# NIS-2 für Wasserversorger und Abwasserbetriebe: Dokumentation, Meldewege, Schulung > Für kleine Wasser- und Abwasserbetriebe und Stadtwerke: NIS-2-Governance nach BSI-Gesetz, Registrierung, Meldeprozess 24/72 Stunden, Geschäftsleitungsschulung, TrinkwV-Risikomanagement dokumentieren, Wartungsnachweise. Keine Eingriffe in die Leittechnik. Quelle: https://www.krynexlabs.de/branchen/wasserversorgung/ Anbieter: Krynex Labs UG (haftungsbeschränkt) i. G., Chemnitz · https://www.krynexlabs.de --- Branchenlösung · Wasser und Abwasser # NIS-2, Dokumentation und Schulungen für Wasserversorger und Abwasserbetriebe Eure Leittechnik bleibt, wie sie ist. Wir kümmern uns um das, was BSI-Gesetz und Trinkwasserverordnung an Nachweisen, Abläufen und Schulungen verlangen. Zweckverbände, kleine Stadtwerke, Eigenbetriebe und Abwasserbetriebe haben seit dem 6. Dezember 2025 mit dem neuen BSI-Gesetz zu tun, und die Trinkwasserverordnung verlangt ein dokumentiertes Risikomanagement. Die Fachleute für Netz, Wasserwerk und Kläranlage haben dafür selten Zeit. Wir bauen mit euch die Governance, die Dokumentation und die Meldewege auf, schulen Geschäftsleitung und Belegschaft und halten die Wartungs- und Prüfdokumentation zusammen. Steuerungen, Prozessleittechnik und Fernwirktechnik fassen wir nicht an. ## Typische Herausforderungen ### Sind wir überhaupt betroffen? Trinkwasserversorgung und Abwasserbeseitigung stehen in Anlage 1 des BSI-Gesetzes. Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder mehr als 10 Millionen Euro Umsatz und Bilanzsumme. Ausdrücklich zählen auch rechtlich unselbstständige Einheiten einer Kommune mit, wenn sie ihre Leistungen gegen Entgelt anbieten. Viele Eigenbetriebe haben das zunächst nicht auf sich bezogen. ### Die Registrierung ist überfällig Betroffene Einrichtungen mussten sich spätestens drei Monate nach Inkrafttreten beim BSI registrieren. Das BSI schreibt selbst, dass diese Frist abgelaufen ist, und fordert Nachzügler auf, sich umgehend zu registrieren. Ändern sich Angaben später, sind sie binnen zwei Wochen nachzumelden. ### 24 Stunden, 72 Stunden, ein Monat Ein erheblicher Sicherheitsvorfall braucht eine Erstmeldung spätestens nach 24 Stunden, eine Meldung mit erster Bewertung nach 72 Stunden und einen Monat danach eine Abschlussmeldung. Wer das am Samstagabend meldet, wer entscheidet, ob ein Vorfall erheblich ist, und wo die Vorlagen liegen, muss vorher feststehen. ### Die Geschäftsleitung haftet und muss geschult sein Nach § 38 BSI-Gesetz muss die Geschäftsleitung die Maßnahmen umsetzen und überwachen, haftet bei schuldhafter Verletzung und muss regelmäßig an Schulungen teilnehmen. Bei einem Zweckverband oder Eigenbetrieb ist das oft eine Person, die ohnehin zehn andere Themen verantwortet. ### Das Risikomanagement nach Trinkwasserverordnung wartet Anlagen, die mehr als 100 Kubikmeter am Tag abgeben oder mehr als 500 Menschen versorgen, müssen ihr Risikomanagement erstmals bis zum 12. Januar 2029 durchführen und dem Gesundheitsamt dokumentieren, kleinere bis zum 12. Januar 2033. Danach wird spätestens alle sechs Jahre überprüft. Die fachliche Arbeit ist aufwendig, die Dokumentation dazu auch. ### Wartung und Prüfungen auf Papier und in Köpfen Pumpwerke, Hochbehälter, Schieber, Notstromaggregate und Kläranlagentechnik werden gewartet, aber der Nachweis liegt in Ordnern, Tabellen und bei einzelnen Mitarbeitenden. Wenn Gesundheitsamt, Aufsicht oder Versicherer fragen, beginnt die Suche. ## Was wir für Governance und Dokumentation übernehmen → Betroffenheit klären und Registrierung vorbereiten Wir gehen die Kriterien des BSI-Gesetzes mit euch durch, halten das Ergebnis schriftlich fest und bereiten die Angaben für die Registrierung im BSI-Portal vor. Das ELSTER-Organisationszertifikat beantragen und die Registrierung abschicken müsst ihr selbst. → Maßnahmen nach § 30 BSI-Gesetz dokumentieren Das Gesetz nennt zehn Bereiche, von Risikoanalyse und Notfallplanung über Lieferkette und Schwachstellen bis zu Zugriffskontrolle und Mehr-Faktor-Anmeldung, und verlangt, dass die Umsetzung dokumentiert wird. Wir bauen dafür eine schlanke, prüfbare Ablage mit Verantwortlichen, Fristen und Nachweisen. → Meldeprozess für Sicherheitsvorfälle Alarmkette mit Bereitschaft, Entscheidungsweg für die Frage, ob ein Vorfall erheblich ist, und vorbereitete Vorlagen für die 24-Stunden-, 72-Stunden- und Abschlussmeldung. Ein Probelauf zeigt, ob der Ablauf nachts funktioniert. → Schulung der Geschäftsleitung Eine Schulung, die Risiken und Risikomanagement im eigenen Betrieb bewerten lässt, statt Folien über Hackergruppen zu zeigen. Mit Teilnahmenachweis, damit ihr die regelmäßige Schulung nach § 38 belegen könnt. → Sensibilisierung der Belegschaft über die Vektor-Akademie Auf unserer Lernplattform liegt für Mitglieder bereits der Kurs „NIS-2 für KMU: betroffen oder nicht — und was jetzt zu tun ist“. Darauf bauen wir Lerneinheiten zu Phishing, Passwörtern, Fernzugängen und Meldewegen auf, zugeschnitten auf Wasserwerk, Kläranlage und Verwaltung, mit Abschlussprüfung und Nachweis, wer teilgenommen hat. → Dienstleister- und Zugangsverzeichnis Wer hat Fernwartung auf welche Anlage, welcher Dienstleister betreut welche Software, welcher Vertrag regelt was? Wir dokumentieren das für die Lieferkettenanforderung des BSI-Gesetzes. Die Zugänge selbst richten wir nicht ein und schalten nichts frei. → Wartungs- und Prüfdokumentation Anlagen mit Standort, Wartungsintervallen, Prüfhistorie, Störungen und Verantwortlichen in der Pilot Suite, mit Erinnerung an fällige Termine und Arbeitsschutz-Unterweisungen. Bedient wird das von euren Leuten, die Messwerte bleiben in euren Systemen. → Dokumentation des Risikomanagements nach Trinkwasserverordnung Die Trinkwasserverordnung schreibt vor, was die Dokumentation für das Gesundheitsamt enthalten muss. Wir bauen die Struktur, führen Befunde, Maßnahmen und Fristen zusammen und halten sie für die Überprüfung aktuell. Die fachliche Risikoabschätzung machen eure Fachleute oder euer Ingenieurbüro. → KI-Assistent über eure eigenen Unterlagen Auf Wunsch ein Assistent auf eurem eigenen Server, der Betriebsanweisungen, Notfallpläne und Wartungsberichte durchsucht und mit Quelle antwortet. Die Daten verlassen euer Haus nicht. ## Wofür wir nicht die Richtigen sind - —Eingriffe in Leittechnik, Steuerungen, Fernwirk- oder Prozesssteuerung. Wir verbinden nichts mit Schreibrechten an eure Anlagen, installieren keine Sensoren im Prozessnetz und ändern keine Konfiguration. Das bleibt bei eurem Leitsystem-Hersteller und euren Fachleuten. - —Technische Sicherheitsprüfungen an der Betriebstechnik und die Nachweisprüfungen, die das BSI-Gesetz von Betreibern kritischer Anlagen verlangt. Dafür gibt es spezialisierte Prüfstellen. - —Eine Zertifizierung, etwa nach ISO 27001. Wir helfen bei Dokumentation und Vorbereitung, zertifizieren darf nur eine akkreditierte Stelle. - —Rechtsberatung. Ob euer Betrieb verbindlich unter das BSI-Gesetz oder das KRITIS-Dachgesetz fällt, klärt im Zweifel eine Kanzlei oder die zuständige Behörde. Was wir zu Pflichten und Fristen schreiben, ist Orientierung mit Quelle. ## Häufige Fragen — Wasser & Abwasser Fallen wir als kleiner Wasserversorger unter NIS-2? + Das hängt an der Größe. Trinkwasserversorgung und Abwasserbeseitigung sind im BSI-Gesetz genannt, betroffen sind Einrichtungen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Umsatz und Bilanzsumme (§ 28 BSI-Gesetz). Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme gilt ein Betrieb als besonders wichtige Einrichtung. Kleinere Versorger sind in der Regel nicht erfasst, für sie bleibt aber die Trinkwasserverordnung. Das BSI bietet eine Betroffenheitsprüfung auf seiner Website an, die wir gern mit euch durchgehen. Gilt das KRITIS-Dachgesetz für uns? + Das Gesetz vom 11. März 2026 erfasst auch den Sektor Wasser. Welche Anlagen als kritisch gelten, legt eine Rechtsverordnung fest, der Regelschwellenwert liegt bei 500.000 versorgten Einwohnern (§ 5 KRITIS-Dachgesetz). Ein Betreiber muss sich spätestens drei Monate registrieren, nachdem seine Anlage als kritisch gilt; Risikoanalyse und Resilienzpflichten greifen neun beziehungsweise zehn Monate nach der Registrierung. Die meisten kleinen Versorger liegen weit unter dem Schwellenwert, im Einzelfall kann eine Anlage aber trotzdem als kritisch festgestellt werden. Welche Fristen gelten beim Risikomanagement nach Trinkwasserverordnung? + Für das Risikomanagement der Wasserversorgungsanlage: bis zum 12. Januar 2029, wenn mehr als 100 Kubikmeter am Tag abgegeben oder mehr als 500 Menschen versorgt werden, und bis zum 12. Januar 2033 bei 10 bis 100 Kubikmetern oder 50 bis 500 Menschen, sofern das Gesundheitsamt keinen früheren Termin verlangt hat (§ 34 TrinkwV). Für das Einzugsgebiet war nach der Trinkwassereinzugsgebieteverordnung bereits zum 12. November 2025 eine Dokumentation fällig, die erste Aktualisierung steht zum 12. Juli 2030 an. Warum fasst ihr die Leittechnik nicht an? + Weil ein Fehler dort die Versorgung trifft und nicht nur ein Formular. Die Betriebstechnik gehört in die Hände eurer Fachleute und des Herstellers. Die Pflichten aus dem BSI-Gesetz betreffen zu einem großen Teil Organisation, Dokumentation, Meldewege und Schulung, und genau dort entlasten wir euch, ohne ein neues Risiko in euer Prozessnetz zu bringen. Wir sind öffentlicher Auftraggeber. Müsst ihr euch bewerben? + Oft ja. Die Trinkwasserversorgung ist nach § 102 GWB eine Sektorentätigkeit, und ab den EU-Schwellenwerten gilt das förmliche Vergaberecht (§ 106 GWB). Darunter greifen je nach Rechtsform Haushalts- und Landesvergaberecht. Wir beteiligen uns an Preisanfragen und Ausschreibungen in der Form, die eure Vergabestelle verlangt. Das dauert länger als ein Handschlag, das wissen wir. Ein guter Anfang ist deshalb oft ein kleiner, klar abgegrenzter Auftrag, zum Beispiel die Schulung der Geschäftsleitung. Wie fangen wir an? + Mit einer ehrlichen Bestandsaufnahme: betroffen oder nicht, registriert oder nicht, was ist schon dokumentiert. Danach nehmen wir uns die größte Lücke zuerst vor, meistens den Meldeprozess oder die Schulung der Geschäftsleitung, und bauen die übrige Dokumentation Schritt für Schritt dazu. ## Passt dazu [On-Premise-KI im Mittelstand Was dazugehört, wenn ein KI-Assistent euer Haus nicht verlassen soll.](https://www.krynexlabs.de/on-premise-ki-mittelstand/) [Vektor-Akademie Unsere Lernplattform, dort liegt der Kurs „NIS-2 für KMU: betroffen oder nicht“ für Mitglieder.](https://vektor.krynexlabs.de) [KI-Schulung für Mitarbeitende Wie wir Schulungen mit Nachweis aufbauen, am Beispiel KI-Kompetenz.](https://www.krynexlabs.de/ki-schulung-mitarbeiter-sachsen/) [Sicherheits- und Brandschutztechnik Prüffristen und Anlagenhistorie, wenn Wartung euer Hauptthema ist.](https://www.krynexlabs.de/branchen/sicherheitstechnik/) [Automatisierung mit n8n Für Alarmketten und Erinnerungen, ohne die Betriebstechnik zu berühren.](https://www.krynexlabs.de/ki-automatisierung-n8n/) ## Wasser und Abwasser: Wo steht ihr bei NIS-2? In 30 Minuten klären wir, ob euer Betrieb unter das BSI-Gesetz fällt, was davon schon erledigt ist und wo die größte Lücke liegt. Danach wisst ihr, ob wir helfen können oder ob ihr für eure Frage einen anderen Partner braucht. [Erstgespräch buchen](https://www.krynexlabs.de/kontakt/)