DWA-Stellungnahme zur Umsetzung der Cyberresilienz-Verordnung

Der Referentenentwurf zur Durchführung der Verordnung (EU) 2024/2847 schafft den nationalen Rahmen für Cybersicherheitsanforderungen an Produkte mit digitalen Elementen. Für die Wasser- und Abwasserwirtschaft sind insbesondere die Verzahnung mit NIS2 und BSIG, der Schutz sensibler KRITIS-Informationen sowie der Umgang mit langjährig betriebenen OT- und Bestandssystemen relevant. Besondere Herausforderungen ergeben sich aus langen Produktlebenszyklen, spezifischen Prozessautomatisierungsstrukturen, komplexen Lieferketten und der Abhängigkeit von spezialisierten mittelständischen Herstellern. Die DWA begrüßt die risikogerechte Abstufung des Sicherheitsniveaus und die Bündelung zentraler Aufgaben beim BSI. Sie fordert zugleich eine klare Trennung der behördlichen Rollen, ausreichende personelle und fachliche Ressourcen sowie konsolidierte Meldewege, um Doppelmeldungen und unverhältnismäßige Belastungen zu vermeiden. Beschaffung, Bestandsanlagen und Lieferketten sollen praxistauglich geregelt und OT-spezifische Einsatzbedingungen bei Marktüberwachung und Konformitätsbewertung berücksichtigt werden. Zudem sind Vertraulichkeit, Zweckbindung und Zugriffsbeschränkungen für KRITIS-Informationen sicherzustellen. Unterstützungsangebote und das Reallabor sollten sektorspezifische Testszenarien sowie Schulungen für betroffene Wirtschaftsakteure, insbesondere KMU, vorsehen.