NIS2 in der Branche Abfallwirtschaft

Die Abfallwirtschaft hat eine Besonderheit im Gesetzestext, die vor allem für Industriebetriebe wichtig ist: Der Sektor greift nur, wenn Abfallbewirtschaftung die Haupttätigkeit ist.

Sind Sie betroffen?

Anlage 2 nennt Unternehmen der Abfallbewirtschaftung, sofern dies ihre Haupttätigkeit darstellt. Das grenzt sauber ab:

• Erfasst: Entsorgungsbetriebe, Recyclingunternehmen, Sonderabfallentsorger, kommunale Abfallwirtschaftsbetriebe, Betreiber von Verwertungsanlagen.
• Nicht über diesen Sektor erfasst: ein Industrieunternehmen, das seine eigenen Produktionsabfälle entsorgt — hier ist die Abfallbehandlung Nebentätigkeit. Die Betroffenheit kann sich dann aber über den eigenen Fachsektor ergeben, etwa Chemie oder verarbeitendes Gewerbe.

Ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz und Bilanzsumme sind Sie wichtige Einrichtung.

Der kommunale Sonderfall

Viele Entsorgungsbetriebe sind Eigenbetriebe oder Gesellschaften der Kommune. Zwei Wege können dann parallel laufen: die Betroffenheit über Sektor 13 und, je nach Landesrecht, die Regelungen für die öffentliche Verwaltung nach Sektor 10. Wer als Anstalt öffentlichen Rechts oder Eigenbetrieb organisiert ist, sollte die Einstufung anhand des jeweiligen Landesgesetzes prüfen — die Länder setzen die Vorgaben für ihren Bereich unterschiedlich um.

Die Lücken, die hier typisch sind

Anlagensteuerung in Sortier- und Verwertungsanlagen. Sortieranlagen, Verbrennungslinien und Vergärungsanlagen laufen auf Steuerungstechnik, die selten in der IT-Risikobetrachtung auftaucht — und die im selben Netz wie die Verwaltung hängt.

Waagensysteme und Wiegedatenerfassung. Die Verwiegung ist abrechnungs- und nachweisrelevant. Eine Manipulation trifft nicht nur den Umsatz, sondern die abfallrechtliche Nachweisführung.

Elektronisches Abfallnachweisverfahren. Die eANV-Anbindung ist gesetzlich verpflichtend. Ihr Ausfall bedeutet, dass gefährliche Abfälle nicht ordnungsgemäß dokumentiert übernommen werden können — der Betrieb steht faktisch still.

Tourenplanung und Fahrzeugtelematik. Wie in der Logistik ein zentrales System, dessen Ausfall den Betrieb unmittelbar trifft, und eine Telematikflotte, die in der Risikoanalyse häufig fehlt.

Personaldecke in der IT. Mittelständische Entsorger haben selten dedizierte Sicherheitsrollen — die Verantwortung muss benannt und mit Mandat ausgestattet werden.

Ein realistisches Szenario

Ein regionaler Entsorger mit 150 Beschäftigten verliert durch Ransomware die Verfügbarkeit von Tourenplanung und eANV-Anbindung. Die Abholung läuft improvisiert weiter, die Annahme gefährlicher Abfälle muss gestoppt werden, weil die Nachweisführung nicht möglich ist.

Die Frühwarnung ans BSI ist binnen 24 Stunden fällig. Parallel entsteht ein abfallrechtliches Problem: Ohne funktionierendes eANV dürfen bestimmte Abfälle nicht übernommen werden, was auf die Entsorgungssicherheit der angeschlossenen Kunden durchschlägt. Notfallpläne sollten für genau diesen Fall ein dokumentiertes Ersatzverfahren vorsehen.

Womit anfangen

Klären Sie zuerst, ob die Abfallbewirtschaftung Ihre Haupttätigkeit ist und wie Ihre Rechtsform die Einstufung beeinflusst — der Betroffenheitscheck liefert eine erste Einschätzung. Nehmen Sie danach die gesetzlich verpflichtenden Systeme (eANV, Verwiegung) als erste Kandidaten in die Business-Continuity-Planung auf; ihr Ausfall stoppt den Betrieb schneller als der Ausfall der Büro-IT.

Die zehn Maßnahmenbereiche in der Entsorgungswirtschaft

Risikoanalyse. Anlagensteuerung, Waagen- und Wiegedatensysteme, eANV-Anbindung, Tourenplanung und Fahrzeugtelematik gehören in den Betrachtungsumfang.

Bewältigung von Sicherheitsvorfällen. Der Plan muss regeln, wann die Annahme bestimmter Abfälle gestoppt wird, weil die Nachweisführung nicht möglich ist — das ist eine abfallrechtliche Entscheidung mit IT-Auslöser.

Aufrechterhaltung des Betriebs. Definieren Sie ein dokumentiertes Ersatzverfahren für den Ausfall von eANV und Verwiegung. Ohne dieses Verfahren steht die Annahme gefährlicher Abfälle still.

Sicherheit der Lieferkette. Relevant sind die Hersteller der Anlagensteuerung und der Waagentechnik sowie IT-Dienstleister; bei kommunalen Betrieben zusätzlich das kommunale Rechenzentrum.

Beschaffung und Wartung. Sortier- und Verwertungsanlagen laufen über Jahrzehnte. Sicherheitsanforderungen im Lastenheft, bei kommunalen Betrieben als Eignungs- und Zuschlagskriterien im Vergabeverfahren.

Wirksamkeitsprüfung. Jährlich, zusätzlich nach Vorfällen und nach Umbauten an der Anlagentechnik.

Cyberhygiene und Schulungen. Für Fahr- und Anlagenpersonal kurze, konkrete Inhalte: mobile Erfassungsgeräte, Umgang mit Servicetechnikern, Meldeweg bei Auffälligkeiten.

Kryptografie. Priorität haben die eANV-Kommunikation und die Übertragung von Wiege- und Abrechnungsdaten.

Personalsicherheit und Zugriffskontrolle. Bei Fluktuation und Saisonkräften ist ein dokumentiertes Offboarding entscheidend. Der Zugriff auf Wiegedaten sollte eng begrenzt und protokolliert sein.

Multi-Faktor-Authentifizierung. Zuerst für Fernzugänge, administrative Konten und den Zugang zum eANV-Portal.

Die ersten 90 Tage

Tage 1 bis 14. Klären, ob Abfallbewirtschaftung Ihre Haupttätigkeit ist und wie die Rechtsform die Einstufung beeinflusst. Betroffenheit dokumentieren, BSI-Registrierung starten.

Tage 15 bis 45. Gap-Analyse mit der Anlagentechnik im Betrachtungsumfang. eANV und Verwiegung als erste Kandidaten in die Business-Continuity-Planung aufnehmen.

Tage 46 bis 90. Ersatzverfahren für den eANV-Ausfall schriftlich festlegen und mit der zuständigen Behörde abstimmen, soweit erforderlich. Maßnahmenplan, Geschäftsführungsschulung.

Häufige Fragen aus der Abfallwirtschaft

Wir entsorgen nur unsere eigenen Produktionsabfälle. Sind wir über Sektor 13 betroffen?

In der Regel nicht, da Abfallbewirtschaftung nicht Ihre Haupttätigkeit ist. Prüfen Sie stattdessen Ihren eigenen Fachsektor — als Chemie- oder Industriebetrieb können Sie darüber erfasst sein.

Wir sind ein kommunaler Eigenbetrieb. Welches Regime gilt?

Möglicherweise beide: Sektor 13 über die Tätigkeit und, je nach Landesrecht, die Regelungen für die öffentliche Verwaltung. Da die Länder Sektor 10 unterschiedlich umsetzen, gehört die Einstufung anhand des jeweiligen Landesgesetzes geprüft.

Ist der Ausfall der eANV-Anbindung ein meldepflichtiger Vorfall?

Wenn er auf einen Sicherheitsvorfall zurückgeht und schwerwiegende Betriebsstörungen verursachen kann: ja. Da ohne eANV die Annahme gefährlicher Abfälle nicht ordnungsgemäß dokumentiert werden kann, ist dieses Potenzial regelmäßig gegeben.

Aufwand und Nachweise: was realistisch auf Sie zukommt

Personalaufwand. Bei mittelständischen Entsorgern mit knapper IT-Besetzung ist die Kapazität der Engpass, nicht der Umfang. Realistisch sind 0,3 Personenstellen über vier bis sechs Monate; ohne benannte Verantwortung mit Mandat versandet das Projekt erfahrungsgemäß im Tagesgeschäft.

Technische Investitionen. Absicherung der Fernzugänge und Multi-Faktor-Authentifizierung sind günstig und wirken sofort. Die Trennung von Anlagensteuerung und Verwaltungsnetz ist der aufwendigste Posten.

Was die Aufsicht typischerweise sehen will. Die dokumentierte Einstufung — insbesondere die Begründung zur Haupttätigkeit —, die Risikoanalyse einschließlich Anlagensteuerung und Waagentechnik, das Ersatzverfahren für den eANV-Ausfall, die Business-Continuity-Planung für die betriebskritischen Systeme, die Lieferantenübersicht und die Schulungsnachweise.

Der Sonderaufwand: abfallrechtliche Verzahnung. Das Ersatzverfahren bei Ausfall der Nachweisführung sollte nicht nur intern festgelegt, sondern mit der zuständigen Behörde abgestimmt sein. Diese Abstimmung dauert und lässt sich im Vorfall nicht nachholen.

Was Sie sich sparen können. Eine flächendeckende Absicherung aller Systeme auf gleichem Niveau. Priorisieren Sie eANV, Verwiegung und Tourenplanung — ihr Ausfall stoppt den Betrieb — und begründen Sie die niedrigere Priorität der übrigen Systeme dokumentiert.