Der Water Cyber Shield Act wurde am Montag von den Senatoren Adam Schiff aus Kalifornien und Amy Klobuchar aus Minnesota angekündigt. Kern des Vorhabens ist die jährliche Bereitstellung von 300 Millionen US-Dollar aus den State Revolving Funds für Trinkwasser und sauberes Wasser, die gezielt in Cybersicherheitsverbesserungen fließen sollen.
Der Gesetzentwurf würde sowohl den Safe Drinking Water Act als auch den Clean Water Act ändern. Dadurch bekäme die Environmental Protection Agency die ausdrückliche Befugnis, Cybersicherheitsbewertungen bei Wasser- und Abwassersystemen vorzunehmen. Werden dabei Schwachstellen festgestellt, müssten die betroffenen Betreiber Gegenmaßnahmen umsetzen.
Außerdem müssten Wasser- und Abwassersysteme ihre Cyberrisiken künftig als Teil ihrer Resilienzplanung bewerten. Hinzu kämen Meldepflichten für Vorfälle nach den Vorgaben des noch kommenden Cyber Incident Reporting for Critical Infrastructure Act, kurz CIRCIA.
Die Vorlage unterscheidet die Anforderungen je nach Größe eines Wassersystems. Bundesstaaten könnten demnach selbst entscheiden, ob sie die Cybersicherheitsregulierung eigenständig umsetzen oder die EPA dabei eingreifen und unterstützen soll. Kleinere Wassersysteme sollen flexibler behandelt werden, zugleich aber bei finanzieller Hilfe des Bundes bevorzugt berücksichtigt werden.
Vorgesehen ist auch eine engere Zusammenarbeit zwischen EPA und der Cybersecurity and Infrastructure Security Agency, kurz CISA. Beide Behörden sollen Bedrohungsinformationen und Cybersicherheitsstandards abstimmen. Zusätzlich soll ein technischer Beirat geschaffen werden, der diese Standards ausarbeitet.
Eingereichte Cybersicherheitsinformationen von Versorgungsunternehmen wären von der öffentlichen Offenlegung ausgenommen. Darüber hinaus müsste die EPA Kennzahlen entwickeln, um den Fortschritt der Wasserbranche bei der Cybersicherheit zu bewerten, und dazu Berichte veröffentlichen.
Klobuchar verwies auf jüngste Angriffe in Minnesota und erklärte, diese hätten den dringenden Bedarf verdeutlicht, die Sicherheit von Wassersystemen und kritischer Infrastruktur zu verbessern. Die Gesetzesinitiative werde die EPA anweisen, die Cybersicherheit von Wasserinfrastruktur zu bewerten, Schwachstellen zu identifizieren und kommunale Wassersysteme bei der Abwehr von Cyberbedrohungen zu unterstützen.
Die EPA ist zwar für die Verwaltung des Wassersektors zuständig, verfügt bislang aber nicht über die Befugnis, Cybersicherheitsvorgaben zu erlassen. Die Regierung von Präsident Joe Biden hatte versucht, Cybersicherheitsprüfungen in die jährlichen Bewertungen von Wassersystemen aufzunehmen. Dagegen klagten jedoch Branchenverbände der Wasserwirtschaft und mehrere Bundesstaaten. Sie argumentierten, zusätzliche Sicherheitsmaßnahmen würden sie zwingen, die Kosten für Kunden zu erhöhen.
Die Biden-Regierung gab diesen Vorstoß schließlich auf. Seither haben laut dem Bericht sowohl staatlich unterstützte Gruppen als auch Ransomware-Banden Wassersysteme in den USA wiederholt angegriffen. Mehrere Betreiber mussten daraufhin bestimmte Werkzeuge abschalten oder Anlagen manuell betreiben.
Ein Sprecher von Schiff sagte Recorded Future News, das Büro des Senators habe sich mit Branchenverbänden der Wasserwirtschaft, Regulierungsbehörden der Bundesstaaten, Cybersicherheitsexperten und Bundesbehörden abgestimmt, um mögliche Einwände frühzeitig aufzugreifen. Dabei sei auch Rückmeldung von der EPA und anderen Bundesbehörden eingeflossen.
Schiff erklärte, jeder Amerikaner sei auf sicheres und verlässliches Trinkwasser angewiesen, doch jüngste Vorfälle hätten gezeigt, wie verwundbar Wassersysteme gegenüber Cyberangriffen durch ausländische Gegner und kriminelle Akteure weiterhin seien. Diese Bedrohungen seien nicht theoretisch, sondern fänden derzeit statt. Das Gesetz gebe der EPA die nötigen Werkzeuge zum Schutz dieser kritischen Infrastruktur und stelle zugleich Ressourcen bereit, damit lokale Wasser- und Abwassersysteme ihre Cybersicherheit ausbauen könnten, ohne die Kosten an Gebührenzahler weiterzugeben.