KRITIS: Definition und Bedeutung Kritischer Infrastrukturen

KRITIS: Was ist kritische Infrastruktur?

KRITIS steht für Kritische Infrastrukturen und umfasst Anlagen und Systeme, die für das Funktionieren und die Sicherheit eines Staates, der Gesellschaft und der Wirtschaft von entscheidender Bedeutung sind. Ein Ausfall oder eine Beeinträchtigung dieser Infrastrukturen kann schwerwiegende Folgen haben. Der Schutz dieser kritischen Infrastrukturen ist daher von besonderem öffentlichen Interesse.

Welche Sektoren zählen zu den KRITIS?

KRITIS umfasst mehrere Sektoren, darunter:

• Energie (Strom-, Gas- und Ölversorgung)
• Wasser (Trinkwasser- und Abwasserentsorgung)
• Ernährung (Lebensmittelproduktion und -versorgung)
• Informationstechnik und Telekommunikation (Netzwerke, Server, Telekommunikationsinfrastruktur)
• Gesundheit (Krankenhäuser, Apotheken, medizinische Versorgungseinrichtungen)
• Finanz- und Versicherungswesen (Banken, Börsen, Versicherungen)
• Transport und Verkehr (Straßen, Schienen, Flughäfen, Häfen)
• Staat und Verwaltung (Regierungs- und Verwaltungsfunktionen)
• Medien und Kultur (Rundfunk, Presse, kulturelle Einrichtungen)

Diese KRITIS-Sektoren stellen sicher, dass die Informationstechnik, Infrastruktur und die Versorgung der Bevölkerung gewährleistet sind.

Welche Änderungen treten im Oktober 2024 in Kraft?

Ab Oktober 2024 treten neue Regelungen und Verordnungen in Kraft, die KRITIS betreffen. Diese Änderungen beinhalten erweiterte Sicherheitsanforderungen und Meldepflichten, um die Informationssicherheit weiter zu erhöhen.

Welche Branchen fallen unter die KRITIS-Verordnung?

Die KRITIS-Verordnung betrifft alle oben genannten Sektoren und verlangt von ihnen, strenge Sicherheitsmaßnahmen zu implementieren und regelmäßige Überprüfungen durchzuführen. Infrastrukturunternehmen müssen sicherstellen, dass ihre KRITIS-Zertifizierung den neuesten Standards entspricht.

Wer wird als KRITIS-Betreiber eingestuft?

Wie wird man zum KRITIS-Betreiber?

Ein Unternehmen gilt als KRITIS-Betreiber, wenn es wesentliche Dienstleistungen in einem der KRITIS-Sektoren bereitstellt und bestimmte Schwellenwerte in Bezug auf Größe und Bedeutung überschreitet.

Existieren dazu Listen?

Ja, es gibt offizielle Listen und Register, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und anderen Behörden geführt werden und Unternehmen als KRITIS-Betreiber ausweisen. Diese KRITIS-Unternehmen Listen sind öffentlich zugänglich und helfen bei der Identifikation der betroffenen Unternehmen.

KRITIS-Sektoren

Die Lieferanten müssen gewährleisten, dass in allen relevanten Unternehmensbereichen, die Produkte oder Dienstleistungen für Betreiber kritischer Infrastrukturen bereitstellen, die erforderlichen Sicherheitsmaßnahmen umgesetzt werden. KRITIS-Sektoren umfassen verschiedene Bereiche der Infrastruktur, die für das Funktionieren und die Sicherheit eines Staates sowie für das Wohl der Bevölkerung von entscheidender Bedeutung sind. Diese Sektoren spielen eine zentrale Rolle in der nationalen Sicherheit, Wirtschaft und dem öffentlichen Leben des staatlichen Gemeinwesens.

Energie

Der Energiesektor umfasst die Strom-, Gas- und Ölversorgung. Ein Ausfall in diesem Bereich könnte zu erheblichen Störungen in anderen Sektoren führen, da Energie die Grundlage für nahezu alle kritischen Dienste bildet.

Wasser

Der Wassersektor umfasst die Trinkwasser- und Abwasserentsorgung. Sauberes Wasser ist essentiell für die Gesundheit und Hygiene der Bevölkerung. Ein Versorgungsengpass in diesem Bereich kann schnell zu einer Krise führen.

Ernährung

Der Ernährungssektor beinhaltet die Produktion und Verteilung von Lebensmitteln. Eine Unterbrechung in der Lebensmittelversorgung könnte gravierende Folgen für die öffentliche Gesundheit und das allgemeine Wohlbefinden haben.

Informationstechnik und Telekommunikation

Dieser Sektor umfasst Netzwerke, Server und Kommunikationsinfrastruktur. Die Sicherstellung der Funktionalität dieser Systeme ist entscheidend für die Koordination und den Informationsfluss in allen anderen KRITIS-Sektoren.

Gesundheit

Der Gesundheitssektor umfasst Krankenhäuser, Apotheken und medizinische Versorgungseinrichtungen. Die Aufrechterhaltung der medizinischen Versorgung ist besonders in Krisenzeiten von großer Bedeutung.

Finanz- und Versicherungswesen

Dieser Sektor umfasst Banken, Börsen und Versicherungen. Ein Ausfall könnte zu erheblichen wirtschaftlichen Schäden und zur Beeinträchtigung der wirtschaftlichen Stabilität führen.

Transport und Verkehr

Der Transport- und Verkehrssektor betrifft Straßen, Schienen, Flughäfen und Häfen. Ein reibungsloser Transport von Personen und Gütern ist essentiell für die Wirtschaft und die Versorgung der Bevölkerung.

Staat und Verwaltung

In diesen Sektor fallen Regierungs- und Verwaltungsfunktionen. Die Aufrechterhaltung staatlicher Dienste und Verwaltungsprozesse ist unerlässlich für die öffentliche Ordnung und Sicherheit.

Medien und Kultur

Der Medien- und Kultursektor umfasst Rundfunk, Presse und kulturelle Einrichtungen. Eine funktionierende Medienlandschaft ist wichtig für die Informationsverbreitung und den gesellschaftlichen Zusammenhalt.

Jeder dieser Sektoren hat spezifische Anforderungen und Herausforderungen, die berücksichtigt werden müssen, um ihre Sicherheit und Resilienz zu gewährleisten.

KRITIS-Schlüsselelemente

KRITIS-Kernkomponenten sind essenzielle Elemente innerhalb der kritischen Infrastrukturen, die für deren Betrieb unerlässlich sind. Diese Komponenten müssen den höchsten Standards der Informationssicherheit entsprechen.

Erklärung zur Vertrauenswürdigkeit von Komponentenherstellern

Hersteller von KRITIS-Komponenten müssen eine Vertrauenswürdigkeitserklärung abgeben, die die Sicherheitsstandards und Zuverlässigkeit ihrer Produkte bestätigt. Dies wird durch das BSI-Gesetz geregelt und ist ein wesentlicher Bestandteil der KRITIS-Zertifizierung.

Welche Anforderungen gelten für Zulieferer von KRITIS-Betreibern?

Betroffene Unternehmensbereiche

Lieferanten von KRITIS-Betreibern müssen sicherstellen, dass alle Unternehmensbereiche, die in die Lieferkette involviert sind, den strengen Sicherheitsanforderungen entsprechen. Dies gilt insbesondere für die Bereiche Informationstechnik und Technik, da diese besonders anfällig für Sicherheitsrisiken sind. Die Lieferanten müssen gewährleisten, dass in allen relevanten Unternehmensfunktionen, die Produkte oder Dienstleistungen für Betreiber kritischer Infrastrukturen bereitstellen, die erforderlichen Sicherheitsmaßnahmen umgesetzt werden. Dazu gehören beispielsweise die Entwicklung, Produktion, Logistik und der Vertrieb. Nur so können die KRITIS-Betreiber darauf vertrauen, dass ihre gesamte Lieferkette den hohen Sicherheitsstandards genügt.

Nachweispflichten

Neben der Implementierung der Sicherheitsmaßnahmen in allen betroffenen Unternehmensbereichen, müssen die Lieferanten von KRITIS-Betreibern regelmäßig Nachweise über die Einhaltung der Sicherheitsstandards erbringen. Diese Nachweise sind essenziell für die KRITIS-Unternehmen, damit sie ihre KRITIS-Zertifizierung aufrechterhalten können. Die Lieferanten sind verpflichtet, die zuständigen Behörden und KRITIS-Betreiber über den Status der Sicherheitsmaßnahmen zu informieren und jederzeit Einblick in die relevanten Dokumentationen zu gewähren. Nur so kann die Resilienz der kritischen Infrastrukturen langfristig gewährleistet werden.

Welche speziellen Pflichten gelten für die IT-Sicherheit in kritischen Infrastrukturen?

Melde- und Anzeigepflichten

KRITIS-Betreiber sind verpflichtet, sicherheitsrelevante Vorfälle unverzüglich an die zuständigen Behörden zu melden. Diese Meldepflichten sind im IT-Sicherheitsgesetz 2.0 und der BSI-Kritisverordnung (BSIG) festgelegt.

Technische Pflichten

Es müssen technische Sicherheitsmaßnahmen implementiert werden, um die IT-Infrastruktur vor Cyber-Angriffen zu schützen. Diese Maßnahmen sind oft spezifisch für den jeweiligen Sektor und richten sich nach dem aktuellen Stand der Technik. Das KRITIS-Dachgesetz zielt ab 2024 darauf ab, die Resilienz und Sicherheit kritischer Infrastrukturen durch umfassende Regulierung zu stärken, um deren Funktionsfähigkeit auch in Krisenzeiten zu gewährleisten.

Besondere Verpflichtungen für große Unternehmen und die Rüstungsindustrie

Große Unternehmen und die Rüstungsindustrie unterliegen zusätzlichen Sicherheitsanforderungen und Prüfungen. Diese Pflichten sind im BSI-Gesetz und anderen relevanten Gesetzen verankert.

Branchenspezifische Sicherheitsstandards

Jeder KRITIS-Sektor hat spezifische Sicherheitsstandards, die eingehalten werden müssen. Diese Standards werden regelmäßig überprüft und angepasst, um den neuesten Bedrohungen und technologischen Entwicklungen gerecht zu werden.

Bußgeldrisiko

Bei Nichteinhaltung der Sicherheitsanforderungen drohen hohe Bußgelder, die im Bundesgesetzblatt (Deutschland) festgelegt sind. Diese Bußgelder sollen sicherstellen, dass alle KRITIS-Unternehmen die notwendigen Maßnahmen zur Informationssicherheit ergreifen.

Welche besonderen Anforderungen gelten für die physische Sicherheit?

KRITIS-konformes Besucher- und Zutrittsmanagement

KRITIS-Betreiber müssen ein Besucher- und Zutrittsmanagement implementieren, das den Sicherheitsanforderungen entspricht. Diese Maßnahmen sind wichtig, um die physische Sicherheit der kritischen Netzwerke zu gewährleisten.

Besucherverwaltungsprozesse

Es müssen klare Prozesse für die Verwaltung und Kontrolle von Besuchern etabliert sein, um unbefugten Zugang zu kritischen Infrastrukturen zu verhindern.

Wer überwacht die Sicherheit von KRITIS?

Die Sicherheit von KRITIS wird von verschiedenen Behörden und Organisationen überwacht, darunter das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Diese Institutionen arbeiten zusammen, um die Resilienz der kritischen Infrastrukturen zu erhöhen und Versorgungsengpässe zu vermeiden.

KRITIS und das IT-Sicherheitsgesetz 2.0 

Erweiterung der kritischen Infrastruktur

Mit dem IT-Sicherheitsgesetz 2.0 wird der Begriff der kritischen Infrastruktur erweitert, um neue Bereiche und Risiken abzudecken. Diese Erweiterung ist notwendig, um den sich wandelnden Bedrohungen gerecht zu werden und die Sicherheit von KRITIS zu erhöhen.

Cyber-Kritikalität

Der Bedeutung der Cyber-Sicherheit wird mit dem IT-Sicherheitsgesetz 2.0 verstärkt Rechnung getragen. Spezifische Maßnahmen zur Abwehr von Cyber-Bedrohungen werden eingeführt, um die Sicherheit der IT-Systeme zu gewährleisten. Diese Maßnahmen sind entscheidend, um die Integrität und Verfügbarkeit kritischer Infrastrukturen zu schützen.

Zutritts-Kritikalität

Neue Regelungen zur physischen Zutrittskontrolle sollen den unbefugten Zugang zu kritischen Infrastrukturen verhindern und somit die physische Sicherheit erhöhen. Durch strengere Zutrittskontrollen wird sichergestellt, dass nur autorisiertes Personal Zugang zu sensiblen Bereichen erhält.

BSI-Kritisverordnung (BSI-KritisV)

Die BSI-Kritisverordnung regelt die spezifischen Anforderungen an KRITIS-Betreiber und definiert die notwendigen Sicherheitsmaßnahmen. Diese Verordnung ist ein wesentlicher Bestandteil des BSI-Gesetzes.

Ausweitung der BSI-Befugnisse

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält erweiterte Befugnisse zur Überwachung und Durchsetzung der Sicherheitsanforderungen. Diese Erweiterung ist im BSI-Gesetz verankert und soll die Resilienz der KRITIS erhöhen.

KRITIS-Kontaktstelle

KRITIS-Betreiber müssen eine Kontaktstelle einrichten, die für die Kommunikation mit den Behörden verantwortlich ist. Diese KRITIS-Kontaktstelle ist wichtig für den reibungslosen Informationsaustausch.

Krisenreaktionspläne

KRITIS-Betreiber müssen Krisenreaktionspläne erstellen und diese regelmäßig prüfen, um auf Notfälle vorbereitet zu sein. Die Pläne sind entscheidend für den Bevölkerungsschutz und die Katastrophenhilfe.

Mögliche Geldbußen

Bei Verstößen gegen die Sicherheitsanforderungen können hohe Geldbußen verhängt werden. Diese Bußgelder sind im Bundesgesetzblatt (Deutschland) festgelegt und sollen die Einhaltung der Vorschriften sicherstellen.

Im Überblick: Worum geht es beim IT-Sicherheitsgesetz 2.0?

Das IT-Sicherheitsgesetz 2.0 zielt darauf ab, die Sicherheitsanforderungen für KRITIS-Betreiber zu erhöhen und die Resilienz gegen Bedrohungen zu stärken. Dieses Gesetz ist ein wichtiger Schritt zur Verbesserung der Informationssicherheit.

Neue Gesetzgebung soll Klarheit darüber schaffen, was tatsächlich zu KRITIS zählt

Die neue Gesetzgebung definiert klar, welche Infrastrukturen als kritisch gelten und welche Sicherheitsmaßnahmen erforderlich sind. Dies soll KRITIS-Unternehmen und KRITIS-Betreibern helfen, ihre Pflichten besser zu verstehen und umzusetzen.

Wesentliche Änderungen des IT-Sicherheitsgesetzes für KRITIS-Betreiber

Die wesentlichen Änderungen umfassen erweiterte Meldepflichten, erhöhte Sicherheitsanforderungen und strengere Kontrollen. Diese Änderungen sind notwendig, um den aktuellen Bedrohungen gerecht zu werden.

Wer die Standards nicht erfüllt, muss mit hohen Strafen rechnen

KRITIS-Betreiber, die die neuen Standards nicht einhalten, müssen mit erheblichen Strafen rechnen. Diese Strafen sind im BSI-Gesetz und anderen relevanten Gesetzen festgelegt.

Gemeinsam stark gegen gegenwärtige und zukünftige Bedrohungen

Die verstärkten Sicherheitsmaßnahmen sollen helfen, aktuelle und zukünftige Bedrohungen effektiv zu bekämpfen. Durch eine enge Zusammenarbeit zwischen KRITIS-Betreibern, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und anderen Behörden kann die Informationssicherheit weiter verbessert werden.

Was ist UP KRITIS?

UP KRITIS ist eine Initiative zur Zusammenarbeit und zum Informationsaustausch zwischen Betreibern kritischer Infrastrukturen und staatlichen Stellen. Diese Zusammenarbeit ist entscheidend für den Bevölkerungsschutz und die Katastrophenhilfe.

Wie kann die kritische Infrastruktur effektiv geschützt werden?

Haben Sie Fragen zum KRITIS-konformen Zutrittsmanagement? Wir unterstützen Sie gerne mit unserem Fachwissen

Unser Expertenteam steht Ihnen zur Verfügung, um Sie bei der Implementierung und Verwaltung eines KRITIS-konformen Zutrittsmanagements zu unterstützen. Diese Unterstützung ist wichtig, um die Informationssicherheit und auf dem neusten Stand der Technik zu gewährleisten.

IT-Sicherheit und Cyber Security

Die IT-Sicherheit und Cyber Security spielen eine zentrale Rolle im Schutz kritischer Infrastrukturen und umfassen Maßnahmen zur Abwehr von Cyber-Angriffen und zur Sicherstellung der Integrität von Daten. Diese Maßnahmen sind entscheidend für die Sicherheit der IT-Systeme.

Ausblick auf KRITIS

Der Schutz kritischer Infrastrukturen wird auch in Zukunft eine zentrale Herausforderung bleiben, und es ist mit weiteren gesetzlichen und technischen Entwicklungen zu rechnen. Diese Entwicklungen werden notwendig sein, um den sich ständig wandelnden Bedrohungen gerecht zu werden.