Suntem un operator de ape uzate în domeniul de aplicare al NIS 2?
NIS 2 Anexa I sectorul 7 acoperă întreprinderile care colectează, elimină sau tratează apele uzate urbane, menajere sau industriale. Testul de mărime din articolul 2(1) este a doua poartă. KRITIS este un regim mai strict care se așază deasupra pentru cele mai mari stații, dar nu condiționează NIS 2.
Pe scurt
Dacă entitatea dumneavoastră colectează, elimină sau tratează ape uzate urbane, ape uzate menajere sau ape uzate industriale ca activitate principală, sunteți în interiorul NIS 2 Anexa I sectorul 7. Directiva definește acele trei tipuri de ape uzate prin trimitere la Directiva 91/271/CEE a Consiliului (Directiva privind tratarea apelor urbane reziduale). O singură propoziție din Anexa I decide chestiunea sectorului.
Articolul 2(1) din NIS 2 adaugă testul de mărime: întreprindere mijlocie sau mai mare, ceea ce înseamnă cel puțin 50 de angajați, sau peste 10 milioane euro cifră de afaceri și peste 10 milioane euro bilanț. Majoritatea operatorilor municipali care operează o stație de tratare de orice mărime semnificativă trec acel test odată ce numărați operațiunile, întreținerea și administrația împreună.
KRITIS-Verordnung stabilește un prag separat, mai strict, pentru regimul KRITIS german: un echivalent-locuitor de 500.000 pentru tratarea apelor uzate. O stație sub acel număr nu este KRITIS, dar este în continuare o entitate NIS 2 conform §28 BSIG. Regimul KRITIS adaugă obligații deasupra NIS 2. El nu înlocuiește NIS 2 și nu îl condiționează.
Directiva NIS 2 (UE) 2022/2555, Anexa I sectorul 7 Ape uzate
Undertakings collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water as defined in point (1), (2) and (3) of Article 2 of Council Directive 91/271/EEC, excluding undertakings for which collecting, disposing of or treating urban waste water, domestic waste water or industrial waste water is a non-essential part of their general activity.
Trei lucruri de citit cu atenție. Întâi, definițiile activităților provin din Directiva privind tratarea apelor urbane reziduale 91/271/CEE, nu din NIS 2 însăși. Al doilea, toate trei tipurile de ape uzate contează: urbane, menajere și industriale. Al treilea, singura derogare este pentru entitățile la care activitatea de ape uzate este o activitate secundară. Dacă tratarea sau eliminarea face parte din operațiunile dumneavoastră principale, sunteți în interiorul sectorului 7.
Articolul 2(1) NIS 2 plus Recomandarea 2003/361/CE
This Directive applies to public or private entities of a type referred to in Annex I or Annex II which qualify as medium-sized enterprises under Article 2 of the Annex to Recommendation 2003/361/EC, or exceed the ceilings for medium-sized enterprises provided for in paragraph 1 of that Article.
Întreprindere mijlocie înseamnă cel puțin 50 de angajați, sau peste 10 milioane euro cifră de afaceri și peste 10 milioane euro bilanț. Aplicați testul entității juridice care operează activitatea de ape uzate. Un Zweckverband, o filială Stadtwerk, un Eigenbetrieb sau un operator privat sunt toți tratați la fel odată ce trec testul de mărime.
§28 BSIG (Germania) plus KRITIS-Verordnung
Besonders wichtige Einrichtungen und wichtige Einrichtungen sind natürliche oder juristische Personen oder rechtlich unselbständige Organisationseinheiten einer Gebietskörperschaft, die einer der in den Anlagen 1 oder 2 genannten Einrichtungsarten zuzuordnen sind und die Schwellenwerte nach Artikel 2 der Empfehlung 2003/361/EG erreichen oder überschreiten.
§28 BSIG este intrarea germană în NIS 2. Anlage 1 listează tipurile 'besonders wichtige' (esențiale), Anlage 2 listează tipurile 'wichtige' (importante). Apele uzate se află în această listă. O stație care depășește și pragul KRITIS de 500.000 de echivalenți-locuitor din KRITIS-Verordnung contează ca 'Betreiber einer Kritischen Anlage' și ajunge în coșul mai strict 'besonders wichtige' pe deasupra.
Colectați, eliminați sau tratați ape uzate ca activitate principală?
Parcurgeți cele trei categorii din Directiva 91/271/CEE. Apele uzate urbane sunt amestecul de ape uzate menajere cu ape uzate industriale sau ape pluviale de scurgere. Apele uzate menajere provin din clădirile rezidențiale. Apele uzate industriale provin din producție. Dacă oricare dintre aceste fluxuri trece prin canalizarea dumneavoastră, prin stațiile de pompare sau prin stația de tratare ca parte a operațiunilor dumneavoastră principale, sunteți în interiorul sectorului 7.
Sunteți cel puțin o întreprindere mijlocie?
Cel puțin 50 de angajați, sau peste 10 milioane euro cifră de afaceri și peste 10 milioane euro bilanț. Numărați întreaga entitate juridică, nu stația izolat. Un Zweckverband cu 65 de angajați în operațiuni, laborator și administrație trece testul chiar dacă stația în sine funcționează cu o mică tură de noapte. Sub prag, un set îngust de entități poate fi totuși în domeniul de aplicare acolo unde articolul 2(2) le aduce înăuntru indiferent de mărime, dar regula generală pentru sectorul 7 este testul de mărime.
Depășiți pragul KRITIS de 500.000 de echivalenți-locuitor?
KRITIS-Verordnung stabilește pragul german pentru apele uzate la un echivalent-locuitor de 500.000. Depășiți acel număr și sunteți și 'Betreiber einer Kritischen Anlage', cu ciclul de audit la fiecare trei ani conform §65 BSIG și clasificarea mai strictă. Majoritatea stațiilor municipale din Germania se află mult sub 500.000 EW. Ele nu sunt KRITIS, dar sunt în continuare entități NIS 2 conform §28 BSIG.
Apele uzate ca produs secundar nu vă pun în sectorul 7
Derogarea din Anexa I este explicită. Dacă activitatea de ape uzate este o parte neesențială a activității dumneavoastră generale (o unitate de pretratare la fața locului într-o fabrică, un separator de ulei la o platformă de parcare, o mică stație internă de epurare la un sit izolat), operatorul nu este în sectorul 7 pe această bază. Fabrica în sine poate fi totuși în domeniul de aplicare sub un alt sector Anexa I sau II. Activitatea de ape uzate este ce cade în afară, nu entitatea juridică.
În cadrul unui Stadtwerk, apele uzate sunt unul dintre mai multe sectoare
Un Stadtwerk operează adesea electricitate, apă potabilă și ape uzate sub o singură entitate juridică. NIS 2 tratează asta totuși ca o singură entitate cu o singură înregistrare. Activitatea de ape uzate nu primește un dosar separat. Registrul riscurilor, modulul de active și raportarea incidentelor acoperă toate sectoarele într-un singur loc. Vedeți articolul Stadtwerk pentru tratamentul complet multi-sector.
BSI conform §28, §32 și §33 BSIG
BSI este autoritatea cibernetică pentru apele uzate conform §28 BSIG. Operează portalul de înregistrare conform §33 BSIG, acceptă notificările de incidente semnificative conform §32 BSIG și, pentru operatorii KRITIS peste 500.000 EW, primește dovezile de audit la fiecare trei ani conform §65 BSIG. Pentru operatorii sub pragul KRITIS nu există obligație de audit, dar înregistrarea și raportarea se aplică în continuare.
Umweltbundesamt și KA-Sicherheitsstandard
Umweltbundesamt și asociațiile industriei apelor uzate (DWA, BDEW) mențin standardul de securitate cibernetică specific sectorului pentru stațiile de ape uzate (B3S Wasser/Abwasser). B3S este ceea ce BSI acceptă ca standard de securitate recunoscut pentru sector conform §31 BSIG pentru operatorii KRITIS. Operatorii NIS 2 care nu sunt KRITIS nu sunt obligați să urmeze B3S, dar în practică îl folosesc ca manual de lucru.
Landurile (autoritățile pentru apă)
Partea de mediu a apelor uzate (autorizații de evacuare, calitatea tratării, gestionarea nămolului) se află la Landesbehörden für Wasserwirtschaft conform dreptului apei al landurilor. NIS 2 nu schimbă nimic din toate acestea. Autoritatea landului pentru apă este o discuție diferită de discuția cu BSI. Un incident cibernetic care are și un impact asupra mediului poate necesita notificări către ambele linii.
Ghidul tehnic de punere în aplicare al ENISA
TIG-ul ENISA acoperă explicit sectorul 7 și mapează catalogul de controale al articolului 21 la ISO 27001 și NIST CSF 2.0. Operatorii care rulează deja un sistem de management de mediu ISO au un avans parțial. TIG-ul este neobligatoriu, dar este referința la nivelul întregii UE pentru cum arată 'adecvat și proporțional' conform articolului 21(1).
Ne tratăm propriile ape uzate de fabrică la fața locului, deci suntem un operator din sectorul 7.
Anexa I sectorul 7 exclude operatorii la care activitatea de ape uzate este o parte neesențială a activității generale. O unitate de pretratare la fața locului la o uzină de produse chimice nu face uzina de produse chimice o entitate din sectorul 7. Uzina poate fi totuși în domeniul de aplicare al NIS 2 sub un alt sector Anexa I sau II (produse chimice, fabricație, alimente), dar nu prin linia apelor uzate.
Stația noastră este sub 500.000 EW, deci NIS 2 nu se aplică.
Cifra de 500.000 de echivalenți-locuitor este pragul KRITIS din KRITIS-Verordnung. Ea condiționează regimul KRITIS, nu NIS 2. O stație la 80.000 EW este sub KRITIS, dar un operator de ape uzate tipic de mărime Mittelstand, peste testul de mărime din articolul 2(1). Este o entitate NIS 2 conform §28 BSIG cu întregul catalog de controale al articolului 21, obligațiile de înregistrare și de raportare a incidentelor.
Suntem un Eigenbetrieb al orașului, deci NIS 2 nu se aplică.
Anexa I acoperă 'entitățile publice sau private'. Forma juridică (Eigenbetrieb, Zweckverband, Anstalt des öffentlichen Rechts, GmbH) nu schimbă testul de sector. Singura derogare îngustă pentru sectorul public din NIS 2 este pentru funcțiile de securitate națională și apărare. O operațiune municipală de ape uzate nu este așa ceva.
Un operator de ape uzate tipic cu care vorbim operează o stație de tratare la 80.000 până la 200.000 de echivalenți-locuitor, o rețea de canalizare, câteva stații de pompare și un mic laborator. Personalul se situează între 30 și 90. Forma juridică este fie un Zweckverband, fie un Eigenbetrieb, fie un GmbH deținut de oraș. KRITIS nu se aplică. NIS 2 se aplică, prin Anexa I sectorul 7 plus testul de mărime, plus §28 BSIG.
Registrul riscurilor conform §30 BSIG trebuie să acopere SCADA de la stația de tratare, telemetria de la stațiile de pompare, cartelele SIM din senzorii de nivel, IT-ul de laborator și IT-ul de birou. Raportarea incidentelor conform §32 curge către BSI. Înregistrarea conform §33 este o singură depunere pentru entitatea juridică. B3S Wasser/Abwasser este manualul de lucru chiar și acolo unde obligația de audit nu se aplică, pentru că este documentul pe care BSI îl cunoaște.
Verificarea aplicabilității parcurge definiția sectorului 7 exact așa cum o scrie Anexa I: ape uzate urbane, menajere, industriale, cu derogarea pentru activitatea secundară ca întrebare separată. Testul de mărime din articolul 2(1) este al doilea pas. Pragul KRITIS-Verordnung de 500.000 EW este al treilea și este prezentat ca 'deasupra NIS 2', nu ca o poartă.
Modulul de active acoperă SCADA, telemetria, stațiile de pompare și IT-ul de laborator sub un singur inventar. Controalele B3S Wasser/Abwasser se integrează în catalogul articolului 21(2) fără o listă paralelă. Dacă depășiți și pragul KRITIS, ciclul de audit la fiecare trei ani conform §65 BSIG se activează ca un flux de lucru separat deasupra acelorași dovezi.
- Directiva (UE) 2022/2555 (NIS 2), Anexa I sectorul 7 Ape uzate. eur-lex.europa.eu/eli/dir/2022/2555/oj
- Directiva (UE) 2022/2555 (NIS 2), articolul 2(1). eur-lex.europa.eu/eli/dir/2022/2555/oj
- Directiva 91/271/CEE a Consiliului privind tratarea apelor urbane reziduale, articolul 2 punctele (1), (2), (3)
- Recomandarea 2003/361/CE a Comisiei privind definiția microîntreprinderilor și a întreprinderilor mici și mijlocii
- BSIG, §28 (Anwendungsbereich), §32 (Meldepflichten), §33 (Registrierung), §65 (Nachweise) astfel cum au fost modificate prin Legea de punere în aplicare a NIS2 și de consolidare a securității cibernetice
- BSI-Kritisverordnung (KRITIS-Verordnung), Anhang 1 Teil 2 Wasser: echivalent-locuitor de 500.000 pentru tratarea apelor uzate
- Branchenspezifischer Sicherheitsstandard Wasser/Abwasser (B3S), DWA / BDEW