NIS2 + KRITIS · Trinkwasser und Abwasser
Cybersicherheit für Wasserversorger und Abwasserbetriebe
Wasserversorger, Abwasserbetriebe und Zweckverbände fallen seit dem NIS2UmsuCG unter das BSI-Gesetz - oft mit kleinem Team und ohne eigene Security-Abteilung. Wir liefern die Bausteine dafür: Phishing-Simulation, Awareness-Training, Vulnerability Management und Incident Response - für die Verwaltungs-IT, die Mitarbeitenden und den Ernstfall.
REGULATORISCHER KONTEXT
Wasser und Abwasser stehen im BSI-Gesetz - auch kommunale Betreiber.
Trinkwasserversorgung und Abwasserbeseitigung gehören zu den Sektoren mit hoher Kritikalität. Ob Eigenbetrieb, Zweckverband, AöR oder Stadtwerke-GmbH: Wer die Schwellenwerte erreicht, ist betroffen. Die Abgrenzung im Einzelfall klären wir im kostenlosen Risk Assessment.
01 · NIS2 / BSIG
Wichtige oder besonders wichtige Einrichtung
Ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme gilt ein Betreiber als wichtige Einrichtung, ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme als besonders wichtige. Pflichten: Registrierung beim BSI, Risikomanagement nach § 30 BSIG, Meldungen nach § 32 BSIG, Umsetzung und Überwachung durch die Geschäftsleitung (§ 38 BSIG).
02 · Kommunale Betreiber
Eigenbetrieb, Zweckverband, AöR, GmbH
Auch rechtlich unselbstständige Einheiten einer Kommune wie Eigen- und Regiebetriebe fallen unter das BSI-Gesetz, wenn sie ihre Leistungen gegen Entgelt erbringen. Ausgenommen ist nur, wer Wasserversorgung oder Abwasserbeseitigung als nicht wesentlichen Teil seiner allgemeinen Tätigkeit betreibt.
Rechtsquellen: BSI-Gesetz (§§ 28, 30, 32, 38, 65 und Anlage 1 BSIG) · BSI-Kritisverordnung · KRITIS-Dachgesetz.
TYPISCHE ANGRIFFSSZENARIEN
Die Angriffe, die Wasserversorger heute treffen.
Kleine Teams, viele Außenstellen, Fernzugänge für Dienstleister: Die Einstiegswege sind bekannt und wiederholen sich. Wer sie kennt, setzt die Prioritäten richtig.
UNSERE LÖSUNGEN
Vier Services, die zusammen Ihr Security-Programm bilden.
Wir kümmern uns um die Büro- und Verwaltungs-IT, die Mitarbeitenden und den Ernstfall. Prozessleittechnik und Anlagensteuerung gehören nicht zu unserem Angebot - dort arbeiten wir mit Ihren bestehenden Partnern zusammen.
KONTINUIERLICHES TRAINING
Phishing-Simulation
Regelmäßige Kampagnen mit Ködern aus dem Versorger-Alltag - Rechnungen, Rückfragen zu Bescheiden, Mails von Dienstleistern. Messbare Klick- und Melderaten, direkt als Nachweis für die Schulungspflichten nutzbar.
MITARBEITER-RESILIENZ
Awareness-Training
Kernkurs mit rund 20 Minuten im Jahr plus kurze Spotlights - für Verwaltung, Kundenservice, Technik und Bereitschaftsdienst. Inklusive Schulung der Geschäftsleitung, wie § 38 BSIG sie verlangt.
ANGRIFFSFLÄCHE KENNEN
Vulnerability Management
Kontinuierliche Erfassung und Bewertung der Schwachstellen in Ihrer Büro- und Verwaltungs-IT, priorisiert nach Risiko statt nach CVSS-Rauschen, mit Remediation-Tracking und auditfähigen Berichten.
SOFORTHILFE IM ERNSTFALL
Incident Response
Wenn es doch passiert: Erstbewertung über die Incident-Hotline, Eindämmung, Analyse, Wiederherstellung und Entwürfe für die Meldungen an das BSI. Mo-Fr 9-17 Uhr, Erstgespräch kostenfrei.
WARUM ENTROPY CS
Security für kleine Teams mit großer Verantwortung.
Viele Wasserversorger arbeiten mit einer Handvoll IT-Leuten oder ganz über Dienstleister. Sie brauchen keinen Maßnahmenkatalog mit hundert Punkten, sondern klare Prioritäten, belastbare Nachweise und Hilfe im Ernstfall.
Prioritäten statt Kataloge
Wir starten dort, wo das Risiko am größten ist - meist bei Phishing, ungepatchten Zugängen und einem fehlenden Plan für den Ernstfall. Schritt für Schritt, mit Ihrem bestehenden Team.
Nachweise für Aufsicht und Gremien
Jede unserer Leistungen erzeugt Nachweise, die Sie für NIS2 und ISO 27001 nutzen können - verständlich aufbereitet für Werkleitung, Verbandsversammlung oder Aufsichtsrat.
Versorgung hat Vorrang
Jede Maßnahme - Scan-Fenster, Schulungszeiten, Eindämmung im Ernstfall - stimmen wir so ab, dass der Betrieb weiterläuft. Cybersicherheit ist Mittel, nicht Selbstzweck.
Die Fragen, die uns Werkleitungen, Geschäftsführungen und IT-Verantwortliche stellen. Weitere Fragen klären wir im kostenlosen Risk Assessment.