KRITIS:
Schutzpflichten für Betreiber kritischer Infrastrukturen

Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden. Diese Definition stammt vom Bundesamt für Sicherheit in der Informationstechnik (BSI). In Deutschland sind KRITIS-Betreiber rechtlich durch das BSI-Gesetz (BSIG) und die BSI-KRITIS-Verordnung (BSI-KritisV) definiert. Sie unterliegen besonderen Sicherheits- und Nachweispflichten, die über die allgemeinen gesetzlichen Anforderungen hinausgehen.

Die BSI-KRITIS-Verordnung definiert zehn Sektoren als kritische Infrastruktur: (1) Energie: Strom, Gas, Fernwärme, Mineralöl und Kraftstoffe. (2) Wasser: Trinkwasserversorgung und Abwasserentsorgung. (3) Ernährung: Lebensmittelproduktion und -versorgung. (4) IT und Telekommunikation: Dienste der Informationstechnik und Telekommunikation. (5) Transport und Verkehr: Luftfahrt, Schienenverkehr, Binnenschifffahrt, Seeschifffahrt und Straßenverkehr. (6) Gesundheit: Krankenhäuser, Labore, Apotheken und Pharmaunternehmen. (7) Finanz- und Versicherungswesen: Banken, Börsen, Versicherungen und Zahlungsverkehrsbetreiber. (8) Siedlungsabfallentsorgung: Abfallwirtschaft und -entsorgung. (9) Staat und Verwaltung: Bundesbehörden, Parlamente und Justiz. (10) Medien und Kultur: Rundfunk und bedeutende Kultureinrichtungen.

§8a BSIG (BSI-Gesetz) verpflichtet Betreiber kritischer Infrastrukturen dazu, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der betriebenen kritischen Infrastrukturen maßgeblich sind. Diese Maßnahmen müssen dem Stand der Technik entsprechen. KRITIS-Betreiber müssen alle zwei Jahre nachweisen, dass sie diese Anforderungen erfüllen - durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Der Nachweis wird gegenüber dem BSI erbracht. Zusätzlich besteht eine Meldepflicht für erhebliche IT-Störungen (innerhalb von 72 Stunden) sowie eine Registrierungspflicht beim BSI.

Der KRITIS-Schwellenwert bestimmt, ab welcher Versorgungskapazität ein Betreiber als kritische Infrastruktur gilt. Er ist sektorspezifisch in der BSI-KRITIS-Verordnung (BSI-KritisV) festgelegt. Die meisten Schwellenwerte liegen bei 500.000 "Versorgungseinheiten" - je nach Sektor kann das Einwohner, Kunden, Patienten, Transaktionen oder andere Größen sein. Beispiele: Energie: 3.700 GWh/Jahr installierte Erzeugungskapazität oder Trinkwasser: 500.000 versorgte Einwohner. Gesundheit: 30.000 vollstationäre Behandlungsfälle pro Jahr. Finanzsektor: 15 Mio. Transaktionen/Jahr. Für IT und TK: 100.000 Kunden. Unternehmen sollten ihren eigenen KRITIS-Status durch eine strukturierte Selbstprüfung anhand der BSI-KritisV ermitteln.

Das KRITIS-Dachgesetz (KRITIS-DachG) ist ein deutsches Gesetz, das die physischen Sicherheitsanforderungen für KRITIS-Betreiber regelt und die bisherigen IT-Sicherheitspflichten um physische Resilienzanforderungen ergänzt. Während §8a BSIG die IT-Sicherheit adressiert, schreibt das KRITIS-DachG Maßnahmen zur physischen Sicherheit vor: Perimeterschutz (Zäune, Zugangskontrolle, Videoüberwachung), Sicherheitskonzepte für kritische Anlagen, Koordination mit Behörden und Polizei sowie verbindliche Mindeststandards für physische Resilienz. Das KRITIS-DachG erweitert zudem den Kreis der regulierten Einrichtungen und führt neue Sektoren (Weltraum, Medien und Kultur) ein.

KRITIS und NIS2 sind eng miteinander verknüpft, aber nicht deckungsgleich. KRITIS ist der deutsche Begriff für regulierte Betreiber kritischer Infrastrukturen nach BSIG; NIS2 (Richtlinie EU 2022/2555) ist der europäische Rahmen, der seit Oktober 2024 in deutsches Recht umgesetzt wurde. KRITIS-Betreiber fallen automatisch unter NIS2 als "wesentliche Einrichtungen". NIS2 geht jedoch deutlich weiter als KRITIS: Statt ca. 2.000 KRITIS-Betreibern betrifft NIS2 bis zu 30.000 deutsche Unternehmen. NIS2 erweitert die regulierten Sektoren (u. a. Cloud-Anbieter, Rechenzentren, chemische Industrie) und verschärft die Anforderungen - insbesondere durch persönliche Geschäftsleitungs-Haftung. Mehr dazu auf unserer Seite zu <a href="/themen/nis2/" style="color: inherit; text-decoration: underline;">NIS2</a>.

Das BSI akzeptiert verschiedene Sicherheitsframeworks als Nachweis für §8a BSIG-Konformität: ISO/IEC 27001 (internationaler Standard für Informationssicherheits-Managementsysteme) ist der am häufigsten eingesetzte Nachweis und wird vom BSI ausdrücklich anerkannt. BSI IT-Grundschutz (Basis- oder Standard-Absicherung) ist der deutsche Ansatz mit detaillierten Maßnahmenkatalogen; eine ISO-27001-Zertifizierung auf Basis IT-Grundschutz ist möglich. Branchenspezifische Sicherheitsstandards (B3S) sind vom BSI freigegebene sektorspezifische Standards, die von Branchenverbänden entwickelt wurden - z. B. für Krankenhäuser (B3S Krankenhaus) oder Energieversorger. IEC 62443 ist der relevante Standard für OT/SCADA-Systeme in Sektoren wie Energie oder Wasser. Eine Kombination dieser Frameworks ist möglich und oft sinnvoll.

AWARE7 unterstützt KRITIS-Betreiber mit spezialisierten Leistungen für den gesamten §8a-Nachweis-Zyklus: Gap-Analyse gegen ISO 27001, BSI IT-Grundschutz oder sektorspezifische B3S-Standards; ISMS-Aufbau und -Betrieb; Penetrationstests und Schwachstellenscans zur Überprüfung der technischen Maßnahmen; Unterstützung bei der Umsetzung der Systeme zur Angriffserkennung (SzA/SIEM-Anforderungen); Vorbereitung auf BSI-Prüfungen und externe Audits; NIS2-Gap-Analyse für Unternehmen, die durch die Richtlinie neu reguliert werden. Chris Wojzechowski verfügt über die §8a BSIG Prüfverfahrenskompetenz, die für bestimmte Prüftätigkeiten im KRITIS-Umfeld erforderlich ist.