Erstmals zählen Teile der Abfallwirtschaft zu den Kritischen Infrastrukturen. Was bedeutet das – und welche Bereiche sind betroffen? Alexander Neubauer und Wolf Buchholz ordnen aus Sicht des Verbands kommunaler Unternehmen ein.
Mit ihrem IT-Sicherheitsgesetz 2.0 zählte die Bundesregierung zum ersten Mal Teile der Abfallwirtschaft zu den Kritischen Infrastrukturen. Kommunale Abfallentsorger tun zwar bereits heute alles dafür, ihre Systeme und Anlagen zur sicheren Entsorgung von Abfällen bestmöglich vor Cyberangriffen zu schützen. Die Einstufung als Kritische Infrastrukturen wird aber mit neuen Pflichten für kommunale Entsorger einhergehen.
Abfallwirtschaft schützen
Konkret müssen dann Maßnahmen zum Schutz der Abfallwirtschaft vor Cyberangriffen dem Stand der Technik entsprechen und Hackerangriffe an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Auch sind Betreiber verpflichtet, sich als KRITIS-Betreiber beim BSI zu registrieren. Zudem werden Systeme zur Angriffserkennung als Teil eines Informationssicherheitsmanagementsystems (ISMS) gefordert sein.
Welche Teile der Siedlungsabfallentsorgung genau unter die Regelungen der Kritischen Infrastrukturen fallen, wird die BSI-Kritisverordnung (Kritis-VO) regeln. Sie wird aktuell unter Leitung des Bundesinnenministeriums erarbeitet. Darin werden zum Beispiel Anlagenkategorien, Abfallströme und Schwellenwerte definiert. Sobald die Kritis-VO dann verabschiedet ist und in Kraft tritt, gehören die definierten Bereiche der Abfallwirtschaft zur Kritischen Infrastruktur mit entsprechenden Verpflichtungen. Für die Erfüllung bestimmter Pflichten sind allerdings Übergangsfristen zu erwarten.
Grundsätzlich sollen KRITIS-Anlagen für die Bereiche Abfallsammlung und -beförderung (inklusive Umschlag) sowie Abfallverwertung und -beseitigung ausgewiesen werden. Bei den Abfallströmen stehen nur jene im Fokus, die für den Gesundheitsschutz oder die Stadtsauberkeit bedeutsam sind. KRITIS-relevant sind:
- Sammlung und Beförderung: Restmüll; Bioabfall (Biotonne); Verpackungen und Kunststoffe; Altglas; Papier, Pappe, Kartonage (PPK).
- Abfallverwertung und -beiseitigung: Bioabfall (Biotonne); Verpackungen und Kunststoffe.
Konkret sollen Anlagen oder Systeme zum Planen, Steuern, Optimieren und Durchführen der Abfallsammlung, der Abfallbeförderung und der Lagerung, der Zwischenlagerung oder des Umladens in Frage kommen. Es kann sich hier zum Beispiel um Dispositionssysteme, Flottenmanagementsysteme oder ERP-Systeme handeln. Als konkrete Anlagen und Systeme im Bereich der Abfallverwertung sowie der Abfallbeseitigung werden folgende identifiziert:
- Abfallverbrennungsanlagen, Ersatzbrennstoffkraftwerke,
- mechanisch-biologische Anlagen (inklusive mechanisch-physikalische Stabilatanlagen),
- biologische Behandlungsanlagen,
- mechanische Anlagen,
- Sortieranlagen.
Neben der Definition der Anlagenkategorien werden Schwellenwerte formuliert, bei deren Unterschreitung die jeweilige Anlage keine KRITIS-Anlage ist.
Zum Beispiel die Berechnung der Schwellenwerte bei Restmüll: Allgemein liegt der KRITIS-Schwellenwert bei 500.000 Personen. Pro Jahr fallen pro Bürger 160 Kilogramm Restmüll an. Der Schwellenwert ergibt sich dann aus dem Restmüllanfall pro Einwohner und Jahr multipliziert mit 500.000: 160 Kilogramm Restmüll pro Person bedeuten bei 500.000 Bürgern insgesamt 80.000 Tonnen Restmüll. Das heißt: Erreicht eine Anlage 80.000 Tonnen Jahreskapazität, ist sie als Kritische Infrastruktur einzustufen.
Ziel ist ein zentraler Faktor
Was die größte Herausforderung ist, hängt vom jeweiligen Unternehmen sowie den Kapazitäten der IT-Dienstleister ab. Gleichwohl ist bereits absehbar, dass die zeitlichen Abläufe bei der Rechtssetzung eine Herausforderung sind. Schließlich geben Verordnung und die noch zu erarbeitenden Branchenstandards die eigentlichen entscheidenden Parameter für die praktische Umsetzung vor.
Üblich ist, dass Branchen eine Zweijahresfrist nach Inkrafttreten der KRITIS-Änderungsverordnung zur Einhaltung bekommen. Sie ist aus unserer Sicht ambitioniert, aber größtenteils machbar – vorausgesetzt, es kann ein branchenspezifischer Sicherheitsstandard rechtzeitig vorher vorgelegt werden.
Ein solcher branchenspezifischer Sicherheitsstandard („B3S“) definiert den Stand der Technik des „KRITIS-konformen“ IT-Schutzes in der Siedlungsabfallentsorgung und empfiehlt konkrete Maßnahmen, mit denen der Stand der Technik erreicht werden kann. Der B3S-Standard wäre zwar nur eine Möglichkeit, um die gesetzlichen Anforderungen zu erfüllen. Jedoch würde er als Hilfestellung und anerkannter Standard die rechtssichere Umsetzung erleichtern und Unsicherheiten bei Planungen und Investitionen seitens der Unternehmen erheblich reduzieren.
Dieser B3S-Standard wird voraussichtlich erst 2024 vorliegen. Wenn also die KRITIS-VO noch dieses Jahr in Kraft träte, bliebe den kommunalen Abfallentsorgern de facto nur ein Jahr Zeit zur Umsetzung, ehe der erste Berichtszyklus an das BSI fällig wird.
Hier gehen wir davon aus, dass das BSI die Relevanz des Branchenstandards ebenso wie zeitliche Verzögerung in seinem ersten Berichtszyklus berücksichtigen wird. Eine weitere Herausforderung
wird die zukünftig geänderte Rechtslage mit dem KRITIS-Dachgesetz und dem NIS 2-Umsetzungsgesetz darstellen, die sich jedoch noch im Entwurfsstadium befinden und europäische Richtlinien umsetzen.
Wolf Buchholz, Alexander Neubauer
Die Autoren
Wolf Buchholz ist Referent Recht der Digitalisierung beim Verband kommunaler Unternehmen (VKU). Alexander Neubauer ist Fachgebietsleiter Abfall-und Wertstofflogistik beim VKU.