KRITIS Agua: obligaciones y protección perimetral 2026

Los operadores municipales de agua quedan bajo doble supervisión a partir de 2026. El KRITIS-Dachgesetz regula la protección física, NIS-2 la digital. Ambos marcos exigen un concepto de protección documentado, un responsable designado y medidas verificables en el perímetro. Este artículo se dirige a directores de planta que deben asegurar sus depósitos elevados, campos de pozos e instalaciones de tratamiento de forma auditable, sin romper el presupuesto municipal.

KRITIS Agua: marco legal 2026

El sector Agua comprende dos subáreas: abastecimiento de agua potable y saneamiento. La norma de referencia es la BSI-Kritisverordnung en su §6. El umbral actual para la obligación KRITIS está en 500.000 personas abastecidas por instalación. Quien lo supere se considera operador de infraestructura crítica y queda bajo la supervisión del BBK.

El KRITIS-Dachgesetz amplía la obligación de protección física desde 2026. El umbral baja por etapas, la obligación de análisis de riesgo y protección estructural se aplica también por debajo del límite de 500.000. En paralelo, la Directiva NIS-2 cubre a los operadores de agua con al menos 50 empleados como entidades esenciales. Con ello rigen también los requisitos cibernéticos del Artículo 21.

Quien trate ambos marcos por separado produce trabajo duplicado y huecos. El concepto de protección física y el sistema de gestión de seguridad de la información deben converger en un único documento. La vista general de sectores KRITIS muestra las conexiones cruzadas con energía, telecomunicaciones y salud.

Objetivos de protección y panorama de amenazas

La infraestructura de agua está distribuida en el territorio. La planta principal suele tener personal y control de accesos. Depósitos elevados, campos de pozos y puntos de entrega están en la periferia, a menudo en colinas o zonas forestales, sin presencia humana permanente. Justo allí se concentran los incidentes documentados.

Tres escenarios dominan el análisis de riesgo: intrusión en depósitos de agua tratada con intención de contaminación, manipulación de instalaciones de cloración y dosificación, sabotaje de válvulas y bombas. El BBK registra desde 2022 un número creciente de incidentes en instalaciones de agua, documentado en sus informes de situación sobre protección civil.

Las vallas convencionales y las cámaras estáticas detectan al intruso solo tras superar el límite del perímetro. La grabación sirve entonces para la persecución penal, no para la prevención. Los servicios externos de vigilancia reaccionan a una alarma típicamente en 15 a 30 minutos. En ese tiempo, una contaminación ya está consumada.

Obligaciones del KRITIS-Dachgesetz para operadores de agua

Las exigencias del Dachgesetz se estructuran en seis puntos:

1. Registro ante el BBK dentro de los plazos fijados tras la entrada en vigor. La guía paso a paso de registro BBK describe el procedimiento.
2. Concepto de protección por escrito con análisis de riesgo, actualización al menos cada tres años.
3. Acreditación de medidas estructurales y técnicas en el perímetro incluyendo detección, retardo, respuesta.
4. Obligación de notificación de incidentes relevantes para la seguridad en un plazo de 24 horas al BBK.
5. Responsable de seguridad con cualificación documentada, designado y acreditado ante la autoridad.
6. Multas de hasta 10 millones de euros por infracciones, documentado en la Bundestag-Drucksache 20/9262.

La checklist del KRITIS-Dachgesetz guía por cada uno de los justificantes y nombra las preguntas típicas de la autoridad supervisora.

Protección perimetral en instalaciones de agua: solución técnica

Las cámaras estáticas no resuelven el problema de las instalaciones exteriores sin personal. Aportan imágenes, no respuesta. Los robots autónomos de patrulla sustituyen el punto de cámara por detección en movimiento con rutas definidas y reconocimiento continuo de anomalías.

QR-2 para patrulla exterior 24/7 está diseñado para depósitos elevados, campos de pozos y plantas de tamaño medio. Cámara térmica, detección de personas, puntos de paso definidos. El robot patrulla según plan fijo o bajo demanda del centro de control. Las anomalías se notifican en menos de 90 segundos.

QR-3 con LiDAR y detección de drones cubre presas, grandes plantas de tratamiento y recintos industriales extensos. LiDAR ofrece imágenes tridimensionales también con oscuridad y niebla, la detección integrada de drones reconoce aeronaves no tripuladas hasta 500 metros de distancia.

Ambas plataformas tienen certificación IP65 y operan entre menos 10 y más 45 grados Celsius. La conexión al centro de control existente se realiza por interfaces abiertas, los sistemas VMS habituales están soportados. Lo que no funciona: la sustitución completa de fuerzas humanas de intervención. El robot detecta y documenta, la escalada al Werkschutz o a la policía sigue siendo necesaria.

Rentabilidad: RaaS frente a vigilancia clásica

Un Posten 24/7 cuesta entre 15.000 y 25.000 euros al mes, según zona tarifaria y recargos del Manteltarifvertrag. Incluyendo cargas sociales, sustituciones por vacaciones y enfermedad. La BDSW documenta tarifas horarias crecientes y escasez de personal en el sector de la vigilancia. Tres turnos suman matemáticamente 45.000 a 75.000 euros al mes por emplazamiento.

QR-2 en el modelo Robotics-as-a-Service cuesta 3.500 euros al mes. Sin CapEx, sin vinculación de personal, sin cargas sociales. La entrega en 48 horas permite reacción a corto plazo ante requerimientos del BBK o amenazas agudas. Para operadores municipales es decisivo: la estructura OpEx libera el presupuesto de inversión.

Los modelos híbridos funcionan mejor en la práctica. Un vigilante en la planta principal más dos robots en depósito elevado y campo de pozos sustituye tres turnos en tres emplazamientos. Cálculo detallado en Coste de vigilancia comparado.

Lo que el modelo no cubre: contacto con clientes, gestión de llaves, intervención en incendios. Estas tareas siguen siendo del personal. El robot sustituye Streife y Posten en instalaciones exteriores sin presencia, no al Werkschutz en la planta principal.

Implantación en 90 días

La implantación sigue un proceso estructurado en cuatro fases:

Día 1 al 14: análisis. Visita al emplazamiento, evaluación de riesgo según directrices del BBK, definición de las rutas de patrulla. Fijación de las cadenas de escalada con Werkschutz, servicio externo de seguridad y policía. Coordinación de las interfaces con el centro de control existente.

Día 15 al 30: puesta en marcha. Entrega de los robots, instalación de las estaciones de carga, conexión al centro de control y al videomanagement. Calibración de los umbrales de detección para que animales salvajes y condiciones meteorológicas no generen falsas alarmas.

Día 31 al 60: formación. Instrucción del personal de seguridad, prueba de las cadenas de escalada con incidentes simulados. Documentación de los tiempos de reacción. Coordinación con la policía local sobre alertas y procedimientos de acceso.

Día 61 al 90: documentación. Incorporación al concepto de protección, preparación de la notificación al BBK, actualización del análisis de riesgo. Entrega al responsable de seguridad.

La fase piloto corre en paralelo a la vigilancia existente. No surge hueco de protección durante el cambio. Tras la puesta en marcha exitosa puede reducirse la Streife clásica, el Posten en la planta principal permanece.

Errores frecuentes en el concepto de protección de agua

Cinco errores se repiten en las inspecciones de las autoridades supervisoras:

Reducción a la planta principal. El concepto de protección describe en detalle la instalación de tratamiento, menciona los pozos y depósitos periféricos solo en un anexo. Justo allí están los puntos de ataque. El análisis de riesgo debe tratar cada emplazamiento individualmente.

Falta de documentación de tiempos de reacción. En el concepto aparece "la alerta se realiza sin demora". La autoridad pregunta por minutos. Sin medición documentada del tiempo de reacción entre detección, alerta y llegada de la fuerza de intervención no es posible aportar la prueba.

Separación del concepto físico y cibernético. NIS-2 y KRITIS-Dachgesetz exigen justificantes separados pero entrelazados. Quien mantenga ambos documentos de forma aislada produce contradicciones en la notificación de incidentes y en la asignación de competencias.

Vigilancia sin patrulla nocturna. La mayoría de los incidentes ocurren entre las 22 y las 5 horas. Una Streife diurna con grabación nocturna sin evaluación activa no cumple la obligación de protección.

Renuncia a la detección de drones. En presas y grandes plantas de tratamiento están documentados sobrevuelos de drones. Un concepto de protección que no aborde esta amenaza tendrá que ser corregido en la siguiente inspección.

Próximo paso

Los directores de planta que deseen evaluar su emplazamiento frente a los requisitos del KRITIS-Dachgesetz reciben en una primera conversación de 30 minutos una valoración concreta: qué instalaciones quedan sujetas a la obligación, qué huecos existen en el concepto de protección actual y qué medidas son aplicables en 90 días. Cita a través del formulario de contacto.