Nach Angaben des Bundesstaats sollen die Zuschüsse lokalen Regierungen helfen, den Sicherheitsstatus ihrer Wasser- und Abwassersysteme zu bewerten und konkrete Verbesserungen umzusetzen. Als das SECURE-Programm gestartet wurde, hieß es, Versorger könnten bis zu 50.000 Dollar für Cybersicherheitsbewertungen und bis zu 100.000 Dollar für die Umsetzung von Sicherheitsverbesserungen erhalten.
Die Förderung soll Versorgern außerdem helfen, die in New York seit März geltenden Mindeststandards einzuhalten. Dazu zählen verpflichtende Cybersicherheitsschulungen für zertifizierte Betreiber, Anforderungen zur Meldung von Vorfällen, risikobasierte Schutzvorkehrungen für kritische Betriebsabläufe und sensible Informationen sowie die Benennung einer Cybersicherheitsverantwortlichen oder eines Cybersicherheitsverantwortlichen bei größeren Trinkwassersystemen.
Hochul verwies bei der Ankündigung auf aktuelle Angriffe gegen Wassersysteme in mehreren Bundesstaaten und erklärte, die Bedrohungen seien real und nähmen zu. Tatsächlich wurde erst kurz zuvor eine koordinierte Cyberkampagne bekannt, die Operational-Technology-Systeme in Wasser- und Abwasseranlagen in den USA ins Visier nahm. Mehr als 30 kommunale Wassersysteme in Minnesota wurden am 26. und 27. Juli attackiert.
Einige Kommunen meldeten Störungen bei automatisierten Steuerungsfunktionen. Nach den vorliegenden Angaben konnten die meisten Anlagen dank Ausweich- und Notfallverfahren jedoch in Betrieb bleiben. Die Stadt Braham nahm ihr Wasserwerk kurzzeitig vom Netz, nachdem Angreifer Betriebssteuerungen abgeschaltet hatten und dadurch Brunnen und Wasseraufbereitungsanlage zum Stillstand kamen. Andere betroffene Kommunen erklärten, ihr Trinkwasser sei sicher geblieben und die Versorgung habe weiter funktioniert.
Später stellte sich heraus, dass die Kampagne Wasserinfrastruktur in mindestens sieben Bundesstaaten betraf. Michigan bestätigte bösartige Aktivitäten, an denen eine kleine Zahl von Gemeinden beteiligt war. Rapid City in South Dakota meldete einen Vorfall an einer Abwasser-Hebeanlage. Auch Georgia gehörte Berichten zufolge zu den betroffenen Bundesstaaten. Kein Versorger in New York wurde bislang öffentlich mit dieser Kampagne in Verbindung gebracht.
Bundesermittler haben die Angriffe bislang nicht formell zugeschrieben. Iran gilt jedoch als ein führender Verdächtiger, weil die Aktivität Berichten zufolge früheren Kampagnen ähnelt, die mit iranischen Bedrohungsakteuren in Verbindung gebracht werden und industrielle Steuerungssysteme sowie Wasserversorger ins Visier nehmen.
Nach den Angriffen forderte die US-Behörde CISA Betreiber von Wasser- und Abwassersystemen auf, öffentlich erreichbare speicherprogrammierbare Steuerungen und andere Operational-Technology-Systeme aus dem Internet zu entfernen. Außerdem empfahl die Behörde, Standardpasswörter zu ändern, erforderlichen Fernzugriff über sichere Gateways oder virtuelle private Netzwerke zu leiten und Verbindungen auf vertrauenswürdige IP-Adressen zu beschränken.
Die jetzt angekündigten 9 Millionen Dollar für Cybersicherheit sind von einem separaten Fünfjahresprogramm über 3,8 Milliarden Dollar für die Wasserinfrastruktur zu unterscheiden, das im Haushalt des Bundesstaats für das Fiskaljahr 2027 enthalten ist. Nach Angaben des Bundesstaats steigt die Gesamtsumme seiner Wasserinfrastruktur-Zuschüsse seit 2017 damit auf mehr als 10 Milliarden Dollar.