KRITIS ist die Abkürzung für Kritische Infrastrukturen. Damit sind unter anderem die aktuell über 1.000 Unternehmen in Deutschland gemeint, die Dienstleistungen erbringen, die von der EU oder auf nationaler Ebene als kritisch für die Aufrechterhaltung des öffentlichen Lebens und der Ordnung angesehen werden. Die besondere Widerstandsfähigkeit dieser Unternehmen bezüglich unvorhergesehener Ereignisse wie einer Pandemie oder Cyberangiffen ist essenziell. Um diese Resilienz in Wirtschaft und Gesellschaft zu schaffen, werden regelmäßig neue Gesetze wie das kommende KRITIS-Dachgesetz (KRITIS-DachG) erlassen. Dies hat ebenfalls zur Folge, dass immer mehr Unternehmen als KRITIS klassifiziert werden.
Mit dem neuen Gesetz weitet sich der mit dem bisher durch das BSI-Gesetz auf Informationssicherheit gesetzten Fokus hin zur Unternehmenssicherheit. Der neu geforderte Resilienzplan verpflichtet zur Erstellung von Sicherheitskonzepten, Notfallplänen und der Einführung von Teilmanagementsystemen wie Bedrohungs- und Krisenmanagement. Dies ist Bestandteil unseres breiten Portfolios der Sicherheitsberatung.
Unsere KRITIS-Beratung unterstützt Sie bei der Erfüllung aller Anforderungen, z. B. der Erstellung der Sicherheitskonzepte für Gebäude und Objekte. So agieren Sie jederzeit gesetzeskonform, nutzen die Potenziale von Resilienz und vermeiden hohe Bußgelder und Haftungsrisiken.
Unser Portfolio im Bereich KRITIS-Beratung
Erstellung Resilienzplan
Wir erstellen mit Ihnen sowohl den Resilienzplan als auch die vom BSI geforderten Nachweise zur Einhaltung der Resilienzpflichten. Unsere Lösungen sind prüfungssicher und orientieren sich sowohl an den erforderlichen Sicherheitskonzepten und dem Krisenmanagement als auch an den allgemein anerkannten Standards.
- Buchen Sie Ihren Termin über den Button.
- Ihr persönlicher KRITIS-Berater erfasst unter Berücksichtigung Ihrer Angaben und auf Grundlage des von uns erstellten Sicherheitsprofils ihres Unternehmens, welche Maßnahmen zur Erfüllung aller gesetzlichen Vorgaben erforderlich sind und wie eine geeignete Umsetzung aussehen kann.
- Projektplanung inklusive Zeit- und Ablaufplan
- Die Umsetzung erfolgt mit den geeigneten Experten. Auf Wunsch arbeiten wir auch im Projektteam Ihres Unternehmens.
- Anschließend vermitteln wir Ihnen das notwendige Wissen zur optimalen Nutzung der Arbeitsergebnisse sowie deren Integration ins Unternehmen. Dies kann zum Beispiel durch eine Kurzschulung oder durch die Einarbeitung in die Arbeitsergebnisse erfolgen.
KRITIS
Die bislang in Deutschland gültige BSI-Kritisverordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz unterteilt diese in folgende Sektoren:
- Energie (Strom, Mineralöl, Gas)
- Informationstechnik und Telekommunikation
- Transport und Verkehr
- Gesundheit
- Wasser
- Ernährung
- Finanz- und Versicherungswesen
- Siedlungsabfallentsorgung
Innerhalb dieser Sektoren erbringen die Infrastrukturbetreiber zur Versorgung der Allgemeinheit sogenannte kritische Dienstleistungen. Der Ausfall einer solchen kritischen Dienstleistung würde zu erheblichen Versorgungsengpässen, zu Gefährdungen der öffentlichen Sicherheit oder zu vergleichbaren Folgen führen.
Unsere Erfolgsgeschichten
Auditierung der Sicherheit an vier Multistandorten sowie Sicherheitsberatung zu zukunftsfähigem Sicherheitsniveau (KRITIS)
Auftrag
Durchführung der Audits mit Schwachstellenanalyse-Tool durch Begehungen vor Ort und Empfehlungen zur Steigerung des Sicherheitsniveaus
Kunde: Aktiengesellschaft – Energieversorgung (KRITIS)
Funktion des Ansprechpartners: Projektleiter und Sachbearbeiter Immobiliensicherheit
Format: 60 % Begehungen vor Ort und digitale Zusammenarbeit
Grund der Beauftragung
- Entscheidung der Geschäftsleitung nach Revisionsbericht, der Schwachstellen aufzeigt
- Outsourcing an neutralen Auditor STRIPEMIND
- Das Sicherheitsniveau der Zukunft soll für die Unternehmensstandorte definiert werden, auch unter dem Eindruck vereinzelter Sicherheitsvorfälle wie Demonstrationen und Betriebsstörungen durch Aktivisten
Verlauf
Die Schwachstellenanalyse wurde faktenbasiert vor Ort vorgenommen und anschließend fachlich bewertet sowie ein Reifegrad anhand interner Benchmarks bewertet.
Rahmenbedingungen
- Geringer Reifegrad interner Sicherheitsvorgaben, die den Soll-Zustand für die Prüfung beschreiben
- Nutzung des kundeneigenen Schwachstellen-Analysetools
Ergebnis
- Managementpräsentation der identifizierten Schwachstellen und Empfehlungen sowohl inhaltlicher Art als auch empfehlenswerter Anschlusssicherheitsprojekte
- Analysetabelle mit Informationen zu Schwachstellen und daraus abgeleiteten identifizierten Optimierungspotenzialen
Dauer des Services
Von Auftrag über die Begehung bis zur Abschlusspräsentation: 8 Wochen
Kostenrahmen
Unter 20.000 €
KRITIS-Unternehmen
Unternehmen werden nicht automatisch informiert, ob sie betroffen sind; sie sind verpflichtet, dies eigenständig zu prüfen.
Wird eine Betroffenheit festgestellt, besteht eine Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik.
In der BSI-Kritisverordnung finden Sie in den acht Anlagen die Formeln zur Berechnung der Schwellenwerte in den jeweiligen Sektoren, ab denen Sie Ihre Anlagen als KRITIS an das BSI melden müssen.
Für eine erste Einschätzung kann der Schwellenwert der Versorgung oder Erbringung von Dienstleistungen für mindestens 500.000 Menschen in einem der KRITIS-Sektoren herangezogen werden. Grundsätzlich wird nicht das ganze Unternehmen als KRITIS eingestuft, sondern die Unternehmensteile und Anlagen, die für die jeweilige kritische Leistung relevant sind. Unternehmen können jederzeit von Amts wegen registriert werden, wenn diese der Registrierungspflicht nicht nachkommen oder wenn kritische Betreiber durch die Logik der Anlagen/Schwellenwerte nicht erfasst werden, und dabei die nationalen Risikoanalysen und Kriterien wie Nutzerzahlen, Abhängigkeiten, Auswirkungen, Geographie, Marktanteil berücksichtigen.
Neu – KRITIS-Dachgesetz
Das KRITIS-Dachgesetz sollte bereits 2024 in Kraft treten und verzögert sich um einige Monate.
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) ist im Bund die nationale zuständige Behörde. Diverse weitere Behörden sind für die Betreiber kritischer Anlagen der verschiedenen Sektoren darüber hinaus zuständig.
Die wesentlichen Paragraphen und Regelungsgegenstände sind:
- §8 Registrierungspflicht
- §13 Resilienzplan
- §14 Mindestanforderungen
- §16 Nachweispflicht
Sanktionen und Bußgelder
Es gibt verschiedene Tatbestände, die Ordnungswidrigkeiten darstellen und bis zu 500.000 Euro Bußgeld nach sich ziehen können, z. B. Nichtregistrierung, Zuwiderhandlungen von Anordnungen oder das Nichtübermitteln von Ergebnissen.
In unserem Serviceprozess planen wir für jeden Kunden explizit welchen Mehrwert wir ergänzend zur beauftragten Leistung bieten werden. Das reicht von zusätzlichen Kommunikationskonzepten für die Integration der Sicherheitsmaßnahmen im Unternehmen bis hin zu bestimmten ergänzend erstellten Arbeitsmaterialen zur Erleichterung der Umsetzung.
KRITIS-Dachgesetz Umsetzung
Resilienz ist der Schlüsselbegriff des Dachgesetzes.
Darunter versteht man die Fähigkeit […], einen Vorfall und damit ein […] Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich stört oder stören könnte, zu verhindern.
Konkret bedeutet dies für Unternehmen, sich in die Lage zu versetzen:
- Vorfälle zu verhindern,
- sich davor zu schützen,
- darauf zu reagieren,
- einen solchen abzuwehren,
- die Folgen zu begrenzen,
- einen Vorfall aufzufangen,
- einen Vorfall zu bewältigen
- und sich von einem solchen Vorfall zu erholen.
Wesentliche Pflichten und in Summe als angemessener Schutz gemäß KRITIS-Dachgesetz gilt:
- KRITIS-Anlagen gemäß Schwellenwerten der Kritisverordnung beim BSI melden (auf Basis der Vorjahreszahlen), Formeln zur Berechnung für die Sektoren finden sich aktuell noch in der BSI-Kritisverordnung
- Benennung eines Sicherheitsbeauftragten durch das Unternehmen
- 24/7 Kontaktstelle für das BSI einrichten
- Überwachung aller Maßnahmen durch die Geschäftsleitung
- Sicherheitsvorfälle erkennen und an das BSI melden: Unternehmen müssen einerseits Prozesse einführen, um Sicherheitsvorfälle zuverlässig zu erkennen und einzuordnen. Andererseits müssen definierte Meldewege dokumentiert und in der Unternehmenskultur verfestigt sein, damit ein Sicherheitsvorfall zuverlässig den Weg zum BSI findet. Das ist mehr als die rein technische Ebene und erfordert auch ein entsprechendes Bewusstsein beim zuständigen Personal, eine Fehlerkultur nach innen und eine Aufmerksamkeit für Sicherheitslücken nach außen.
- Anforderung Resilienzplan (Sicherheitsstrategie), Ausführung nach Stand der Technik/Standards
- Schulung der Geschäftsleitung
Übersicht dynamische Gesetzeslage 2024/2025
In der EU regulieren die NIS-2-Richtlinie (Network and Information Systems Directive) und RCE (Resilience on Critical Entities) die Sicherheit Kritischer Infrastrukturen. Beide legen Mindeststandards fest, die ab 2024 in EU-Staaten in nationalen Gesetzen umgesetzt werden müssen. Stichtag für die Umsetzung der EU-Richtlinie in den Mitgliedstaaten ist der 18. Oktober 2024.
In Deutschland sollen die Regulierungen mit dem KRITIS-Dachgesetz und NIS2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt werden.
Das KRITIS-Dachgesetz soll mit einem „All-Gefahren-Ansatz“ die Resilienz der kritischen Infrastrukturen erhöhen und verfolgt sowohl die Abwehr von Naturgefahren als auch den Schutz vor menschlichen Gefährdungen wie etwa Sabotage oder terroristischen Anschlägen.
Das NIS2-Umsetzungsgesetz legt den Fokus auf Informationsschutz und Cybersicherheit.
Beide Gesetzesvorhaben sind bislang untrennbar miteinander verwoben, sodass die Gesetzesentwürfe ohne den anderen Entwurf nicht abschließend bewertet werden können.
Für das KRITIS-Dachgesetz gibt es einen Referentenentwurf aus dem Bundesinnenministerium vom November 2024. Zahlreiche Interessensverbände haben Stellungnahmen zu den bisherigen Entwürfen eingereicht. Es muss daher von einer Inkraftsetzung in 2025 ausgegangen werden.
Das NIS2-Umsetzungsgesetz liegt bislang in einer beschlossenen Kabinettsversion vor und muss die Gesetzgebung noch durchlaufen. Experten rechnen mit einer Inkraftsetzung in 2025.
Da beide Gesetze noch in Abstimmung sind, sind weitere Anpassungen an Kriterien, Pflichten und Maßnahmen nicht auszuschließen.
Es ist von einer Mehrfachregulierung durch die unterschiedlichen Gesetze sowie Doppelzuständigkeiten für betroffene Unternehmen durch die Zuständigkeiten des BSI, BBK, BMI sowie die BNetzA für Energieversorger und weitere Bundes- und Landesbehörden auszugehen.
Energieversorger: Energiewirtschaftsgesetz und KRITIS-Dachgesetz
Für Energieversorger gilt zusätzlich und bisher vorrangig das Energiewirtschaftsgesetz (EnWG). Die zuständige Behörde ist die Bundesnetzagentur. Das aktuelle EnWG wird vorrangig in § 5d durch das KRITIS-Dachgesetz harmonisiert und angepasst: Pflicht zur Umsetzung §13 (Resilienzplan) und §14 (Resilienznachweispflicht). Die Bundesnetzagentur kann ergänzend Sicherheitskataloge mit Mindestanforderungen (Branchenstandard) vorgeben.
NIS-2-Richtlinie
Die EU-Richtline NIS-2 und das deutsche NIS-2-Umsetzungsgesetz (Nis2Um-suCG) enthalten Anforderungen an unter das Gesetz fallende Unternehmen hinsichtlich insbesondere physischer Sicherheit (u. a. Zutrittskontrolle) und Notfallmanagement, analog zu den im Resilienzplan geforderten Maßnahmen und Teilmanagementsystemen.
Bis 2024 ergaben sich durch das IT-Sicherheitsgesetz 2.0 Angaben, welche Unternehmen hinsichtlich Informationssicherheit im besonderen öffentlichen Interesse (UBI) galten. Ein weiterer Faktor war die Art der Güter und des Betriebs, z. B. Rüstung.
Mit der NIS-2-Umsetzung 2024 fallen UBI als eigene Gruppe weg und werden zu besonders wichtigen und wichtigen Einrichtungen gezählt. In Deutschland wird die EU-Richtlinie in Form des NIS2UmsuCG umgesetzt. Die Sektoren für Einrichtungen sind dort in Anlage 1 definiert. Die Zugehörigkeit als Einrichtung hängt von Unternehmensgröße, Teilsektor und Art ab.
Es wird unterschieden in:
- Besonders wichtige Einrichtungen
Großunterehmen mit mindestens 250 Mitarbeitern oder mehr als 50 Mio. Euro Umsatz in den Sektoren, Betreiber kritischer Anlagen - Wichtige Einrichtungen
Mittlere Unternehmen mit mindestens 50 Mitarbeitern oder mehr als 10 Mio. Euro Umsatz.
Kontaktformular
Interessiert an Sicherheitsmanagement?
Kontaktieren Sie uns – wir freuen uns, Ihre Fragen zu beantworten und individuelle Lösungen für Ihr Unternehmen zu entwickeln.
