Kritische Infrastrukturen in der Abfallwirtschaft - Wer ist betroffen?
- Seit dem 1. April 2024 müssen Betreiber von kritischen Infrastrukturen in der Siedlungsabfallwirtschaft IT-Sicherheitspflichten einhalten.
- Die BSI-Kritisverordnung ist maßgeblich, um die kritischen Infrastrukturen im Bereich der Siedlungsabfallentsorgung zu bestimmen.
- Auf Grund des NIS2-Umsetzungsgesetz müssen zukünftig fast alle Unternehmen der Abfallwirtschaft IT-Sicherheitspflichten einhalten.
Der Gesetzgeber hat bereits im Jahr 2021 im Rahmen des IT-Sicherheitsgesetz 2.0 die Siedlungsabfallentsorgung in den Sektorenkreis der kritischen Infrastrukturen in § 2 Abs. 10 BSI-Gesetz (BSIG) aufgenommen. Mit der am 01.01.2024 in Kraft getretenen überarbeiteten BSI-Kritisverordnung (BSI-KritisV) wurden die kritischen Infrastrukturen im Bereich der Siedlungsabfallentsorgung näher bestimmt (die entsprechende Änderungsverordnung findet sich hier, die Begründung hierzu hier und die konsolidierte und aktuell geltende BSI-KritisV findet sich hier). Unternehmen, die solche kritischen Infrastrukturen betreiben müssen seit Ablauf der Übergangsfrist am 1. April 2024 die IT-Sicherheitspflichten Pflichten des BSIG erfüllen.
Dieser Blogbeitrag erklärt die Inhalte der neuen BSI-KritisV und gibt Hinweise, wie genau die kritischen Infrastrukturen im Bereich der Siedlungsabfallentsorgung identfiziert werden. Zudem wird ein Ausblick auf die wesentlichen Änderungen gegeben, die sich in der Abfallbranche auf Grund des NIS2-Umsetzungsgesetzes ergeben.
Kritische Infrastrukturen der Siedlungsabfallentsorgung nach der BSI-Kritisverordnung
Ob eine kritische Infrastruktur vorliegt, wird nach der BSI-KritisV in drei Schritten geprüft:
- Werden in einem einschlägigen Sektor eine oder mehrere der in der BSI-KritisV als kritisch eingestuften Dienstleistungen erbracht?
- Wird die für die Erbringung der kritischen Dienstlungen erforderlichen Anlage von der BSI-KritisV erfasst?
- Werden die in der BSI-KritisV beschriebenen Schwellenwerte für die Anlagen nach den Bemessungskriterien erreicht oder überschritten?
Diese Prüfungsschritte können in komprimierter Form der entsprechenden Tabellen im Anhang der BSI-KritisV entnommen werden. Für den Bereich der Siedlungsabfallentsorgung findet sich diese Tabelle in Anhang 8, Teil 3 der BSI-KritisV. Diese Tabelle ist der Kern der überarbeiteten BSI-KritisV für diesen Sektor und führt zu einer weitgehend klaren Identifizierbarkeit von kritischen Infrastrukturen.
Kritische Dienstleistungen im Bereich der Siedlungsabfallentsorgung
Die kritischen Dienstleistungen der Siedlungsabfallentsorgung beinhalten alle Entsorgungsprozesse und -tätigkeiten, die im Zusammenhang mit Siedlungsabfällen stehen. Rein praktisch wurde in der Genese der BSI-KritisV die gesamte Wertschöpfungskette der Siedlungsabfallentsorgung betrachtet und die folgenden Prozesse- und Tätigkeiten als Bereiche der kritischen Dienstleistungen bestimmt: „Abfallsammlung und -beförderung“ und „Abfallverwertung und -beseitigung“ (§§ 1 Abs. 1 Nr. 3; 9 Abs. 2 BSI-KritisV; Ziff. 1 und 2 der Tabelle in Anhang 8, Teil 3 der BSI-KritisV).
Diese Begriffe werden nicht in der BSI-KritisV selbst definiert. Eine Definition dieser kritischen Dienstleistungen (bzw. dieser Bereiche) wird jedoch in der Begründung zum Entwurf der BSI-KritisV gegeben.
Definitionen Siedlungsabfallsammlung, -beförderung, -verwertung und -beseitigung
Die Siedlungsabfallsammlung ist das Einsammeln von Siedlungsabfällen bei den Bürgerinnen und Bürgern sowie dem Gewerbe, einschließlich deren vorläufiger Sortierung und vorläufiger Lagerung zum Zweck der weiteren Beförderung.
Die Siedlungsabfallbeförderung ist der Transport der gesammelten Siedlungsabfälle von oder zur Abfallbehandlungsanlage einschließlich Vorbehandlungsanlage sowie zur endgültigen Verwertung oder Beseitigung.
Die Siedlungsabfallverwertung ist jedes Verfahren, als dessen Hauptergebnis die Siedlungsabfälle einem Zweck zugeführt werden, indem sie entweder andere Materialien ersetzen, die sonst zur Erfüllung einer bestimmten Funktion verwendet worden wären oder indem die Siedlungsabfälle so vorbereitet werden, dass sie diese Funktion erfüllen (§ 3 Abs. 23 KrWG).
Die Siedlungsabfallbeseitigung ist jedes Verfahren, das keine Verwertung von Siedlungsabfällen ist, auch wenn das Verfahren zur Nebenfolge hat, dass Stoffe oder Energie zurückgewonnen werden.
Anlagen im Bereich der Siedlungsabfallentsorgung
Die maßgeblichen Anlagen(kategorien) werden in Spalte B der Tabelle in Anhang 8, Teil 3 der BSI-KritisV beschrieben.
Bemessungskriterium als Grundlage der Schwellenwerte
Den einzelnen Anlagen sind in Spalte C der Tabelle in Anhang 8, Teil 3 der BSI-KritisV jeweils ein Bemessungskriterium oder mehrere Bemessungskriterien samt Schwellenwerten in Spalte D zugeordnet.
Konzentriert man sich zunächst auf die Bemessungskriterien der Anlagen im Rahmen der kritischen Dienstleistung „Sammlung und Beförderung“ (Ziff. 1), so fällt auf, dass einer Anlage gleich mehrere Bemessungskriterien zugeordnet wurden. Wichtig hierbei ist, dass nur ein entsprechender Schwellenwert erreicht sein muss, damit die Anlage als kritische Infrastruktur qualifiziert wird. Es müssen nicht sämtliche Bemessungskriterien mit den Schwellenwerten erreicht werden. Dies ergibt sich aus dem Wort „oder“ am Ende des jeweiligen Bemessungskriteriums in Spalte C.
Die so festgelegten Abfälle in diesen Bemessungskriterien sind dabei nicht nach Schlüsselnummern der Abfallverzeichnisverordnung definiert. Vor dem Hintergrund, dass bestimmte Abfälle dringend gesammelt, d.h. von den Erfassungsstandorten auf der Straße oder an den Grundstücken verschwinden und behandelt werden müssen, sind die Abfallfraktionen ganz praktisch „tonnengebunden“ zu verstehen. Das heißt, dass z.B. mit Bioabfällen der Inhalt der Biotonnen gemeint ist, auch wenn die jeweilige Biotonnen Fehlwürfe und damit auch andere Fraktionen enthalten. Gleiches gilt für Restmüll, PPK, Glas, Verpackungen, usw. Dies ergibt sich für die Biotonne aus den Ausführungen zur Berechnungsgrundlage der Schwellenwerte in Anhang 8, Teil 2 der BSI-KritisV. Unter Nr. 6 wird dort explizit auf die Biotonne abgestellt.
Konsequenzen der tonnengebundenen Sicht
Diese tonnengebundene Sicht führt beispielsweise dazu, dass Grünabfälle (d.h. Park- und Gartenabfälle) entgegen § 3 Abs. 7 Nr. 1 KrWG insoweit nicht direkt von der BSI-KritisV als Bioabfälle erfasst werden. Nur sofern Grünabfälle durch Fehlwürfe tatsächlich in der Biotonne landen, sind sie in diesem Rahmen ebenfalls vom Begriff Bioabfall erfasst. Nicht erfasst sind demgegenüber Grünabfälle, die in eigenen Grünabfalltonnen oder über die Wertstoffhöfe erfasst werden. Diese Tonnen finden sich nicht in der Tabelle der BSI-KritisV.
Mit Blick auf den LVP- und Kunststoffabfall ist auszuführen, dass diese in den Kommunen primär über die Gelbe Tonne bzw. gelbe Säcke erfasst werden. Damit ist der Inhalt dieser Tonnen oder Säcke maßgeblich für den Schwellenwert im Bereich der LVP- und Kunststoffabfälle. Sofern die einzelne Kommune über eine sogenannte Wertstofftonne verfügt, die sowohl LVP- und Kunststoffabfall als auch stoffgleiche Nichtverpackungen erfasst, so ist der gesamte Inhalt dieser Wertstofftonne von der BSI-KritisV erfasst.
Die Bemessungskriterien innerhalb der kritischen Dienstleistungen „Verwertung und Beseitigung“ (Ziff. 2) folgen einer anderen Logik. Innerhalb der kritischen Dienstleistung „Sammlung und -beförderung“ wird der Schwellenwert der 500.000 angeschlossenen Einwohner direkt in Bezug genommen (zum Schwellenwert sogleich) und ansonsten auf den tonnengebundenen tatsächlich gesammelten Stoffstrom abgestellt. Innerhalb der kritischen Dienstleistung „Verwertung und Beseitigung“ wird dagegen abstrakt auf die genehmigten (Jahres-)Behandlungskapazitäten der Anlagen abgestellt, ohne das es auf den tatsächlich verarbeiteten Stoffstrom ankommt.
Konsequenzen der abstrakt genehmigten Behandlungskapazität
Falls beispielsweise eine Anlage zur biologischen Behandlung von Siedlungsabfällen (Ziff. 2.3) mit einer Behandlungskapazität von 40.000 Mg/Jahr genehmigt wurde, aber tatsächlich auf Grund geringer Auslastung nur 30.000 Mg/Jahr behandelt werden, so ist dies irrelevant. Die Anlage ist weiterhin eine kritische Infrastruktur.
Schwellenwerte entscheidend für die Identifikation als kritsche Infrastruktur
In Spalte D der Tabelle in Anhang 8, Teil 3 der BSI-KritisV werden den einzelnen Bemessungskriterien Schwellenwerte zugeordnet. Werden diese Schwellenwerte erreicht oder überschritten, so wird eine Anlage als kritische Infrastruktur identifiziert. Will ein Unternehmen wissen ob es eine kritische Infrastruktur betreibt, so ist dies die entscheidende Kennzahl.
Die Schwellenwerte orientieren sich, wie auch in allen anderen Kritis-Sektoren, an einem Wert, der der Versorgung von (bzw. im Fall der Abfallwirtschaft an der Entsorgung von Abfällen für) 500.000 Einwohnern entspricht. Teilweise findet sich dies direkt in der Tabelle wieder (siehe erste Zeile in Ziffer 1.1), teilweise wird dies aber auch in andere Bemessungsgrundlagen / Schwellenwerte umgerechnet. Die Berechnungsgrundlage der Schwellenwerte aus der Tabelle ergibt sich aus Anhang 8, Teil 2 der BSI-KritisV.
Die Schwellenwerte der kritischen Dienstleistungen „Abfallsammlung und -beförderung“ und „Abfallverwertung und -beseitigung“ folgen hierbei einer unterschiedlichen Logik. Während die Abfallsammlung und -beförderung die 500.000 Einwohner direkt in Bezug nimmt und ansonsten auf den tatsächlich gesammelten Stoffstrom abstellt, wird im Bereich der Abfallverwertung und -beseitigung abstrakt auf die genehmigten (Jahres-)Behandlungskapazitäten abgestellt, ohne das es auf den tatsächlich verarbeiteten Stoffstrom ankommt. Falls beispielsweise eine Anlage zur biologischen Behandlung von Siedlungsabfällen (Ziffer 2.3) mit einer Behandlungskapazität von 40.000 Mg/Jahr genehmigt wurde, aber tatsächlich auf Grund geringer Auslastung nur 30.000 Mg/Jahr behandelt werden, so ist dies irrelevant. Die Anlage ist weiterhin eine kritische Infrastruktur.
Wichtige Änderungen durch das NIS2-Umsetzungsgesetz für die Abfallwirtschaft
Diese Webseite beschreibt eingehend die Inhalte und Pflichten nach dem NIS2-Umsetzungsgesetz (siehe hierzu ausführlich das Grundwissen). Im Folgenden werden deshalb nur stichpunktartig die wichtigsten Änderungen speziell für die Abfallwirtschaft aufgeführt.
- Auf Grund der neuen Logik des NIS2-Umsetzungsgesetzes lässt sich stark verkürzt feststellen, dass Unternehmen der Abfallwirtschaft zukünftig ab 50 Mitarbeitenden oder 10 Millionen Jahresumsatz und Jahresbilanzsumme in den Anwendungsbereich der neuen IT-Sicherheitspflichten fallen. Sie gelten im Zweifel als wichtige Einrichtung.
- Auf diese Unternehmen kommen zukünftig erstmals IT-Sicherheitspflichten zu, die vergleichbar sind mit den bisher nur für die Betreiber von kritischen Infrastrukturen geltenden Pflichten.
- Das NIS2-Umsetzungsgesetz führt auch qualitativ zu einer Ausweitung des Anwendungsbereichs. Es wird nicht nur der Sektor der Siedlungsabfallentsorgung in den Blick genommen, sondern generell alle Unternehmen der Abfallbewirtschaftung nach § 3 Abs. 14 KrWG.
Fazit
Durch die überarbeitete BSI-KritisV werden erstmals im Bereich der Siedlungsabfallentsorgung Betreiber von Kritischen Infrastrukturen bestimmt. Diese Betreiber müssen sich selbst identifizieren und seit dem 01.04.2024 spezielle IT-Sicherheitspflichten einhalten. Insbesondere müssen sie sich zunächst beim beim BSI registrieren. Auf Grund der relativ hohen Schwellenwerte, die von 500.000 versorgten Einwohnern ausgehen, fallen aktuell nur relativ wenige Unternehmen der Abfallwirtschaft in den Anwendungsbereich des BSIG. Dies wird sich jedoch durch die Umsetzung der NIS-2-Richtlinie schon bald ändern. Zukünftig müssen alle Abfallunternehmen ab 50 Mitarbeitedenden oder 10 Millionen Jahresumsatz und Jahresbilanzsumme die IT-Sicherheitspflichten nach dem BSIG einhalten. Auch wenn sich die Umsetzung des Gesetzes vermutlich verzögert und wohl nicht wie eigentlich vorgesehen im Oktober 2024 in Kraft tritt (siehe zu den Konsequenzen hier), sollten sich die Unternehmen der Abfallwirtschaft hierauf bereits jetzt vorbereiten. Die Umsetzung von IT-Sicherheitsmaßnahmen kann aufwändig sein und viel Zeit in Anspruch nehmen.