Kritische Infrastrukturen

Energy industry picture

Die KRITIS-Regulierung verpflichtet Betreiber Kritischer Infrastrukturen in Deutschland mit dem BSI-Gesetz zu Cybersecurity in KRITIS-Anlagen. Damit soll die Versorgung der deutschen Gesellschaft und Wirtschaft mit kritischen Dienst­leistungen in KRITIS-Sektoren durch Betreiber-Pflichten geschützt werden.

In Deutschland ändert sich die Regulierung ab 2024 mit dem KRITIS-Dachgesetz und NIS2-Umsetzungsgesetz deutlich. Beide setzen EU-Regulierung um: NIS2 und RCE. Der Umfang betroffener Unternehmen erweitert sich in Deutschland deutlich, von 2.000 auf über 30.000. Für Finanzunternehmen wird anstelle von NIS2 DORA als sektorspezifische Umsetzung gelten.

Skyline picture

NIS2 und KRITIS-Dachgesetz: Was kommt auf Unternehmen zu?

Ausblick auf die neue KRITIS, NIS2 und CER-Regulierung ab 2024
Deutsch ∙ PDF ∙ Juli 2024 ∙ OpenKRITIS-Briefing

Wer ist betroffen?

KRITIS bis 2024

Sektoren

Die bis 2024 gültige KRITIS-Regulierung definiert acht KRITIS-Sektoren in der Wirtschaft, in denen KRITIS-Betreiber kritische Dienstleistungen zur Versorgung der Allgemeinheit erbringen:

  1. Energie
  2. Wasser
  3. Ernährung
  4. Gesundheit
  5. Transport und Verkehr
  6. Entsorgung
  7. IT und TK
  8. Finanzen und Versicherungen

Anlagen und Betreiber

Die kritischen Dienstleistungen werden bei Betreibern in KRITIS-Anlagen erbracht, definiert in der KRITIS-Verordnung. Die Anlagen dienen Betreibern zur eigenen Identifikation der eigenen KRITIS-Betroffenheit und der Festlegung des Geltungsbereichs im Unternehmen.

Überschreitet ein Betreiber mit seinen KRITIS-Anlagen definierte Schwellenwerte der KRITIS-Verordnung, werden diese zur Kritischen Infrastruktur und er selbst zum KRITIS-Betreiber.

up

NIS2 und KRITIS ab 2024

Sektoren

Mit der EU NIS2-Umsetzung und dem KRITIS-Dachgesetz ändern sich Sektoren und Betreiber ab 2024, es kommen Tausende mittlere und Großunternehmen als Einrichtungen dazu.

  1. Energie
  2. Wasser und Abwasser
  3. Gesundheit
  4. Transport und Verkehr
  5. Staat
  6. Digitale Infrastruktur
  7. Finanzwesen
  8. Weltraum
  9. Ernährung
  10. Entsorgung
  11. Post/Kurier
  12. Chemie
  13. Verarbeitendes Gewerbe
  14. Digitale Dienste
  15. Forschung

  - kritische Anlage     - besonders wichtig     - wichtig

Unternehmen

Die NIS2-Umsetzung definiert drei (vier) Gruppen an betroffenen Unternehmen, die Pflichten wie Registrierung, Sicherheitsmaßnahmen, Vorfallsmeldungen und Resilienz umsetzen müssen.

  1. Besonders wichtige Einrichtungen nach Größe des Unternehmens in NIS2-Sektoren (1)
  2. Wichtige Einrichtungen nach Größe des Unternehmens in NIS2-Sektoren (1 und 2)
  3. Betreiber kritischer Anlagen (KRITIS-Betreiber) stellen weiterhin mit KRITIS-Methodik die Betroffenheit einzelner Anlagen nach KRITIS-Verordnung und KRITIS-Dachgesetz fest
  4. Neben Einrichtungen werden auch Bundeseinrichtungen mit einigen Pflichten reguliert.

Sektorregulierung

Verschiedene Sektoren fallen ab 2025 unter weitere, sektor-spezifische Regulierung:

up

Regulierung

Deutschland

Gesetze und Verordnungen

Die KRITIS-Regulierung in Deutschland beruht seit 2015 auf BSI-Gesetz (BSIG) und der KRITIS-Verordnung (KritisV), die den grundlegenden Rahmen für KRITIS stellen. Im Mai 2021 trat das IT-Sicherheitsgesetz 2.0 nach langem Vorlauf und den Erfahrungen seit 2015 in Kraft. Die KRITIS-Verordnung wurde mehrmals überarbeitet.

Die EU hat seit 2020 Vorgaben für Kritische Infrastrukturen tiefer und verbindlicher gemacht – mit EU NIS 2 und EU RCE, die in Deutschland mit der NIS2-Umsetzung und dem KRITIS-Dachgesetz am Oktober 2024 umgesetzt werden (so der Plan).

eigene Zusammenstellung nach Referentenentwürfen, Mai 2024
NIS2-Umsetzung KRITIS-Dachgesetz
Fokus Cybersecurity Resilienz
Name NIS2UmsuCG KRITIS-DachG
Hauptgesetz ändert BSIG eigenes Gesetz
- ändert noch EnWG, TKG, usw. keine
Unternehmen Betreiber kritischer Anlagen
Einrichtungen
Bundesverwaltung
Betreiber kritischer Anlagen

Bundesverwaltung
Referentenentwürfe viele zwei
Tritt in Kraft (Plan) Oktober 2024 Oktober 2024
Behörde BSI BBK
Basiert auf EU NIS2 EU RCE

Behörden

Die wichtigsten Behörden für KRITIS sind in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI) als Aufsichtsbehörde und das Bundesinnenministerium (BMI) als federführendes Ressort. Das Bundesamt für Bevölkerungs­schutz und Katastrophen­hilfe (BBK) erhält ab 2024 ebenfalls Zuständigkeiten für Betreiber.

Der Staat verfügt über verschiedene Sanktionsmöglichkeiten gegenüber Einrichtungen und KRITIS-Betreibern, die mit NIS2 ab 2024 weiter anwachsen.

up

Der europäische Rahmen

Die deutsche KRITIS-Regulierung ist durch die EU NIS-Direktive in einen europäischen Kontext gebettet. Die Directive on Security of Network and Information Systems von 2016 war das erste EU-weite Gesetz über Cyber Security. Die überarbeitete EU NIS2 Direktive erweitert die Sektoren in der EU deutlich, ebenso Cyber Security Pflichten und EU-Aufsicht.

Neben NIS spielt die EU RCE Direktive eine wichtige Rolle für Kritische Infrastrukturen in der EU. Die Directive on the resilience of critical entities reguliert speziell Anforderungen an die Betreiber Kritischer Infrastrukturen in der EU.

EU NIS2 und RCE wurden Ende 2022 vom europäischen Parlament und Rat angenommen und müssen bis Oktober 2024 in nationales Recht überführt werden. RCE wird 2023 mit dem KRITIS-Dachgesetz aufgegriffen, für EU NIS2 liegt ein Entwurf für das Umsetzungsgesetz vor.

DORA gilt im Gegenzug zu NIS2 und RCE als EU-Verordnung direkt in allen Mitgliedsstaaten und reguliert primär Finanzunternehmen mit umfangreicher digitaler operationaler Resilienz.

up

Weitere Informationen

Bibliothek

Eine Vielzahl an Dokumenten wurde seit Mitte der 2000er von der öffentlichen Verwaltung zum Thema Kritische Infrastrukturen publiziert — die KRITIS-Bibliothek listet einige der relevanten Studien, Strategien, Leitfäden und Gesetzestexte auf.