Was ist KRITIS?

KRITIS einfach erklärt

Fällt in einer Region der Strom aus, steht nach kurzer Zeit vieles still: Ampeln, Kassen, Pumpen, Kühlhäuser und Telefonnetze. Manche Organisationen sind deshalb für die Allgemeinheit besonders wichtig. Fallen sie aus, drohen erhebliche Versorgungsengpässe oder Gefahren für die öffentliche Sicherheit. Man spricht dann von kritischen Infrastrukturen, kurz KRITIS.

Ein Bild dafür: KRITIS sind die tragenden Wände eines Gebäudes. Eine Zwischenwand lässt sich versetzen, ohne dass das Haus wackelt. Fällt dagegen eine tragende Wand, sind alle Stockwerke betroffen. Deshalb gelten für tragende Wände strengere Vorschriften – und für KRITIS-Betreiber strengere Pflichten in der IT-Sicherheit.

Im Gesetz ist heute meist von „Betreibern kritischer Anlagen“ die Rede. Gemeint sind Anlagen, die für eine kritische Dienstleistung erheblich sind – zum Beispiel ein Kraftwerk, ein Wasserwerk oder ein großes Rechenzentrum.

Das regeln BSI-Gesetz und KRITIS-Dachgesetz

Die IT-Sicherheitspflichten für KRITIS stehen im BSI-Gesetz (BSIG), das mit der Umsetzung der NIS2-Richtlinie neu gefasst wurde. Welche Anlagen als kritisch gelten, bestimmt das KRITIS-Dachgesetz; das BSI-Gesetz verweist darauf. Die wichtigsten Punkte:

1. Sektoren: Kritische Dienstleistungen gibt es in den Sektoren Energie, Wasser, Ernährung, Gesundheitswesen, Finanzwesen, Transport und Verkehr, Informationstechnik und Telekommunikation, Siedlungsabfallentsorgung, Weltraum sowie Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende.
2. Schwellenwerte: Ob eine Anlage als kritisch gilt, richtet sich nach Schwellenwerten in einer Rechtsverordnung – vereinfacht gesagt danach, wie viele Menschen von ihrer Versorgung abhängen.
3. Registrierung: Betreiber müssen ihre Anlagen über ein gemeinsames Portal des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Dabei benennen sie eine Kontaktstelle, die für das BSI jederzeit erreichbar ist.
4. Schutzmaßnahmen: Sie müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik treffen – also mit aktuell verfügbaren, bewährten Mitteln. Für die IT, die für den Betrieb der Anlage maßgeblich ist, sind zudem Systeme zur Angriffserkennung Pflicht – Technik, die den Betrieb laufend überwacht und Bedrohungen früh erkennt.
5. Meldepflicht: Erhebliche Sicherheitsvorfälle sind gestuft an die gemeinsame Meldestelle von BSI und BBK zu melden (§ 32 BSIG): mit einer frühen Erstmeldung spätestens 24 Stunden nach Kenntnis, einer Meldung nach spätestens 72 Stunden und einer Abschlussmeldung spätestens einen Monat nach dieser Meldung.
6. Nachweise: Alle drei Jahre müssen Betreiber durch Sicherheitsaudits, Prüfungen oder Zertifizierungen belegen, dass ihre Maßnahmen umgesetzt sind.

Betreiber kritischer Anlagen zählen zugleich zu den „besonders wichtigen Einrichtungen“ im Sinne des BSI-Gesetzes. Für Energieversorger gelten zusätzlich Vorgaben aus dem Energiewirtschaftsgesetz. Das KRITIS-Dachgesetz verlangt außerdem Maßnahmen zum Schutz vor physischen Gefahren wie Sabotage oder Naturkatastrophen.

Ein Beispiel aus der Praxis

Ein Stadtwerk versorgt eine Region mit Strom und Trinkwasser. Seine Wasserversorgung überschreitet den maßgeblichen Schwellenwert – das Stadtwerk betreibt damit eine kritische Anlage. Für den nächsten Nachweis bereitet es eine Prüfung durch eine unabhängige prüfende Stelle vor. Vorab lässt es einen Penetrationstest durchführen, also einen autorisierten, simulierten Angriff. Dabei zeigt sich: Ein Fernwartungszugang für die Pumpensteuerung ist aus dem Internet erreichbar und nur mit einem Passwort geschützt. Das Stadtwerk sichert den Zugang zusätzlich ab und trennt das Steuerungsnetz stärker vom Büronetz. Bericht und Retest fließen als Belege in die Nachweisunterlagen ein.

Warum ist das für Unternehmen wichtig?

Für KRITIS-Betreiber ist IT-Sicherheit keine freiwillige Aufgabe. Wer seine Pflichten verletzt, riskiert Anordnungen der Aufsicht und Bußgelder. Schwerer wiegt, was ein erfolgreicher Angriff auslösen kann: Versorgungsausfälle, Gefahren für Menschen und einen erheblichen Vertrauensverlust.

Auch Unternehmen, die nicht als KRITIS eingestuft sind, sollten das Thema kennen. Mit NIS2 ist der Kreis der regulierten Unternehmen deutlich gewachsen – viele davon liegen unterhalb der KRITIS-Schwellenwerte. Zudem geben KRITIS-Betreiber Sicherheitsanforderungen häufig an Zulieferer und IT-Dienstleister weiter, etwa über Verträge zur Absicherung der Lieferkette.

Was Unternehmen jetzt tun sollten

• Betroffenheit prüfen: Klären Sie, ob Ihre Anlagen die Schwellenwerte erreichen oder ob Sie unter NIS2 fallen – im Zweifel mit rechtlicher Beratung.
• Meldewege festlegen: Benennen Sie eine jederzeit erreichbare Kontaktstelle und regeln Sie, wer einen Vorfall wann meldet.
• Sicherheit systematisch steuern: Ein ISMS nach ISO/IEC 27001 oder IT-Grundschutz bildet die Grundlage für belastbare Nachweise.
• IT und OT gemeinsam betrachten: Steuerungen, Leitsysteme und Fernwartungszugänge der Betriebstechnik (OT) gehören ebenso auf den Prüfstand wie die Büro-IT.
• Wirksamkeit belegen: Lassen Sie regelmäßig testen, ob Ihre Maßnahmen einem realistischen Angriff standhalten, und dokumentieren Sie Befunde und Behebung.
• Lieferkette einbeziehen: Regeln Sie Fernzugänge und Sicherheitsanforderungen mit Dienstleistern verbindlich.

Wie Rootsektor unterstützt

Rootsektor prüft die IT und OT von Versorgern und anderen KRITIS-Betreibern – vom Internetauftritt über das Büronetz bis zur Leittechnik, wobei der sichere Betrieb stets Vorrang hat. Wie wir dabei vorgehen, lesen Sie unter Energie & KRITIS. Bericht und Prüfbescheinigung liefern technische Belege für Ihre Nachweise; die Prüfung durch eine dafür qualifizierte Stelle ersetzen sie nicht. Bei einem Sicherheitsvorfall unterstützt Sie unser Team für Incident Response & Forensik auch bei den Meldepflichten.