Water- en afvalwaterbedrijven in de staat New York moeten vanaf 2027 voldoen aan nieuwe cybersecurityregels. Deze regelgeving, die in juli werd voorgesteld en recent werd goedgekeurd, verplicht onder meer gecertificeerde operators tot cybersecuritytraining, stelt eisen aan incidentresponsplannen en rapportage, en vereist een aangewezen cyberverantwoordelijke bij grotere waterbedrijven.

Om waterorganisaties te ondersteunen bij het voldoen aan deze nieuwe minimale cyberstandaarden, heeft de staat een subsidieprogramma van 2,5 miljoen dollar opgezet en biedt technische ondersteuning zonder kosten aan. Reguliere waterbedrijven die meer dan 3.300 mensen bedienen, moeten response- en herstelplannen opstellen en testen om de continuïteit te waarborgen bij een cyberaanval. Voor organisaties die meer dan 50.000 mensen bedienen, gelden aanvullende eisen. De subsidie is bedoeld om een veelgehoorde klacht uit de watersector aan te pakken, namelijk het gebrek aan financiering. In tegenstelling tot andere vitale sectoren zoals elektriciteit, maken water- en afvalwaterbedrijven onvoldoende winst om dure cybersecuritymaatregelen te bekostigen en zijn zij terughoudend in het verhogen van tarieven voor lokale klanten.

Barbara Van Epps, directeur van de New York Conference of Mayors, benadrukte dat de meeste water- en afvalwatersystemen door lokale overheden worden beheerd en dat financiële steun cruciaal is om hun cyberverdediging te versterken. Hoewel lobbygroepen uit de watersector eerder federale cybersecurityregels tegenwerkten, hebben recente cybercampagnes van onder meer Iran en China geleid tot actie op staatsniveau. Michaela Lee, waarnemend chief cyber officer van New York, gaf aan dat de staat niet kon wachten op vastgelopen federale regelgeving terwijl cyberdreigingen toenemen. Ze verwees naar de Chinese Volt Typhoon-campagne als een belangrijke bedreiging voor de waterinfrastructuur in New York. Federale cyberonderzoekers constateren dat Chinese staatsacteurs kritieke infrastructuur in de VS binnendringen en voorbereidingen treffen voor destructieve acties.

De staat biedt tot 50.000 dollar voor cybersecuritybeoordelingen en tot 100.000 dollar voor upgrades. New York werkte samen met de Amerikaanse Environmental Protection Agency en de Cybersecurity and Infrastructure Security Agency om te zorgen dat de regels aansluiten bij federale richtlijnen en geen dubbele regelgeving veroorzaken. Volgens Lee maakt deze aanpak deel uit van een bredere, sectorgerichte implementatie van nieuwe cyberstandaarden om de kritieke infrastructuur van de staat te versterken. Eerder werden de financiële en zorgsectoren aangepakt, waarna de focus nu ligt op water en afvalwater. James McDonald, commissaris van het New York State Department of Health, benadrukte dat met de toenemende digitalisering van drinkwaterinfrastructuur het beschermen van deze systemen essentieel is. De nieuwe regels versterken de verdediging, verbeteren monitoring en zorgen dat openbare drinkwatersystemen snel en effectief kunnen reageren op incidenten.