Jsme provozovatelem odpadních vod v působnosti NIS 2?
Příloha I sektor 7 NIS 2 pokrývá podniky, které sbírají, odstraňují nebo čistí městské, domovní nebo průmyslové odpadní vody. Velikostní test z čl. 2 odst. 1 je druhou branou. KRITIS je přísnější režim, který sedí navrch pro největší čistírny, ale NIS 2 nepodmiňuje.
Stručná verze
Pokud váš subjekt sbírá, odstraňuje nebo čistí městské odpadní vody, domovní odpadní vody nebo průmyslové odpadní vody jako hlavní činnost, jste uvnitř NIS 2 přílohy I sektoru 7. Směrnice definuje tyto tři typy odpadních vod odkazem na směrnici Rady 91/271/EHS (směrnice o čištění městských odpadních vod). O sektorové otázce rozhoduje jedna věta přílohy I.
Čl. 2 odst. 1 NIS 2 přidává velikostní test: střední podnik nebo větší, tedy alespoň 50 zaměstnanců, nebo více než 10 milionů eur obratu a více než 10 milionů eur bilanční sumy. Většina městských provozovatelů, kteří provozují čistírnu jakékoli významné velikosti, tímto testem projde, jakmile sečtete provoz, údržbu a administrativu dohromady.
KRITIS-Verordnung stanoví samostatný, přísnější práh pro německý režim KRITIS: ekvivalent 500 000 obyvatel pro čištění odpadních vod. Čistírna pod tímto číslem není KRITIS, ale je stále subjektem NIS 2 podle §28 BSIG. Režim KRITIS přidává povinnosti navrch NIS 2. Nenahrazuje NIS 2 a nepodmiňuje ho.
Směrnice NIS 2 (EU) 2022/2555, příloha I sektor 7 Odpadní vody
Undertakings collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water as defined in point (1), (2) and (3) of Article 2 of Council Directive 91/271/EEC, excluding undertakings for which collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water is a non-essential part of their general activity.
Tři věci je třeba číst pozorně. Zaprvé, definice činností pocházejí ze směrnice o čištění městských odpadních vod 91/271/EHS, ne ze samotné NIS 2. Zadruhé, počítají se všechny tři typy odpadních vod: městské, domovní a průmyslové. Zatřetí, jediná výjimka je pro subjekty, u nichž je práce s odpadními vodami vedlejší činností. Pokud je čištění nebo odstraňování součástí vašich hlavních provozů, jste uvnitř sektoru 7.
Čl. 2 odst. 1 NIS 2 plus doporučení 2003/361/ES
This Directive applies to public or private entities of a type referred to in Annex I or Annex II which qualify as medium-sized enterprises under Article 2 of the Annex to Recommendation 2003/361/EC, or exceed the ceilings for medium-sized enterprises provided for in paragraph 1 of that Article.
Střední podnik znamená alespoň 50 zaměstnanců, nebo více než 10 milionů eur obratu a více než 10 milionů eur bilanční sumy. Aplikujte test na právnickou osobu, která provozuje činnost s odpadními vodami. Účelový svaz, dceřiná společnost městských služeb, vlastní podnik (Eigenbetrieb) nebo soukromý provozovatel se po splnění velikostního testu posuzují stejně.
§28 BSIG (Německo) plus KRITIS-Verordnung
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind natürliche oder juristische Personen oder rechtlich unselbständige Organisationseinheiten einer Gebietskörperschaft, die einer der in den Anlagen 1 oder 2 genannten Einrichtungsarten zuzuordnen sind und die Schwellenwerte nach Artikel 2 der Empfehlung 2003/361/EG erreichen oder überschreiten.
§28 BSIG je německým vstupem do NIS 2. Anlage 1 vyjmenovává typy 'besonders wichtige' (základní), Anlage 2 vyjmenovává typy 'wichtige' (důležité). Odpadní vody sedí v tomto seznamu. Čistírna, která zároveň překračuje práh KRITIS 500 000 ekvivalentních obyvatel v KRITIS-Verordnung, se počítá jako 'Betreiber einer Kritischen Anlage' a přistává navrch v přísnějším koši 'besonders wichtige'.
Sbíráte, odstraňujete nebo čistíte odpadní vody jako hlavní činnost?
Projděte tři kategorie směrnice 91/271/EHS. Městská odpadní voda je směs domovní odpadní vody s průmyslovou odpadní vodou nebo dešťovým odtokem. Domovní odpadní voda pochází z obytných budov. Průmyslová odpadní voda pochází z výroby. Pokud kterýkoli z těchto toků protéká vaší kanalizací, vašimi čerpacími stanicemi nebo vaší čistírnou jako součást vašich hlavních provozů, jste uvnitř sektoru 7.
Jste alespoň střední podnik?
Alespoň 50 zaměstnanců, nebo více než 10 milionů eur obratu a více než 10 milionů eur bilanční sumy. Počítejte celou právnickou osobu, ne čistírnu samostatně. Účelový svaz s 65 zaměstnanci napříč provozem, laboratorní prací a administrativou testem projde, i když samotná čistírna běží s malou noční směnou. Pod laťkou může být v působnosti úzká skupina subjektů tam, kde je čl. 2 odst. 2 vtahuje bez ohledu na velikost, ale obecným pravidlem pro sektor 7 je velikostní test.
Překračujete práh KRITIS 500 000 ekvivalentních obyvatel?
KRITIS-Verordnung stanoví německý práh pro odpadní vody na ekvivalent 500 000 obyvatel. Překročte toto číslo a jste také 'Betreiber einer Kritischen Anlage', s tříletým auditním cyklem podle §65 BSIG a přísnější klasifikací. Většina městských čistíren v Německu sedí hluboko pod 500 000 EO. Nejsou KRITIS, ale jsou stále subjekty NIS 2 podle §28 BSIG.
Odpadní voda jako vedlejší produkt vás do sektoru 7 nedostává
Výjimka v příloze I je výslovná. Pokud je práce s odpadními vodami nepodstatnou součástí vaší obecné činnosti (lokální předčisticí jednotka v továrně, odlučovač oleje na parkovacím podlaží, malá vlastní čistírna na odlehlém pracovišti), provozovatel není na tomto základě v sektoru 7. Samotná továrna může být přesto v působnosti pod jiným sektorem přílohy I nebo II. Co spadá mimo, je práce s odpadními vodami, ne právnická osoba.
Uvnitř městských služeb je odpadní voda jedním z několika sektorů
Městské služby často provozují elektřinu, pitnou vodu a odpadní vody pod jednou právnickou osobou. NIS 2 to stále posuzuje jako jeden subjekt s jednou registrací. Činnost s odpadními vodami nedostává samostatný spis. Registr rizik, modul aktiv a hlášení incidentů pokrývají všechny sektory na jednom místě. Plné víceodvětvové zpracování najdete v článku o městských službách.
BSI podle §28, §32 a §33 BSIG
BSI je kybernetickým orgánem pro odpadní vody podle §28 BSIG. Provozuje registrační portál podle §33 BSIG, přijímá oznámení významných incidentů podle §32 BSIG a pro provozovatele KRITIS nad 500 000 EO přijímá důkazy tříletého auditu podle §65 BSIG. Pro provozovatele pod prahem KRITIS žádná auditní povinnost neexistuje, ale registrace a hlášení stále platí.
Umweltbundesamt a KA-Sicherheitsstandard
Umweltbundesamt a odvětvové asociace pro odpadní vody (DWA, BDEW) udržují sektorově specifický kyberbezpečnostní standard pro čistírny odpadních vod (B3S Wasser/Abwasser). B3S je to, co BSI uznává jako uznávaný bezpečnostní standard pro sektor podle §31 BSIG pro provozovatele KRITIS. Provozovatelé NIS 2 mimo KRITIS nemusí B3S dodržovat, ale v praxi ho používají jako pracovní příručku.
Spolkové země (vodoprávní úřady)
Environmentální strana odpadních vod (povolení k vypouštění, kvalita čištění, nakládání s kaly) sedí u Landesbehörden für Wasserwirtschaft podle vodoprávních předpisů spolkových zemí. NIS 2 na tom nic nemění. Zemský vodoprávní úřad je jiná konverzace než konverzace s BSI. Kybernetický incident, který má zároveň environmentální dopad, může vyžadovat oznámení do obou linií.
Technická implementační vodítka ENISA
TIG od ENISA pokrývá sektor 7 výslovně a mapuje katalog kontrol podle článku 21 na ISO 27001 a NIST CSF 2.0. Provozovatelé, kteří už provozují environmentální systém řízení podle ISO, mají částečný náskok. TIG je nezávazný, ale je celounijní referencí pro to, jak vypadá 'vhodné a přiměřené' podle čl. 21 odst. 1.
Čistíme vlastní továrenskou odpadní vodu na místě, takže jsme provozovatelem sektoru 7.
Příloha I sektor 7 vylučuje provozovatele, u nichž je práce s odpadními vodami nepodstatnou součástí obecné činnosti. Lokální předčisticí jednotka v chemickém závodu z chemického závodu subjekt sektoru 7 nedělá. Závod může být přesto v působnosti NIS 2 pod jiným sektorem přílohy I nebo II (chemické látky, výroba, potraviny), ale ne přes linii odpadních vod.
Naše čistírna je pod 500 000 EO, takže se NIS 2 neuplatní.
Číslo 500 000 ekvivalentních obyvatel je práh KRITIS z KRITIS-Verordnung. Podmiňuje režim KRITIS, ne NIS 2. Čistírna na 80 000 EO je pod KRITIS, ale typický provozovatel odpadních vod velikosti Mittelstand nad velikostním testem čl. 2 odst. 1. Je subjektem NIS 2 podle §28 BSIG s plným katalogem kontrol podle článku 21, registrací a povinnostmi hlášení incidentů.
Jsme vlastní podnik (Eigenbetrieb) města, takže se NIS 2 neuplatní.
Příloha I pokrývá 'veřejné nebo soukromé subjekty'. Právní forma (Eigenbetrieb, Zweckverband, Anstalt des öffentlichen Rechts, GmbH) sektorový test nemění. Jediná úzká výjimka pro veřejný sektor v NIS 2 je pro funkce národní bezpečnosti a obrany. Městský provoz odpadních vod tím není.
Typický provozovatel odpadních vod, se kterým mluvíme, provozuje čistírnu na 80 000 až 200 000 ekvivalentních obyvatel, kanalizační síť, několik čerpacích stanic a malou laboratoř. Počet zaměstnanců se pohybuje mezi 30 a 90. Právní forma je buď účelový svaz, vlastní podnik (Eigenbetrieb), nebo GmbH vlastněná městem. KRITIS se neuplatní. NIS 2 ano, přes přílohu I sektor 7 plus velikostní test, plus §28 BSIG.
Registr rizik podle §30 BSIG musí pokrýt SCADA na čistírně, telemetrii na čerpacích stanicích, SIM karty v hladinových čidlech, laboratorní IT a kancelářské IT. Hlášení incidentů podle §32 teče k BSI. Registrace podle §33 je jedním podáním za právnickou osobu. B3S Wasser/Abwasser je pracovní příručkou i tam, kde auditní povinnost neplatí, protože je to dokument, který BSI zná.
Kontrola použitelnosti prochází definici sektoru 7 přesně tak, jak ji píše příloha I: městské, domovní, průmyslové odpadní vody, s výjimkou pro vedlejší činnost jako samostatnou otázkou. Velikostní test z čl. 2 odst. 1 je druhým krokem. Práh KRITIS-Verordnung 500 000 EO je třetí a je prezentován jako 'navrch NIS 2', ne jako brána.
Modul aktiv pokrývá SCADA, telemetrii, čerpací stanice a laboratorní IT pod jedním inventářem. Kontroly B3S Wasser/Abwasser zapadají do katalogu čl. 21 odst. 2 bez paralelního seznamu. Pokud zároveň překročíte práh KRITIS, tříletý auditní cyklus podle §65 BSIG se zapne jako samostatný pracovní postup navrch stejných dokladů.
- Směrnice (EU) 2022/2555 (NIS 2), příloha I sektor 7 Odpadní vody. eur-lex.europa.eu/eli/dir/2022/2555/oj
- Směrnice (EU) 2022/2555 (NIS 2), čl. 2 odst. 1. eur-lex.europa.eu/eli/dir/2022/2555/oj
- Směrnice Rady 91/271/EHS o čištění městských odpadních vod, čl. 2 body (1), (2), (3)
- Doporučení Komise 2003/361/ES o definici mikropodniků, malých a středních podniků
- BSIG, §28 (Anwendungsbereich), §32 (Meldepflichten), §33 (Registrierung), §65 (Nachweise) ve znění zákona o provedení NIS2 a posílení kyberbezpečnosti
- BSI-Kritisverordnung (KRITIS-Verordnung), Anhang 1 Teil 2 Wasser: ekvivalent 500 000 obyvatel pro čištění odpadních vod
- Branchenspezifischer Sicherheitsstandard Wasser/Abwasser (B3S), DWA / BDEW