NIS-2: Anforderungen an die Entsorgung von Siedlungsabfall

Ihr Experte für Fragen

Johann Hartl
Senior Manager bei PwC Deutschland
Tel.: +49 151 25913516
E-Mail

Was NIS-2 für die Cybersicherheit der Abfallwirtschaft bedeutet

Eine funktionierende Abfallentsorgung ist ein essenzieller Bestandteil des öffentlichen Lebens und eines funktionierenden Gemeinwesens. Daher fällt die Entsorgung von Siedlungsabfall wie Restmüll, Biomüll, Papier, Glas oder Sperrmüll ab dem 1. Januar 2024 offiziell unter den KRITIS-Schirm und gilt als Kritische Infrastruktur. Damit ist die Abfallwirtschaft auch von den Anforderungen des BSIG betroffen. Erschwerend kommt hinzu, dass auch kleinere Unternehmen ab 50 Mitarbeitenden des Sektors Siedlungsabfallentsorgung von der NIS-2 betroffen sind. Genauer: vom Gesetz zur Umsetzung der EU-Richtlinie 2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus in der Europäischen Union, kurz NIS-2UmsuCG.

Neben Personalausfällen drohen bei Cyber-Vorfällen in der Abfallverwertung und -beseitigung negative Auswirkungen. Hier gilt es, die Funktion des kritischen Sektors Abfallwirtschaft aufrechtzuerhalten und dafür digitale Dienste und Komponenten richtig zu sichern – darauf zielt die Ausweitung des KRITIS-V- und des NIS-2-Anwendungsbereichs ab.

Wir geben Ihnen einen Überblick, welche Anforderungen der Gesetzgeber zukünftig an Ihr Unternehmen stellt und welche Schritte notwendig sind, um die NIS-2-Richtlinie erfolgreich umzusetzen.

Die Anforderungen auf einen Blick

Unternehmen der Abfallwirtschaft wurden in den letzten Jahren zunehmend von Cyberangriffen überrascht. Insbesondere Müllheizkraftwerke sind häufig dabei betroffen, da ein Ausfall der Stromerzeugung weitreichende Auswirkungen auf die Gesellschaft haben kann und die Nutzung von veralteten Systemen in den Anlagen einen Angriff erleichtert. Dabei können Anlagensteuerungen übernommen und somit Mitarbeitende in Gefahr gebracht werden. Es entstehen längere Ausfallzeiten. Folglich steigen die Unternehmenskosten durch die fehlende Auslastung, Aufwände für Reparaturen und den Wiederanlauf.

Mit der Erweiterung der NIS-2-Richtlinie und dem IT-Sicherheitsgesetz zählt nun auch die Siedlungsabfallentsorgung zum KRITIS-Bereich. Bis zum 17. Oktober 2024 müssen die EU-Mitgliedstaaten die NIS-2-Richtlinie in nationales Recht umgesetzt haben. NIS-2 fordert nicht nur den Aufbau eines Risikomanagements im gesamten Unternehmen, sondern berücksichtigt dabei zusätzlich auch die gesamten Anlagen zur Müllverarbeitung. So sollen Störungen, Ausfälle und damit verbundene hohe Kosten somit und die Stromversorgung für die Gesellschaft besser abgesichert werden. Diese konkreten Pflichten kommen auf betroffene Unternehmen zu:

Konkret müssen Betreiber einer Siedlungsabfallanlage den Versorgungsgrad ihrer Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres ermitteln.

Ergänzung der KRITIS V mit dem neuen Sektor Siedlungsabfallentsorgung samt Anlagenkategorien und Schwellenwerten

Umfassendes Risikomanagement

Damit es möglichst nicht zu meldepflichtigen Ausfällen kommt, sind Abfallwirtschaftsbetriebe dazu verpflichtet, technische und organisatorische Sicherheitsmaßnahmen zu etablieren, die wirksam und verhältnismäßig sind. Sie müssen auf dem neuesten Stand der Technik sein und sollten sich am IT-Grundschutz des BSI orientieren. 

Innerhalb der Abfallwirtschaft drohen insbesondere in der Abfallverwertung und -beseitigung technische Störungen, beispielsweise in Müllverbrennungsanlagen oder auf Recyclinghöfen. Hier ist es entscheidend, dass ein konkretes Risikomanagement etabliert ist. Dieses umfasst Risikoanalysen, die Sicherheit der Lieferkette, Cyberhygiene und Schulungen ebenso wie Konzepte für die Zugriffskontrolle und eine Multi-Faktor-Authentifizierung.

Stand der Technik: Beispiel Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung und gesicherte Kommunikation – die Anforderungen des BSI-IT Grundschutz