Das Wichtigste im Überblick
- Kritische Infrastrukturen sind systemrelevante Einrichtungen - ihr Ausfall würde zu erheblichen Störungen des Gemeinwesens führen
- Neun Sektoren sind gesetzlich definiert - von Energie über Gesundheit bis hin zu staatlichen Stellen mit spezifischen Schwellenwerten
- Besondere rechtliche Pflichten gelten - BSI-Gesetz und BSI-Kritisverordnung regeln umfassende Schutzmaßnahmen
Definition kritischer Infrastrukturen
Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.
Diese Definition findet sich in § 2 Abs. 10 BSI-Gesetz und wird durch die BSI-Kritisverordnung konkretisiert. Der Begriff reflektiert die Erkenntnis, dass moderne Gesellschaften von bestimmten Infrastrukturen so abhängig sind, dass deren Ausfall katastrophale Folgen haben kann.
Die Digitalisierung und Vernetzung haben die Verwundbarkeit kritischer Infrastrukturen erheblich erhöht. Ein erfahrener Anwalt für IT-Recht kann dabei helfen, die komplexen rechtlichen Anforderungen zu verstehen und Compliance-Strategien zu entwickeln. Gleichzeitig sind neue Abhängigkeiten entstanden, die den Schutz dieser Infrastrukturen zu einer nationalen Sicherheitspriorität machen. Ein erfahrener Anwalt für Datenschutz kann dabei helfen, die komplexen rechtlichen Anforderungen zu verstehen und Compliance-Strategien zu entwickeln, da KRITIS-Betreiber auch umfassenden datenschutzrechtlichen Pflichten unterliegen.
Rechtliche Grundlagen und Definitionen
IT-Sicherheitsgesetz als Rahmengesetz
Die gesetzlichen Vorgaben zum Schutz kritischer Infrastrukturen in Deutschland sind durch das Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme, kurz IT-Sicherheitsgesetz oder IT-SiG, geregelt und vor allem im BSI-Gesetz (BSIG) umgesetzt worden. Die Pflichten für Betreiber ergeben sich hauptsächlich aus diesem Gesetz. Das Gesetz wurde 2015 erstmals in Kraft gesetzt und im Jahr 2021 erheblich novelliert.
Die Neufassung auf Grundlage IT-SiG 2.0 hat den Anwendungsbereich deutlich ausgeweitet und die Anforderungen an die Betreiber verschärft.
Zentral ist die auch zuvor bereits bestandene Ermächtigung des Bundesministeriums des Innern, für Bau und Heimat (BMI), im Einvernehmen mit dem BSI die konkreten Kriterien für die Einstufung als kritische Infrastruktur in Rechtsverordnungen festzulegen.
BSI-Kritisverordnung als Konkretisierung
Die BSI-Kritisverordnung (BSI-KritisV) konkretisiert die gesetzlichen Vorgaben und definiert präzise Schwellenwerte sowie Kriterien. Sie legt fest, welche Unternehmen in welchen Bereichen als Betreiber kritischer Infrastrukturen gelten müssen.
Die Verordnung verwendet verschiedene Kriterien wie die Anzahl der versorgten Personen, technische Kapazitäten oder die Bedeutung für nachgelagerte Infrastrukturen. Diese quantitativen Ansätze ermöglichen eine objektive Abgrenzung und schaffen Rechtssicherheit für die betroffenen Unternehmen.
Regelmäßige Überprüfungen und Anpassungen der Verordnung stellen sicher, dass neue technologische Entwicklungen und veränderte Bedrohungslagen berücksichtigt werden. Dies gewährleistet, dass der Schutz kritischer Infrastrukturen mit den sich wandelnden Anforderungen Schritt hält.
Europäische NIS-2-Richtlinie
Die europäische Network and Information Security Directive 2 (NIS-2) erweitert das Verständnis kritischer Infrastrukturen auf EU-Ebene. Sie unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen und führt neue Sektoren ein, die bisher nicht erfasst waren.
Die NIS-2-Richtlinie musste bis zum 17. Oktober 2024 in deutsches Recht umgesetzt werden und wird voraussichtlich zu einer weiteren Ausweitung des Kreises der regulierten Unternehmen führen.
Dies bedeutet, dass mehr Unternehmen als bisher den strengen Anforderungen des KRITIS-Rechts unterliegen werden. Besonders bedeutsam ist die Absenkung der Schwellenwerte, wodurch auch mittlere Unternehmen erfasst werden können. Diese müssen mindestens 50 Beschäftigte haben und einen Jahresumsatz von 10 Millionen Euro erreichen, wobei beide Kriterien gleichzeitig erfüllt sein müssen.
Die neun Sektoren kritischer Infrastrukturen
Sektor Energie
Der Energiesektor umfasst die Elektrizitäts-, Gas-, Kraftstoff- und Fernwärmeversorgung und bildet das Rückgrat der modernen Industriegesellschaft. Diese Bereiche sind für nahezu alle anderen Infrastrukturen unverzichtbar geworden. Zur Elektrizitätsversorgung gehören Kraftwerke, Übertragungsnetze, Verteilnetze und Großhandelsplätze für Strom, während die Gasversorgung Fernleitungsnetze, Gasverteilnetze, Gasspeicher und LNG-Anlagen umfasst. Die Kraftstoffversorgung beinhaltet Raffinerien, Rohölleitungsanlagen und Tanklager, und die Fernwärmeversorgung wird durch entsprechende Versorgungsanlagen und Fernwärmenetze sichergestellt. Alle diese Infrastrukturen sind miteinander vernetzt und voneinander abhängig. Die Schwellenwerte orientieren sich meist an der Anzahl der angeschlossenen Letztverbraucher oder der installierten Leistung. So gelten beispielsweise Stromverteilnetze ab 500.000 versorgten Personen als kritische Infrastruktur, was ihre besondere Bedeutung für die Gesellschaft widerspiegelt.
Sektor Wasser
Der Wassersektor gliedert sich in die Trinkwasserversorgung und die Abwasserentsorgung, wobei beide Bereiche für die öffentliche Gesundheit und das Funktionieren der Gesellschaft essentiell sind und nicht ohne weiteres ersetzt werden können. Die Trinkwasserversorgung umfasst Wassergewinnungsanlagen, Wasserspeicher, Trinkwasseraufbereitungsanlagen und Trinkwasserverteilungsanlagen. Entscheidend für die Einstufung als kritische Infrastruktur ist meist die Anzahl der versorgten Einwohner, da dies ein direktes Maß für die gesellschaftliche Bedeutung darstellt. Die Abwasserentsorgung beinhaltet Abwasserbehandlungsanlagen, Abwassersammelungsanlagen und Abwassertransportanlagen, wobei auch hier Schwellenwerte basierend auf der Einwohnerzahl oder der Behandlungskapazität maßgeblich für die Einstufung sind. Besondere Bedeutung haben zentrale Wasserversorgungsanlagen in Ballungsräumen, da ihr Ausfall Millionen von Menschen betreffen könnte. Diese Anlagen sind daher besonders schutzwürdig und unterliegen strengen Sicherheitsanforderungen.
Sektor Ernährung
Der Ernährungssektor ist vergleichsweise neu in der Kritisverordnung und umfasst die Ernährungswirtschaft sowie die Lebensmittelversorgung. Dies reflektiert die Erkenntnis, dass die Versorgung mit Lebensmitteln für die Aufrechterhaltung der öffentlichen Ordnung kritisch ist. Erfasst werden große Lebensmittelproduzenten, zentrale Verteilzentren des Lebensmittelhandels und bedeutende Verarbeitungsbetriebe, wobei sich die Schwellenwerte an der regionalen oder nationalen Bedeutung für die Lebensmittelversorgung der Bevölkerung orientieren. Besonders relevant sind Unternehmen, die eine marktbeherrschende Stellung in der Grundversorgung haben oder deren Ausfall zu regionalen Versorgungsengpässen führen würde. Diese Unternehmen tragen eine besondere Verantwortung für die Ernährungssicherheit.
Sektor Informationstechnik und Telekommunikation
Dieser Sektor bildet das digitale Rückgrat der modernen Gesellschaft und umfasst Telekommunikation, Hosting und Cloud-Computing sowie digitale Dienste. Die Telekommunikation beinhaltet öffentliche Telekommunikationsnetze, Internet-Knoten, Rechenzentren und wichtige Telekommunikationsdiensteanbieter, wobei meist die Anzahl der Teilnehmer oder die Bedeutung für die Netzinfrastruktur maßgeblich ist. Hosting und Cloud-Computing werden durch Rechenzentren und Cloud-Anbieter repräsentiert, die kritische Dienste für andere Infrastrukturen erbringen. Digitale Dienste umfassen Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste mit erheblicher gesellschaftlicher oder wirtschaftlicher Bedeutung.
Sektor Gesundheit
Das Gesundheitswesen umfasst Krankenhäuser, Arzneimittelversorgung und medizinische Versorgung. Krankenhäuser gelten ab einer bestimmten Bettenzahl oder bei Erfüllung spezieller Versorgungsaufträge als kritische Infrastruktur – Universitätskliniken und Maximalversorger sind typischerweise erfasst. Die Arzneimittelversorgung beinhaltet pharmazeutische Hersteller, Arzneimittelgroßhändler und zentrale Apotheken mit bedeutender Marktstellung. Zur medizinischen Versorgung gehören auch spezialisierte Einrichtungen wie Blutspendedienste oder zentrale Laboratorien, die nicht kurzfristig ersetzt werden können.
Sektor Finanz- und Versicherungswesen
Das Finanz- und Versicherungswesen umfasst Kreditinstitute, Börsen, Versicherungen und Finanzdienstleister. Kreditinstitute werden meist ab einer bestimmten Bilanzsumme oder Anzahl von Kunden als kritisch eingestuft. Börsen und Handelsplätze sind aufgrund ihrer zentralen Rolle im Finanzsystem typischerweise als kritische Infrastruktur eingestuft, gleiches gilt für zentrale Clearing- und Settlement-Systeme. Versicherungsunternehmen werden ab bestimmten Schwellenwerten für Prämienvolumen oder Versichertenzahl erfasst, insbesondere wenn sie in der Grundversorgung tätig sind.
Sektor Transport und Verkehr
Der Transportsektor umfasst Luftfahrt, Seeschifffahrt, Schienenverkehr und Straßenverkehr. Die Luftfahrt beinhaltet Flughäfen, Flugsicherungseinrichtungen und bedeutende Luftfahrtunternehmen, wobei meist Passagierzahlen oder die Bedeutung für die nationale Anbindung maßgeblich sind. Die Seeschifffahrt umfasst Seehäfen und Schifffahrtsunternehmen – große Containerhäfen sind typischerweise als kritische Infrastruktur eingestuft. Der Schienenverkehr beinhaltet Eisenbahninfrastruktur, Bahnhöfe und Eisenbahnverkehrsunternehmen, wobei die Deutsche Bahn AG und ihre Tochtergesellschaften weitgehend erfasst sind.
Sektor Medien und Kultur
Dieser Sektor reflektiert die Bedeutung der Informationsversorgung für die demokratische Gesellschaft und umfasst Rundfunk, Presse sowie symbolträchtige Bauwerke. Der Rundfunk beinhaltet öffentlich-rechtliche Anstalten und private Rundfunkanbieter mit erheblicher Reichweite. Die Presse umfasst bedeutende Print- und Online-Medien sowie Nachrichtenagenturen, die für die öffentliche Meinungsbildung relevant sind. Symbolträchtige Bauwerke sind kulturell oder historisch bedeutsame Einrichtungen, deren Zerstörung erhebliche gesellschaftliche Auswirkungen hätte.
Sektor Staat und Verwaltung
Mit der Überarbeitung des KRITIS-Regimes durch das IT-SiG 2.0 werden staatliche Stellen als eigenständiger Sektor berücksichtigt. Erfasst sind zentrale Behörden, kritische Verwaltungsdienstleistungen und hoheitliche Aufgaben wie Meldebehörden, Finanzverwaltung oder Justizeinrichtungen. Auch Einrichtungen der inneren und äußeren Sicherheit können je nach Aufgabenbereich als kritische Infrastruktur eingestuft werden.
Schwellenwerte und Einstufungskriterien
Quantitative Kriterien
Die BSI-Kritisverordnung verwendet überwiegend quantitative Kriterien für die Einstufung als kritische Infrastruktur. Typische Schwellenwerte sind beispielsweise 500.000 versorgte Personen bei Stromverteilnetzen, 500.000 angeschlossene Teilnehmer bei Telekommunikationsnetzen oder mehr als 30.000 vollstationäre Fälle pro Jahr bei Krankenhäusern. Diese quantitativen Ansätze bieten Objektivität und Rechtssicherheit, können jedoch in Einzelfällen zu unbilligen Ergebnissen führen.
Qualitative Aspekte
Ergänzend berücksichtigt die Einstufung auch qualitative Aspekte wie die besondere Bedeutung für nachgelagerte Infrastrukturen oder die Substitutierbarkeit der Dienstleistung. Auch kleinere Einrichtungen können als kritisch eingestuft werden, wenn sie eine Schlüsselposition in der Versorgungskette innehaben oder keine Alternativen vorhanden sind. Die regionale Konzentration und mögliche Kaskadeneffekte bei Ausfällen fließen ebenfalls in die Bewertung ein.
Dynamische Anpassung
Die Schwellenwerte und Kriterien werden regelmäßig überprüft und angepasst, um technologischen Entwicklungen, veränderten Marktstrukturen und neuen Bedrohungslagen Rechnung zu tragen. Unternehmen können dadurch neu als kritische Infrastruktur eingestuft werden oder aus der Regulierung herausfallen, was eine kontinuierliche Beobachtung der rechtlichen Entwicklungen erforderlich macht.
Rechtliche Pflichten für Betreiber
IT-Sicherheitsmaßnahmen
Betreiber kritischer Infrastrukturen müssen angemessene technische und organisatorische Maßnahmen treffen, um ihre IT-Systeme gegen Beeinträchtigungen zu schützen. Diese Maßnahmen müssen dem Stand der Technik entsprechen und umfassen Vorkehrungen gegen Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit sowie Incident-Response-Kapazitäten. Die Maßnahmen müssen dokumentiert und regelmäßig überprüft werden, wobei bei Änderungen der Bedrohungslage Anpassungen vorzunehmen sind (§ 8a Abs. 1 BSIG).
Nachweis- und Zertifizierungspflichten
Alle zwei Jahre müssen Betreiber kritischer Infrastrukturen gegenüber dem BSI einen Nachweis erbringen, dass sie die erforderlichen Sicherheitsmaßnahmen getroffen haben (§ 8a Abs. 3 BSIG). Dies kann durch eine qualifizierte Prüfung oder Zertifizierung erfolgen. Anerkannte Standards sind insbesondere ISO 27001, ISIS12 oder branchenspezifische Standards, wobei die Wahl den spezifischen Anforderungen entsprechen muss. Das BSI führt eine Liste qualifizierter Prüfer und Prüfstellen.
Meldepflichten
Erhebliche Störungen der IT-Systeme müssen unverzüglich an das BSI gemeldet werden. Als erheblich gelten Störungen, die zu einem Ausfall oder einer erheblichen Beeinträchtigung der Funktionsfähigkeit führen. Die Meldung muss Angaben über Art, Ursache, Dauer und Auswirkungen der Störung enthalten. Verspätete oder unterlassene Meldungen können mit Bußgeldern geahndet werden.
Kontaktstellen und Kooperation
Jeder Betreiber muss eine rund um die Uhr erreichbare Kontaktstelle benennen, die als zentraler Ansprechpartner für Behörden dient. Diese muss über ausreichende Befugnisse und Sachkunde verfügen und sollte direkten Zugang zur Geschäftsführung haben. Betreiber sind verpflichtet, mit dem BSI und anderen Behörden zu kooperieren, was auch die Teilnahme am Informationsaustausch und an Übungen umfassen kann.
Internationale Perspektiven
Die EU arbeitet an einer Harmonisierung der Standards für kritische Infrastrukturen. Die NIS-2-Richtlinie ist ein wichtiger Schritt zur Angleichung nationaler Definitionen und Standards, um ein einheitliches Schutzniveau zu erreichen. Mit den USA und anderen Partnern gibt es intensive Kooperation beim Schutz kritischer Infrastrukturen, wobei gemeinsame Standards und Informationsaustausch im Vordergrund stehen.
Weltweit ist ein Trend zu strengeren Regulierungen kritischer Infrastrukturen zu beobachten. Länder wie Australien, Kanada und Japan haben ähnliche Gesetze erlassen oder verschärft. Dabei spielen sowohl Cybersecurity-Aspekte als auch physische Sicherheit eine wichtige Rolle, während geopolitische Spannungen zu verstärkten Schutzmaßnahmen führen.
Herausforderungen und Zukunftstrends
Die fortschreitende Digitalisierung schafft neue Abhängigkeiten und Verwundbarkeiten. Internet of Things (IoT), Künstliche Intelligenz und 5G-Technologie erweitern die Angriffsfläche für Cyber-Bedrohungen erheblich. Gleichzeitig entstehen neue Formen kritischer Infrastrukturen, etwa im Bereich der digitalen Identitäten oder bei Plattformökonomien mit systemischer Bedeutung.
Der Klimawandel stellt kritische Infrastrukturen vor zusätzliche Herausforderungen. Extremwetterereignisse können zu weitreichenden Ausfällen führen, wodurch Resilienz zu einem zentralen Konzept wird. Es geht nicht nur um den Schutz vor Angriffen, sondern auch um die Fähigkeit, Störungen zu überstehen und sich schnell zu erholen.
Der Fachkräftemangel im IT-Sicherheitsbereich betrifft auch KRITIS-Betreiber, während die Abhängigkeit von internationalen Lieferketten neue Verwundbarkeiten schafft. Die COVID-19-Pandemie und geopolitische Spannungen haben diese Risiken deutlich vor Augen geführt.
Praktische Umsetzungsempfehlungen
Unternehmen sollten zunächst prüfen, ob sie von der KRITIS-Regulierung betroffen sind. Dies erfordert eine detaillierte Analyse der Geschäftstätigkeit und der relevanten Schwellenwerte. Auch bei knapp unter den Schwellenwerten liegenden Unternehmen kann eine freiwillige Orientierung an KRITIS-Standards sinnvoll sein, da sich die Kriterien ändern können.
Betroffene Unternehmen müssen umfassende Compliance-Strukturen aufbauen, die Governance-Strukturen, Prozesse, Technologien und qualifiziertes Personal umfassen. Ein Chief Information Security Officer (CISO) sollte die Gesamtverantwortung tragen, wobei klare Verantwortlichkeiten und Eskalationswege essentiell sind.
Eine konstruktive Zusammenarbeit mit dem BSI und anderen Behörden ist unerlässlich. Dies umfasst regelmäßigen Informationsaustausch, Teilnahme an Branchentreffen und gemeinsame Übungen. Transparenz und proaktive Kommunikation werden von den Behörden positiv bewertet.
Strategische Bedeutung und rechtliche Komplexität
Kritische Infrastrukturen bilden das Rückgrat moderner Gesellschaften und sind für das Funktionieren von Wirtschaft und Staat essentiell. Ihr Schutz ist daher eine nationale Priorität, die sich in umfassenden rechtlichen Regelungen niederschlägt.
Die Definition und Abgrenzung kritischer Infrastrukturen ist komplex und unterliegt kontinuierlichen Anpassungen. Unternehmen müssen die Entwicklungen aufmerksam verfolgen und ihre Compliance-Strategien entsprechend ausrichten.
Die rechtlichen Anforderungen gehen weit über technische Sicherheitsmaßnahmen hinaus und umfassen Governance, Dokumentation, Meldewesen und behördliche Kooperation. Dies erfordert erhebliche Investitionen und spezialisierte Expertise.
Wir unterstützen Betreiber kritischer Infrastrukturen bei der Entwicklung rechtssicherer Compliance-Strategien. Mit unserer Expertise im IT-Recht und dem Verständnis für technische Zusammenhänge entwickeln wir maßgeschneiderte Lösungen für die komplexen Anforderungen des KRITIS-Rechts.
Häufig gestellte Fragen
Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, deren Ausfall erhebliche Versorgungsengpässe oder Störungen der öffentlichen Sicherheit zur Folge hätte.
Es gibt neun Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Medien und Kultur sowie staatliche Stellen.
Die Einstufung erfolgt auf Grundlage der Kriterien der BSI-Kritisverordnung. Unternehmen sind selbst verpflichtet, zu prüfen, ob sie Betreiber kritischer Infrastrukturen sind. Das BSI nimmt Meldungen entgegen und registriert die entsprechenden Betreiber.
Sie müssen angemessene IT-Sicherheitsmaßnahmen treffen, alle zwei Jahre einen Nachweis erbringen, Störungen melden und eine Kontaktstelle einrichten. Kooperation mit dem BSI ist verpflichtend.
Verstöße können aktuell mit Bußgeldern bis zu 2 Millionen Euro geahndet werden (§ 14 Abs. 6 BSIG). Nach Umsetzung der NIS-2-Richtlinie ist vorgesehen, Bußgelder bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes zu ermöglichen.
Ja, wenn sie eine Schlüsselposition innehaben oder keine Alternativen vorhanden sind. Die NIS-2-Richtlinie wird auch mittlere Unternehmen ab 50 Beschäftigten erfassen können.
Die BSI-Kritisverordnung wird regelmäßig überprüft und angepasst. Unternehmen können dadurch neu erfasst oder aus der Regulierung herausfallen.
Die Maßnahmen müssen dem Stand der Technik entsprechen. Anerkannte Standards sind ISO 27001, ISIS12 oder branchenspezifische Standards, die vom BSI akzeptiert werden.
Sie wird den Kreis der regulierten Unternehmen deutlich erweitern und strengere Anforderungen einführen. Die Umsetzung in deutsches Recht erfolgt bis Oktober 2024.
Durch Analyse der Geschäftstätigkeit, Aufbau von IT-Sicherheitsstrukturen, Implementierung von Standards und rechtliche Beratung zur korrekten Einschätzung der Betroffenheit.
German 
English