Sicherheit der Wasserversorgung in Deutschland
der Abgeordneten Dr. Lukas Köhler, Frank Sitta, Grigorios Aggelidis, Renata Alt, Jens Beeck, Dr. Jens Brandenburg (Rhein-Neckar), Dr. Marco Buschmann, Hartmut Ebbing, Dr. Marcus Faber, Daniel Föst, Otto Fricke, Thomas Hacker, Reginald Hanke, Markus Herbrand, Katja Hessel, Dr. Christoph Hoffmann, Ulla Ihnen, Olaf in der Beek, Dr. Christian Jung, Dr. Marcel Klinge, Pascal Kober, Carina Konrad, Konstantin Kuhle, Ulrich Lechte, Alexander Müller, Bernd Reuther, Christian Sauter, Matthias Seestern-Pauly, Judith Skudelny, Dr. Hermann Otto Solms, Bettina Stark-Watzinger, Dr. Marie-Agnes Strack-Zimmermann, Michael Theurer, Stephan Thomae, Gerald Ullrich und der Fraktion der FDP
Vorbemerkung
(Nachfrage zur Antwort der Bundesregierung auf die Kleine Anfrage auf Bundestagsdrucksache 19/20965)
Mit der Kleinen Anfrage „Sicherheit der Wasserversorgung in Deutschland“ (Bundestagsdrucksache 19/19967) hatte die Fraktion der FDP die Bundesregierung zum Stand der Sicherheit Kritischer Infrastrukturen im Bereich der Wasserversorgung und, vor dem Hintergrund der fortschreitenden Digitalisierung in diesem Bereich, des Schutzes der Wasserversorgungsinfrastruktur vor digitalen Übergriffen befragt. Die Antworten der Bundesregierung auf Bundestagsdrucksache 19/20965 lassen aus Sicht der Fragesteller einige der Fragen unbeantwortet, enthalten unvollständige Informationen oder lassen nicht erkennen, aus welchen Gründen bestimmte Informationen nicht geliefert werden können. Hieraus ergibt sich eine Reihe an Nachfragen.
Wir fragen die Bundesregierung:
Fragen14
Wie schätzt die Bundesregierung (der Definition in der Antwort zu Frage 1 auf Bundestagsdrucksache 19/20965 folgend) die Gefahr „versuchter Einwirkungen“ für die Sicherheit der Wasserversorgungsinfrastruktur in Deutschland ein, und wie begründet sie diese Einschätzung?
Welche Definition legt die Bundesregierung der Einschätzung der über 10 Millionen Angriffe auf Kritische Infrastrukturen zugrunde, die im BSI-Lagebericht 2019 aufgeführt sind?
a) Beinhaltet diese Zahl sowohl „versuchte“ als auch „tatsächliche“ Einwirkungen auf informationstechnische Systeme?
b) Wenn ja, sieht die Bundesregierung Bedarf, eine einheitlich gültige Erfassung von Störungen, Übergriffen und versuchten Übergriffen voranzutreiben, diese zu definieren und zu kommunizieren?
Wie schätzt die Bundesregierung, vor dem in der Antwort zu Frage 3 auf Bundestagsdrucksache 19/20965 angeführten Hintergrund, mögliche Befugniserweiterungen der Sicherheitsbehörden ein, die im Zusammenhang mit der Novelle des IT-Sicherheitsgesetzes 2.0 diskutiert wurden, dass die bestehenden Regelungen zu einer signifikanten Verbesserung der Cybersicherheit in Kritischen Infrastrukturen in Deutschland geführt hätten und dass auch in der aktuellen Pandemie-Situation der Bundesregierung „keine substanzielle Zunahme von schwerwiegenden Angriffen auf kritische Infrastrukturen“ bekannt sind?
Auf welcher Datenlage basiert die Einschätzung der Bundesregierung zu dieser Aussage?
Welcher Anteil der Bevölkerung ist nach Einschätzung der Bundesregierung von Anlagen betroffen, die unter die KRITIS-Verordnung fallen und nach aktuellem Stand durch die Regelung dieser geschützt sind (bitte nach Sektoren und Branchen der Kritischen Infrastrukturen auflisten)?
Kann die Bundesregierung Aussagen treffen, ob ein überarbeitetes IT-Sicherheitsgesetz 2.0 noch in der aktuellen Legislaturperiode zu erwarten ist, wenn wie in der Antwort zu Frage 8 auf Bundestagsdrucksache 19/20965 zu Zeitplan und konkret geplanten Änderungen „derzeit keine Aussagen getroffen werden“ können?
Schließt die Bundesregierung aus, Prüfer, Berater, Zivilgesellschaft, Dienstleister und Betreiber, die nicht in der Zusammenarbeit UP KRITIS einbezogen sind, mit in die Neuauflage des Gesetzes einzubinden (vgl. Antwort zu Frage 10 auf Bundestagsdrucksache 19/20965), und wenn ja, wie begründet sie diese Entscheidung?
Welche Aussagen kann die Bundesregierung zu der in der Antwort zu den Fragen 11, 12, und 13 auf Bundestagsdrucksache 19/20965 angeführten „2019 durchgeführten Evaluierung“ treffen?
a) Unter welchen Gesichtspunkten und mit welchem Ziel ist diese Evaluierung in Auftrag gegeben worden, von wem wurde diese durchgeführt, und welches Ergebnis ist aus Sicht der Bundesregierung durch die Evaluierung abzuleiten?
b) Wurde die Evaluierung veröffentlicht, und wenn nein, warum nicht?
c) Wurde der Deutsche Bundestag von diesem Vorhaben in Kenntnis gesetzt, und wenn nein, warum nicht?
Welche weiteren Aussagen kann die Bundesregierung zu der in derselben Antwort (vgl. Frage 7) angeführten Aussage treffen, dass es an einigen Stellen „Anpassungsbedarf“ ergeben hätte?
Sieht die in der Antwort zu den Fragen 11, 12 und 13 auf Bundestagsdrucksache 19/20965 erwähnte „2019 durchgeführte Evaluieren der BSI-KritisV“ Bedarf, die in Anhang 2 Teil 3 aufgeführten Regelschwellenwerte von 500 000 bzw. Millionen m3 (als Summe des Durchschnittswerts pro Einwohner) anzupassen, und wenn nein, welche Annahmen liegen dem fortwährenden Bestand dieser Regelschwellenwerte zugrunde?
Beziehungsweise kann die Bundesregierung Aussagen treffen, ob sich die in der Antwort zu den Fragen 14, 14a und 14b auf Bundestagsdrucksache 19/20965 angeführte Änderungsverordnung auf Änderungen zu den Anlagen oder zu den Regelschwellenwerten bezieht?
Wie begründet die Bundesregierung die Aussagen in den Antworten zu den Fragen 11, 12, und 13 sowie den Fragen 14, 14a und 14b auf Bundestagsdrucksache 19/20965, die sowohl die Erstellung eines „Entwurfes zur Änderungsverordnung“ als auch die „noch nicht abgeschlossene Ressortabstimmung“ zum selben Vorhaben als Grund angibt, um keine Aussagen treffen zu können?
Teilt die Bundesregierung die Ansicht der Fragesteller, dass diese Aussagen als widersprüchlich eingestuft werden könnten?
Ableitend aus den Antworten zu den Fragen 15, 16 und 17 auf Bundestagsdrucksache 19/20965, sieht die Bundesregierung keinen Nachbesserungsbedarf, um ein Mindestmaß an IT-Sicherheit für Betreiber, welche die Schwellenwerte der BSI-KritisV nicht erreichen, die jedoch, wie aus der Antwort zu Frage 7 auf Bundestagsdrucksache 19/20965 hervorgeht potentielle „Auswirkungen auf die Versorgungssicherheit“ haben könnten, und hält sie daran fest, dass die Mindeststandards weiterhin freiwillig und daher gleichgeltend mit anderen Gewerben gelten sollten?
Teilt die Bundesregierung die Einschätzung der Fragesteller, dass aus der Antwort zu Frage 20 auf Bundestagsdrucksache 19/20965 abgeleitet werden kann, dass die Bundesregierung aktuell keine verlässlichen Informationen zum Zustand der Trinkwassernotbrunnen besitzt, und im Extremfall einzelne Informationen von den verschiedenen Ländern anfragen müsste?
Wenn ja, teilt die Bundesregierung die Ansicht der Fragesteller, dass ein zentraler bzw. länderübergreifender Informationsaustausch in diesem Zusammenhang einen wichtigen Grundstein für eine sichere Notfallversorgung darstellen könnte?
Welche Aussagen kann die Bundesregierung zum Mittelabfluss der bereitgestellten Haushaltsmittel von 1 800 000 Euro (vgl. Antworten zu den Fragen 20 und 23) für die Erhaltungsmaßnahmen von Trinkwassernotbrunnen treffen (bitte nach Jahr und Bundesland aufschlüsseln)?
Welche Erkenntnislage liegt der Entscheidung der Bundesregierung zugrunde, Informationen zu Trinkwassernotbrunnen (wie der Antwort zu Frage 21 auf Bundestagsdrucksache 19/20965 zu entnehmen ist) nicht öffentlich zu machen, wenn Informationen beispielsweise zu Talsperren öffentlich einsehbar sind, und im Fall eines Angriffs, ein Ausfall einer solchen ein ebenso großes (wenn nicht größeres) Risiko darstellen könnte?
Welche Risiken sieht die Bundesregierung für die Zivilbevölkerung aufgrund dieser Einschätzung, insbesondere wenn Brunnen (laut Antwort zu Frage 21 auf Bundestagsdrucksache 19/20965) „erst bei Bedarf in Betrieb gesetzt“ werden?