krankenhäuser, Kommunen und andere öffentliche Einrichtungen sind auch wir betroffen. Die meisten Unternehmen haben bereits Hackerangriffe erlebt.
NIS-2 und IT-Sicherheitsgesetz: Gut vorbereitet, aber technische Lücken bleiben
e.b: Mit NIS-2 und dem neuen IT-Sicherheitsgesetz steigen die Anforderungen an kritische Infrastrukturen. Was bedeutet das konkret für Wasserversorger – und wie gut sind die Unternehmen vorbereitet?
Jörg Rehberg: Die Anforderungen steigen, aber sie sind im Kern richtig. Für die Wasserversorger heißt das, Strukturen anzupassen: Sicherheitsverantwortliche zu benennen, Meldestrukturen aufzubauen und Technik nachzurüsten.
Da die Gesetze lange angekündigt waren und die neue Bundesregierung wenig verändert hat, konnten sich potenziell betroffene Unternehmen vorbereiten. Der größte Nachholbedarf liegt in der Technik und in der Abstimmung mit IT-Dienstleistern sowie Komponentenhersteller. Der Sicherheitsstandard muss in der gesamten Kette gleich hoch sein. Besteht irgendwo eine Lücke, ist das gesamte System gefährdet.
„Digitalisierung erleichtert Prozesse und spart Personal, aber im Notfall muss eine Anlage auch per Hand steuerbar bleiben. Je weniger Mitarbeitende vor Ort sind, desto größer wird diese Herausforderung.“
Resilienz: Autarkie und manuelle Steuerung als Schlüssel
e.b: Resilienz umfasst nicht nur den Schutz vor Angriffen, sondern auch die schnelle Wiederherstellung im Ernstfall. Welche Maßnahmen sind hier besonders wichtig?
Jörg Rehberg: Entscheidend ist die Fähigkeit, Stromausfälle zu überbrücken – etwa durch Dieselaggregate, Batterien oder ausreichend dimensionierte PV- und Windanlagen. Ziel ist es, möglichst lange autark zu bleiben.
Ein Vorteil der Wasserwirtschaft ist, dass vieles weiterhin manuell steuerbar ist. Die meisten Schieber im Netz lassen sich von Hand betätigen. Mitarbeitende können vor Ort ein Ventil schließen oder eine Pumpe abschalten. Deshalb ist die manuelle Steuerung als Backup unverzichtbar. Digitalisierung erleichtert Prozesse und spart Personal, aber im Notfall muss eine Anlage auch per Hand steuerbar bleiben. Je weniger Mitarbeitende vor Ort sind, desto größer wird diese Herausforderung.
Unterstützung für kleine und mittlere Unternehmen
e.b: Viele Stadtwerke und Wasserbetriebe sind klein oder mittelgroß und haben begrenzte Ressourcen. Welche Unterstützungsmöglichkeiten gibt es für sie?
Jörg Rehberg: Wir als BDEW bieten Handlungsleitfäden an, die aufzeigen, was umzusetzen ist, in welchem Zeitrahmen und mit welcher Unterstützung. Ergänzend gibt es Veranstaltungen und Webinare.
In der Umsetzung sind die Unternehmen dann auf sich gestellt, und gerade finanziell ist der Aufwand erheblich. Wir sagen klar: Beim Schutz kritischer Infrastruktur und bei der Anpassung an den Klimawandel muss ein Teil der vorgesehenen Mittel für die Infrastruktur auch der Wasserwirtschaft zugutekommen. Wir hoffen auf Unterstützungsmöglichkeiten, doch die Konkurrenz um Fördergelder ist groß.
Positive Entwicklung: Austausch und Zusammenarbeit wachsen
e.b: Welche Rolle spielt die Zusammenarbeit mit anderen Sektoren, etwa der Energiewirtschaft, für eine stärkere Cybersicherheit?
Jörg Rehberg: Die Energie- und Wasserwirtschaft wachsen in diesem Bereich enger zusammen. Beide Seiten profitieren voneinander. Etwas stärker profitiert vielleicht die Wasserwirtschaft von der Energiebranche, die ein größeres Finanzvolumen umsetzt und mehr im Fokus steht.
Andererseits waren wir es, die den sektoralen Sicherheitsstandard B3S zuerst entwickelt und angewendet haben – in Abstimmung mit dem BSI. Der DVGW und die DWA haben sich zusammengetan, der BDEW hat die Umsetzung vorangetrieben. Wenn wir uns nicht selbst diesen Standard gegeben hätten, wäre er von außen vorgegeben worden, möglicherweise mit deutlich weniger passenden Inhalten.
Insgesamt ist es eine positive Entwicklung, dass die Aufmerksamkeit für Sicherheit und Resilienz steigt. Es gibt Austausch mit Sicherheitsbehörden, fast alle Unternehmen melden inzwischen Vorfälle. Viele arbeiten daran, ihre Autarkie zu erhöhen und die Sicherheitsvorkehrungen deutlich auszubauen.
„Es geht nicht nur um Schutz vor Angriffen, sondern auch um unbeabsichtigte Verunreinigungen.“
Erwartungen an Politik und Behörden
e.b: Welche Erwartungen haben Sie an Politik und Regulierungsbehörden, um die Wasserwirtschaft künftig besser abzusichern?
Jörg Rehberg: Klärungsbedarf sehe ich bei den Zuständigkeiten – etwa beim Zusammenspiel von Innen- und Verteidigungsministerium und bei der Abstimmung der Sicherheitsbehörden. Unklare Zuständigkeiten dürfen nicht als Vorwand dienen, notwendige Maßnahmen zu verzögern.
Darüber hinaus müssen die bestehenden Regulierungen finanziell unterlegt werden. Man kann sie mit anderen Infrastrukturmaßnahmen verbinden, aber ohne zusätzliche Mittel wird es nicht gehen.
Blick nach vorn: Resilienz, Ressourcenschutz und Vorrang für Wasser
e.b: Welche Aufgaben und Herausforderungen kommen in den nächsten Jahren auf die Unternehmen der Wasserwirtschaft zu?
Jörg Rehberg: Im Vordergrund steht der weitere Ausbau von Resilienzstrukturen. Wir dürfen nie in eine Situation geraten, in der die Versorgung infrage steht. Das Netz wird sich nie vollständig absichern lassen, aber bei den Anlagen, bei der Wassergewinnung und beim Ressourcenschutz können wir viel tun.
Es geht nicht nur um Schutz vor Angriffen, sondern auch um unbeabsichtigte Verunreinigungen. Ein großes Problem sind die Ewigkeitschemikalien PFAS. Solche Belastungen nehmen zu und dürfen bei der Diskussion um Wirtschaftlichkeit und Bürokratieabbau nicht ausgeblendet werden.
Wichtig ist auch ein Vorrang für die Wasserwirtschaft. Bei Genehmigungsverfahren sollte die Versorgung der Bevölkerung mit Wasser Priorität haben. Wasserknappheiten sind heute überwiegend technisch bedingt, nicht ressourcenbedingt. Wenn etwa Verbundleitungen gebaut werden, müssen diese schneller genehmigt werden. Eine Beschleunigung wäre dringend notwendig.
Zur Person: Dr. Jörg Rehberg ist beim BDEW unter anderem für Sicherheitspolitik in der Wasserwirtschaft zuständig. Weitere Informationen: www.bdew.de
