Manager
Bachelor of Arts (Business Administration)
NIS2 in der Wasserwirtschaft: Informationssicherheit wird zur strategischen Führungsaufgabe
- Neue gesetzliche Vorgaben erhöhen die Anforderungen an die Wasserwirtschaft.
- Wasserversorger müssen Cybersicherheit künftig strategisch und ganzheitlich steuern.
- NIS2 bringt neue Sicherheits-, Nachweis- und Meldepflichten für Unternehmen.
- Warum die Absicherung von IT- und OT-Systemen jetzt besonders wichtig wird.
Mit der Umsetzung der EU-Richtlinie NIS2¹ in deutsches Recht sind die Anforderungen an die Cyber- und Informationssicherheit für Unternehmen der Wasserwirtschaft deutlich gestiegen. Das entsprechende Umsetzungsgesetz (NIS2UmsuCG) wurde am 5.12.2025 im Bundesgesetzblatt veröffentlicht und ist seit dem 6.12.2025 in Kraft.² Damit sind die neuen Vorgaben für viele Wasser- und Abwasserunternehmen bereits verbindlich.
Die Wasserwirtschaft zählt nach der NIS2-Richtlinie zu den Sektoren mit hoher Kritikalität. Betroffen sind insbesondere Wasserversorgungs- und Abwasserentsorgungsunternehmen, die die gesetzlichen Größenkriterien erfüllen. Bereits mittlere Unternehmen mit mehr als 50 Beschäftigten oder einem Jahresumsatz von über 10 Mio. Euro können als „wichtige Einrichtungen“ eingestuft werden und unterliegen damit umfangreichen Sicherheits-, Nachweis- und Meldepflichten.³
Cybersicherheit wird zur Managementaufgabe
NIS2 verpflichtet Unternehmen, angemessene technische, organisatorische und operative Maßnahmen zur Beherrschung von Cyberrisiken einzuführen. Dazu gehören unter anderem Risikoanalysen, Notfall- und Krisenmanagement, Lieferkettenrisiken, Sicherheitsmaßnahmen für IT- und OT-Systeme, Mitarbeiterschulungen sowie sichere Zugriffs- und Authentifizierungsverfahren.⁴
Neu ist insbesondere die ausdrückliche Verankerung der Verantwortung auf Leitungsebene. Geschäftsführungen und Werkleitungen müssen die Umsetzung angemessener Cybersicherheitsmaßnahmen aktiv überwachen und deren Wirksamkeit sicherstellen.⁵ Damit wird Informationssicherheit zunehmend zu einer strategischen Managementaufgabe der Wasserwirtschaft.
Wasserwirtschaft im Fokus cyberphysischer Risiken
Für Wasserversorger beschränken sich die Anforderungen nicht allein auf klassische IT-Sicherheit. Die Richtlinie verfolgt einen sogenannten „All-Hazards-Ansatz“, der neben digitalen Bedrohungen auch physische Risiken berücksichtigt. Wasserwerke, Brunnen, Pumpstationen, Leitwarten oder Aufbereitungsanlagen müssen daher ganzheitlich geschützt werden. Die Europäische Agentur für Cybersicherheit (ENISA) weist dabei insbesondere auf die zunehmende Gefahr cyberphysischer Angriffe hin, bei denen digitale Schwachstellen genutzt werden, um physische Infrastruktur zu beeinträchtigen.⁶
Vor dem Hintergrund einer zunehmenden Digitalisierung von Prozessleit- und Fernwirksystemen gewinnt insbesondere die Absicherung der Betriebstechnologie (Operational Technology, OT) an Bedeutung. Sicherheitsvorfälle können im Ernstfall nicht nur wirtschaftliche Schäden verursachen, sondern auch die Versorgungssicherheit beeinträchtigen.
Welche Fristen gelten?
Mit Inkrafttreten des deutschen Umsetzungsgesetzes gelten die Anforderungen grundsätzlich ohne allgemeine Übergangsfrist. Betroffene Unternehmen mussten sich zudem beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren; die ursprüngliche Registrierungsfrist lief für viele Einrichtungen bereits Anfang März 2026 ab. Darüber hinaus gelten bei erheblichen Sicherheitsvorfällen kurze gesetzliche Meldefristen von 24 Stunden für eine Frühwarnung und 72 Stunden für eine erste Bewertung.⁷
Fazit
NIS2 ist für die Wasserwirtschaft weit mehr als eine regulatorische Pflicht. Die Umsetzung bietet die Chance, die Resilienz kritischer Versorgungsinfrastrukturen nachhaltig zu stärken und Risiken aus Cyberangriffen, technischen Störungen oder physischen Zugriffen systematisch zu reduzieren. Wasserversorger sollten die Anforderungen daher nicht ausschließlich als Compliance-Thema betrachten, sondern als wesentlichen Baustein einer zukunftsfähigen und sicheren Daseinsvorsorge.
Aus dem Newsletter
„Wasser Kompass“ Hier Newsletter
abonnieren
1 RICHTLINIE (EU) 2022/2555 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 14.12.2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, zur Änderung der Verordnung (EU) Nr. 910/2014 und der Richtlinie (EU) 2018/1972 sowie zur Aufhebung der Richtlinie (EU) 2016/1148 (NIS-2-Richtlinie).
2 Bundesgesetzblatt: Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG), BGBl. I 2025 Nr. 301.
3 Vgl. §§ 28 und 29 Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSI-Gesetz – BSIG).
4 Vgl. § 30 BSIG i. V. m. Art. 21 NIS2-Richtlinie.
5 Vgl. § 38 BSIG.
6 ENISA, ENISA Threat Landscape 2023, zuletzt abgerufen unter: ENISA Threat Landscape 2023 | ENISA, 24.6.2026.
7 Vgl. § 32 BSIG i. V. m. Art. 23 Abs. 4 EU-Richtlinie (EU) 2022/2555 (NIS2).