Der Sektorstandard DVGW W 1060 / DWA-M 1060: Aufbau und Logik des B3S Wasser/Abwasser

Problem in der Praxis

In Wasserbetrieben treffen zwei historisch getrennte Welten aufeinander: die Verwaltungs-IT und die Prozessleittechnik der Wasserwerke, Pumpwerke, Netze und Kläranlagen. Sicherheitskonzepte entstehen meist in der IT, während die Anlagen, die den KRITIS-Charakter ausmachen, in der Betriebstechnik liegen. So entsteht die Annahme, ein vorhandenes ISMS decke die Pflichten bereits ab.

Hinzu kommt eine Referenzfalle: Quellen zum B3S WA stammen überwiegend aus der Zeit vor der jüngsten Gesetzesnovelle und verweisen noch auf die alte Paragraphenstruktur des BSI-Gesetzes. Wer sie ungeprüft übernimmt, zitiert eine überholte Fassung in genau den Dokumenten, die später Prüfgegenstand werden.

CISO-Einordnung

Der gesetzliche Rahmen liegt im BSIG in der seit dem 6.12.2025 geltenden Fassung des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (Risikomanagement, besondere Pflichten der Betreiber kritischer Anlagen, Nachweispflicht). Die frühere B3S-Grundlage in Paragraph 8a Absatz 2 BSIG alter Fassung ist abgelöst; die genaue Absatz-Zuordnung ist am aktuellen Gesetzestext gegenzuprüfen. Trinkwasser und Abwasser zählen unionsrechtlich zu den Sektoren mit hoher Kritikalität. Die generische Logik eines B3S, sein Verhältnis zu Gesetz, NIS2 und Managementsystemen, ist im allgemeinen B3S-Wissen abgebildet; hier geht es um das Sektorspezifische.

Inhaltlich folgt der B3S WA einem ISMS-Aufbau (Scope der Anlage, Risikoanalyse im All-Gefahren-Ansatz, Maßnahmen nach Stand der Technik, Notfallmanagement, Lieferantensicherheit, Angriffserkennung, Wirksamkeitsprüfung) und setzt methodisch auf ISO/IEC 27001 und IT-Grundschutz auf. Sektorprägend ist der durchgängige Bezug zur Prozessleittechnik in Wasserwerken, Netzen, Kanalisation und Kläranlagen sowie zu den steuernden Leitzentralen. Merksatz: Ein ISO-27001-Zertifikat allein deckt den KRITIS-Nachweis nicht automatisch ab; sein Geltungsbereich muss die kritische Anlage vollständig erfassen und um die gesetzlichen Prüfaspekte ergänzt sein.

Umsetzungsperspektive

Sinnvoll ist ein Aufbau von unten nach oben, der Mehrfachnutzung einplant.

• Managementsystem als Basis: Ein ISMS nach ISO 27001 oder IT-Grundschutz liefert Scope-Logik, Risikomanagement, Rollen sowie Maßnahmen- und Nachweissteuerung.
• B3S WA als Konkretisierung darauflegen: Standard und begleitendes B3S-WA-Sicherheitskompendium helfen, entlang der branchenspezifischen Gefährdungen die erforderlichen Maßnahmen zu identifizieren. Das Kompendium ist eine Web-Anwendung und Teil des kostenpflichtigen Regelwerks, ein Arbeitsmittel, keine normersetzende Checkliste.
• Scope ausrichten: IT und Prozessleittechnik gehören in einen gemeinsamen Geltungsbereich; die Kopplung von Leitzentrale, Fernwirktechnik und Netz darf nicht herausfallen.
• Nachweis planen: Der Nachweis wird durch Sicherheitsaudits, Prüfungen oder Zertifizierungen geführt, aufgedeckte Mängel sind dem BSI mitzuteilen. Aufsichts- und Nachweisbehörde im Sektor Wasser ist das BSI, nicht die Bundesnetzagentur.

Die festgestellte Eignung des B3S WA in der Edition 2023 ist bis August 2027 befristet. Ein abgelaufener B3S entbindet nicht von der Nachweispflicht; der Nachweis ist dann anderweitig zu führen, etwa über ISO 27001 mit ergänzender Prüfung.

Typische Fehler

1. Den B3S WA als gesetzliche Pflicht behandeln, obwohl er freiwillig ist, und pragmatischere Nachweiswege blockieren.
2. Die Prozessleittechnik aus dem Scope lassen und nur die Verwaltungs-IT betrachten.
3. Ein ISO-Zertifikat mit dem KRITIS-Nachweis gleichsetzen, ohne Geltungsbereich und gesetzliche Prüfaspekte abzugleichen.
4. Veraltete Paragraphenverweise aus Quellen vor der Gesetzesnovelle ungeprüft übernehmen.
5. Inhalte aus DVGW W 1060 / DWA-M 1060 als Maßnahmenliste in eigene oder öffentliche Dokumente kopieren.

Risiken und Trade-offs

Der B3S WA ist eine Erleichterung, kein Freibrief. Er liefert eine anerkannte, sektorabgestimmte Struktur, bindet aber an ein kostenpflichtiges Regelwerk und dessen Befristungslogik. Eine reine ISO- oder Grundschutz-Umsetzung ohne sektorspezifische Konkretisierung kann formal korrekt sein, die wassertypischen Gefährdungen aber unterschätzen; eine zu enge Orientierung am Kompendium verleitet umgekehrt zum Abhaken statt zum Steuern von Risiken.

Die Rechtslage ist zudem in Bewegung: Schwellenwerte und Anlagenkategorien, ab denen eine Anlage als kritisch gilt, ergeben sich aus der BSI-Kritisverordnung, die an das novellierte BSIG und das KRITIS-Dachgesetz angepasst wird. Konkrete Schwellen sind am jeweils geltenden Verordnungsstand zu prüfen, nicht aus älteren Werten abzuleiten.

Entscheidungspunkte

• Soll der Nachweis über den B3S WA geführt werden oder über einen anderen Weg, etwa ISO 27001 mit KRITIS-spezifischer Ergänzungsprüfung?
• Wie wird der Geltungsbereich so geschnitten, dass IT und Prozessleittechnik vollständig erfasst sind?
• Welcher methodische Unterbau ist tragend: ein bestehendes ISO-ISMS, IT-Grundschutz oder eine Kombination?
• Wie wird die Befristung der Eignung bis August 2027 in die mehrjährige Nachweisplanung eingebaut?
• Wer pflegt die Umschlüsselung der alten auf die neuen BSIG-Paragraphen in den nachweisrelevanten Dokumenten?

Praktische Empfehlungen

1. Klären Sie zuerst die Betroffenheit am geltenden Verordnungsstand, dann den Nachweisweg, erst danach die Werkzeugwahl.
2. Betrachten Sie IT und Prozessleittechnik in einem gemeinsamen Geltungsbereich.
3. Nutzen Sie ein vorhandenes ISMS als Basis und behandeln Sie den B3S WA als sektorspezifische Differenzanalyse darauf.
4. Halten Sie eine gepflegte Verweisliste alt zu neu für die BSIG-Paragraphen vor und markieren Sie unsichere Verweise als prüfpflichtig.
5. Beziehen Sie DVGW W 1060 / DWA-M 1060 über den offiziellen Bezugsweg und reproduzieren Sie keine geschützten Inhalte.

Relevante Normreferenzen

• DVGW W 1060 / DWA-M 1060: Trägerregelwerk des B3S Wasser/Abwasser (Edition 2023), kostenpflichtig; hier nur Referenz für Struktur und Logik.
• B3S-WA-Sicherheitskompendium: begleitende Web-Anwendung, Teil des kostenpflichtigen Regelwerks, reference-only.
• BSIG in der Fassung des NIS2UmsuCG: Rahmen für Risikomanagement, besondere Pflichten und Nachweispflicht; frei zugänglich.
• BSI-Kritisverordnung: Schwellenwerte und Anlagenkategorien Sektor Wasser; am aktuellen Verordnungsstand zu prüfen.
• NIS2-Richtlinie (EU) 2022/2555: unionsrechtliche Einordnung von Trinkwasser und Abwasser.
• ISO/IEC 27001 und BSI IT-Grundschutz: methodischer ISMS-Unterbau, auf dem der B3S WA aufsetzen kann.