KRITIS Wasser: Pflichten und Perimeterschutz 2026

Kommunale Wasserversorger stehen ab 2026 unter doppelter Aufsicht. Das KRITIS-Dachgesetz regelt den physischen Schutz, NIS-2 den digitalen. Beide Regelwerke verlangen ein dokumentiertes Schutzkonzept, einen benannten Verantwortlichen und nachweisbare Maßnahmen am Perimeter. Dieser Beitrag adressiert Werkleiter, die ihre Hochbehälter, Brunnenfelder und Aufbereitungsanlagen prüfungssicher absichern müssen, ohne den kommunalen Haushalt zu sprengen.

KRITIS Wasser: rechtlicher Rahmen 2026

Der Sektor Wasser umfasst zwei Teilbereiche: Trinkwasserversorgung und Abwasserbeseitigung. Maßgeblich ist die BSI-Kritisverordnung in §6. Der Schwellenwert für die KRITIS-Pflicht liegt aktuell bei 500.000 versorgten Personen pro Anlage. Wer darüber liegt, gilt als Betreiber kritischer Infrastruktur und unterliegt der Aufsicht durch das BBK.

Das KRITIS-Dachgesetz erweitert die physische Schutzpflicht ab 2026. Der Schwellenwert sinkt schrittweise, die Pflicht zur Risikoanalyse und zum baulichen Schutz greift auch unterhalb der 500.000-Grenze. Parallel erfasst die NIS-2-Richtlinie Wasserversorger ab 50 Mitarbeitern als wesentliche Einrichtungen. Damit gelten die Cyber-Anforderungen aus Artikel 21 zusätzlich.

Wer beide Regelwerke getrennt bearbeitet, produziert Doppelarbeit und Lücken. Physisches Schutzkonzept und Informationssicherheits-Managementsystem müssen in einem Dokument zusammenlaufen. Die KRITIS-Sektorenübersicht zeigt die Querverbindungen zu Energie, Telekommunikation und Gesundheit.

Schutzziele und Bedrohungslage

Wasserinfrastruktur ist baulich verteilt. Das Hauptwerk hat in der Regel Personal und Zutrittskontrolle. Hochbehälter, Brunnenfelder und Übergabestellen liegen peripher, oft auf Anhöhen oder in Waldgebieten, durchgehend unbemannt. Genau hier konzentrieren sich die dokumentierten Vorfälle.

Drei Szenarien dominieren die Risikoanalyse: Eindringen in Reinwasserbehälter mit Kontaminationsabsicht, Manipulation an Chlorungs- und Dosieranlagen, Sabotage an Schiebern und Pumpen. Das BBK registriert seit 2022 eine steigende Zahl von Vorfällen an Wasseranlagen, dokumentiert in den Lageberichten zum Bevölkerungsschutz.

Klassische Zaunanlagen und statische Kameras erkennen einen Eindringling erst nach Überwindung der Perimetergrenze. Die Aufzeichnung dient dann der Strafverfolgung, nicht der Prävention. Externe Wachdienste reagieren auf Alarm typischerweise in 15 bis 30 Minuten. In dieser Zeit ist eine Kontamination längst abgeschlossen.

Pflichten aus dem KRITIS-Dachgesetz für Wasserversorger

Die Anforderungen des Dachgesetzes lassen sich in sechs Punkte gliedern:

1. Registrierung beim BBK innerhalb der gesetzten Fristen nach Inkrafttreten. Die BBK-Registrierung Schritt für Schritt beschreibt das Vorgehen.
2. Schriftliches Schutzkonzept mit Risikoanalyse, Aktualisierung mindestens alle drei Jahre.
3. Nachweis baulicher und technischer Schutzmaßnahmen am Perimeter inklusive Detektion, Verzögerung, Reaktion.
4. Meldepflicht für sicherheitsrelevante Vorfälle innerhalb von 24 Stunden an das BBK.
5. Sicherheitsbeauftragter mit dokumentierter Qualifikation, benannt und gegenüber der Aufsicht ausgewiesen.
6. Bußgelder bis 10 Millionen Euro bei Verstößen, dokumentiert in der Bundestags-Drucksache 20/9262.

Die KRITIS-Dachgesetz-Checkliste führt durch die einzelnen Nachweise und benennt die typischen Prüffragen der Aufsichtsbehörde.

Perimeterschutz an Wasseranlagen: technische Lösung

Statische Kameras lösen das Problem der unbemannten Außenanlagen nicht. Sie liefern Bilder, keine Reaktion. Autonome Patrouillenroboter ersetzen den Kamerapunkt durch bewegte Detektion mit definierten Routen und kontinuierlicher Anomalieerkennung.

QR-2 für 24/7-Außenpatrouille ist für Hochbehälter, Brunnenfelder und mittlere Wasserwerke ausgelegt. Wärmebildkamera, Personenerkennung, definierte Wegpunkte. Der Roboter patrouilliert nach festem Plan oder auf Anforderung der Leitstelle. Anomalien werden in unter 90 Sekunden gemeldet.

QR-3 mit LiDAR und Drohnendetektion deckt Talsperren, große Aufbereitungsanlagen und weitläufige Werksgelände ab. LiDAR liefert dreidimensionale Lagebilder auch bei Dunkelheit und Nebel, die integrierte Drohnendetektion erkennt unbemannte Luftfahrzeuge bis 500 Meter Distanz.

Beide Plattformen sind IP65-zertifiziert und arbeiten bei minus 10 bis plus 45 Grad Celsius. Anbindung an die bestehende Leitstelle erfolgt über offene Schnittstellen, gängige VMS-Systeme werden unterstützt. Was nicht funktioniert: vollständiger Ersatz menschlicher Eingreifkräfte. Der Roboter detektiert und dokumentiert, die Eskalation an Werkschutz oder Polizei bleibt nötig.

Wirtschaftlichkeit: RaaS gegen klassische Bewachung

Ein 24/7-Wachposten kostet 15.000 bis 25.000 Euro pro Monat, je nach Tarifgebiet und Zuschlägen nach Manteltarifvertrag. Inklusive Lohnnebenkosten, Urlaubs- und Krankheitsvertretung. Der BDSW dokumentiert steigende Stundensätze und Personalengpässe im Wachgewerbe. Drei Schichten ergeben rechnerisch 45.000 bis 75.000 Euro pro Monat pro Standort.

QR-2 im Modell Robotics-as-a-Service liegt bei 3.500 Euro pro Monat. Ohne CapEx, ohne Personalbindung, ohne Lohnnebenkosten. Lieferung innerhalb von 48 Stunden ermöglicht kurzfristige Reaktion auf BBK-Anfragen oder akute Bedrohungslagen. Für kommunale Versorger entscheidend: die OpEx-Struktur entlastet den Investitionshaushalt.

Hybridmodelle funktionieren in der Praxis am besten. Ein Wachmann am Hauptwerk plus zwei Roboter an Hochbehälter und Brunnenfeld ersetzt drei Wachschichten an drei Standorten. Detaillierte Rechnung in Wachschutz-Kosten im Vergleich.

Was das Modell nicht leistet: Kundenkontakt, Schlüsselverwaltung, Eingreifen bei Brand. Diese Aufgaben bleiben beim Personal. Der Roboter ersetzt Streife und Posten an unbemannten Außenanlagen, nicht den Werkschutz im Hauptwerk.

Umsetzung in 90 Tagen

Die Einführung folgt einem strukturierten Ablauf mit vier Phasen:

Tag 1 bis 14: Analyse. Standortbegehung, Risikobewertung nach BBK-Vorgaben, Definition der Patrouillenrouten. Festlegung der Eskalationsketten mit Werkschutz, externem Sicherheitsdienst und Polizei. Abstimmung der Schnittstellen zur vorhandenen Leitstelle.

Tag 15 bis 30: Inbetriebnahme. Lieferung der Roboter, Einrichtung der Ladestationen, Anbindung an Leitstelle und Videomanagement. Kalibrierung der Detektionsschwellen, damit Wildtiere und Wettereinflüsse keine Fehlalarme auslösen.

Tag 31 bis 60: Schulung. Einweisung des Sicherheitspersonals, Test der Eskalationsketten mit simulierten Vorfällen. Dokumentation der Reaktionszeiten. Abstimmung mit der örtlichen Polizei zu Alarmierung und Zugangsverfahren.

Tag 61 bis 90: Dokumentation. Aufnahme in das Schutzkonzept, Vorbereitung der BBK-Meldung, Aktualisierung der Risikoanalyse. Übergabe an den Sicherheitsbeauftragten.

Die Pilotphase läuft parallel zur bestehenden Bewachung. Es entsteht keine Schutzlücke während der Umstellung. Nach erfolgreicher Inbetriebnahme kann die klassische Streife reduziert werden, der Wachposten am Hauptwerk bleibt.

Häufige Fehler beim Schutzkonzept Wasser

Fünf Fehler wiederholen sich in Prüfungen durch Aufsichtsbehörden:

Reduktion auf das Hauptwerk. Das Schutzkonzept beschreibt detailliert die Aufbereitungsanlage, erwähnt die peripheren Brunnen und Hochbehälter nur in einer Anlage. Genau dort liegen aber die Angriffspunkte. Die Risikoanalyse muss jeden Standort einzeln behandeln.

Fehlende Reaktionszeit-Dokumentation. Im Konzept steht "Alarmierung erfolgt unverzüglich". Die Aufsicht fragt nach Minuten. Ohne dokumentierte Messung der Reaktionszeit zwischen Detektion, Alarmierung und Eintreffen der Eingreifkraft ist der Nachweis nicht zu führen.

Trennung von physischem und Cyber-Schutzkonzept. NIS-2 und KRITIS-Dachgesetz verlangen getrennte, aber verzahnte Nachweise. Wer beide Dokumente isoliert pflegt, produziert Widersprüche in der Vorfallmeldung und in der Zuständigkeit.

Bewachung ohne nächtliche Patrouille. Die meisten Vorfälle finden zwischen 22 und 5 Uhr statt. Eine Tagesstreife mit nächtlicher Kameraaufzeichnung ohne aktive Auswertung erfüllt die Schutzpflicht nicht.

Verzicht auf Drohnendetektion. An Talsperren und großen Aufbereitungsanlagen sind Drohnenüberflüge dokumentiert. Ein Schutzkonzept, das diese Bedrohung nicht adressiert, wird in der nächsten Prüfung nachgebessert werden müssen.

Nächster Schritt

Werkleiter, die ihren Standort gegen die Anforderungen des KRITIS-Dachgesetzes prüfen wollen, erhalten in einem 30-minütigen Erstgespräch eine konkrete Einschätzung: welche Anlagen unter die Pflicht fallen, welche Lücken im aktuellen Schutzkonzept bestehen und welche Maßnahmen in 90 Tagen umsetzbar sind. Terminvereinbarung über das Kontaktformular.