{"type":"template", "config":{"type":"preset", "templateType":"detail", "templateName":"detail"}}

{"config":{"type":"attribute", "attribute":"name"}} Was ist KRITIS?

Als KRITIS (kritische Infrastrukturen) werden die Infrastrukturen von Unternehmen und Organisationen bezeichnet, die durch Ausfall oder Störung weitreichende Folgen für Gesellschaft und öffentliche Sicherheit haben.

Welche Bereiche bzw. Sektoren zählen als KRITIS?

In den KRITIS wurden folgende Sektoren definiert, die als kritische Infrastrukturen zählen:

Energie
Wasser
Ernährung
Gesundheit
Transport und Verkehr
Informationstechnik und Telekommunikation
Finanz- und Versicherungswesen
Abfallentsorgung

Alle Organisationen aus diesen Branchen bzw. Sektoren zählen zu den Kritischen Infrastrukturen (KRITIS). Die Größe des Unternehmens ist dabei unwichtig. Nur die Bereiche Staat und Verwaltung sowie Medien und Kultur unterlagen bisher nicht der Regulierung durch das BSIG (bis 2024). Das änderte sich aber mittlerweile.

Weitere Sektoren seit 2024

Mit NIS2 und dem KRITIS-Dachgesetz kommen ab 2024 zwei weitere Gruppen von Sektoren dazu. Hierzu zählen die Einrichtungen (mittlere und Großunternehmen), die in NIS2 definiert wurden sowie die Betreiber Kritischer Anlagen.

Zu den Einrichtungen zählen:

Energie
Transport und Verkehr
Finanzen und Versicherungen
Gesundheit
Wasser
IT und TK
Digitale Dienste
Staat
Weltraum
Lebensmittel
Entsorgung
Verarbeitendes Gewerbe
Chemie
Forschung

Als Kritische Anlagen werden aufgeführt:

Energie
Transport und Verkehr
Finanzen und Versicherungen
Gesundheit
Wasser
IT und TK
Weltraum
Ernährung
Entsorgung
Staat

Kurz gesagt: Mit NIS2 zählen nun große Teile der deutschen Wirtschaft zu den kritischen Infrastrukturen.

Wie viele KRITIS-Änderungen gab es bisher?

Seit der ersten KRITIS-Verordnung von 2015 gab es bereits vier Änderungsverordnungen:

2016/2017: Änderungen zu IT-Sicherheitsgesetz 1.0; Sektoren 1. Korb/2. Korb
2021: Änderungen IT-Sicherheitsgesetz 2.0; viele neue Anlagen; gesunkene Schwellenwerte
2023: Neue Anlagen Energie und IT
2023: Entsorgung und Schwellenwerte

Welche Sanktionen drohen bei Nichteinhaltung der KRITIS-Vorgaben?

Bis 2024 wurden die Sanktionen im BSIG geregelt. Mit NIS2 gelten nun die neuen Sanktionen. Hierzu zählen vorsätzliche und fahrlässige Verstöße der KRITIS-Betreiber.

Die Sanktionen können zwischen 1,4 und 2 % des „weltweiten im vorangegangenen Geschäftsjahr getätigten Umsatzes“ betragen. Oder „Geldbußen mit einem Höchstbetrag von mindestens 7 Mio./10 Mio. EUR“ – je nachdem welcher Betrag höher ist. Auch hier ist nicht genau definiert, ob es ein „Höchstbetrag“ ist (also maximal) oder „mindestens“ (ab 7 Mio. bzw. 10 Mio. Euro) diese Summe. Hier widerspricht sich die EU-Verordnung in Artikel 34 Punkt 4 und 5.

Die Geldbußen sollen auf jeden Fall „wirksam, verhältnismäßig und abschreckend“ sein.

Was ist die EU RCE-Directive EU 2022/2557?

Die EU RCE-Directive – auch bekannt als CER-Richtlinie zum Schutz kritischer Einrichtungen (EU 2022/2557) – gilt seit Ende 2022. In dieser Verordnung wird die Resilienz bei Kritischen Infrastrukturen in der EU behandelt und gefordert, dass die KRITIS-Betreiber für Ausfallsicherheit sorgen müssen. Bis Mitte Oktober 2024 muss die Direktive in nationales Recht umgesetzt sein. Aus diesem Grund wurde das KRITIS-Dachgesetz beschlossen.

Teilnahme an UP KRITIS

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) haben eine Initiative namens UP KRITIS ins Leben gerufen.

Betreiber Kritischer Infrastrukturen in Deutschland sowe Fach- und Branchenverbände sowie zuständige Behörden können an der Kooperation UP KRITIS teilnehmen. Der Fokus liegt dabei auf den Prozessen und Strukturen eines funktionierenden ISMS (Information Security Management System).

Weitere Informationen zu KRITIS:

KRITIS-Verordnung von 2016

Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: KRITIS

Bundesamt für Sicherheit in der Informationstechnik: KRITIS

UP KRITIS