Von der Strom- und Wasserversorgung über die Ernährung bis zum Zahlungsverkehr – kritische Infrastrukturen (KRITIS) sind für unser Gemeinwesen unverzichtbar. Jede und jeder Einzelne ist im Alltag auf sie angewiesen. Sie sichern die Handlungsfähigkeit staatlicher Institutionen und sind Voraussetzung für gesellschaftliches Zusammenleben und das Funktionieren unserer Wirtschaft. Ausfälle und Störungen der kritischen Infrastrukturen können zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit und Ordnung führen.

Der Schutz unserer kritischen Infrastrukturen hat eine besondere Priorität. Vorfälle gefährden nicht nur die Versorgung der Bevölkerung, sie können außerdem einen hohen wirtschaftlichen Schaden verursachen. Allein durch Hochwasser und Überschwemmungen in Folge von Starkregen entstanden zum Beispiel an Gebäuden, Verkehr, Industrie, Gewerbe und Lieferketten seit dem Jahr 2000 Schäden in Höhe von mindestens 70 Milliarden Euro. Ziel des Gesetzes ist deshalb die Erhöhung der Widerstandsfähigkeit der für die Versorgungsicherheit der Bevölkerung essentiellen KRITIS, also die Aufrechterhaltung des Betriebs auch bei Vorfällen.

Durch Resilienzmaßnahmen sollen Vorfälle weitmöglich verhindert werden, auf diese besser reagiert, negative Auswirkungen wie Folgekosten begrenzt oder die zügige Wiederherstellung der kritischen Dienstleistung gewährleistet werden. Das KRITIS-Dachgesetz soll bestehende Regelungen nicht ersetzen, sondern durch staatliche und betreiberseitige Risikoanalysen Lücken und Schwachstellen aufzeigen. So können diese durch sektorübergreifende Mindestanforderungen sowie spezifische Regelungen geschlossen werden.

Schon jetzt leistet der Staat vieles beim KRITIS-Schutz. Unsere Sicherheitsbehörden bewerten die Sicherheitslage fortlaufend, informieren und sensibilisieren Unternehmen regelmäßig und anlassbedingt. Und die Landespolizeien handeln im Rahmen der Gefahrenabwehr ebenfalls zum Schutz von KRITIS. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) unterstützt Staat und Betreiber beim Schutz kritischer Infrastrukturen durch Leitfäden und Empfehlungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist als Cybersicherheitsbehörde des Bundes zuständig für die Cybersicherheit von KRITIS-Anlagen nach BSI-Gesetz.

Die Unternehmen selbst tun ebenfalls bereits viel für den physischen Schutz ihrer Einrichtungen sowie um ihren Betrieb zu gewährleisten und investieren in Maßnahmen zum physischen Schutz ihrer Anlagen, etwa vor umweltbedingten Schäden oder gegen Sabotage. Mit dem KRITIS-Dachgesetz werden erstmalig die Verantwortlichkeiten und das Zusammenwirken der verschiedenen Akteure beim KRITIS-Schutz festgeschrieben.

Kritische Infrastrukturen können durch viele verschiedene Umstände gefährdet werden – vom menschlichen Versagen über klimabedingte Katastrophen bis hin zu hybriden Bedrohungen, Terrorismus oder Sabotage. Deshalb muss ein All-Gefahrenansatz zugrunde gelegt werden, der auf den Schutz vor Gefahren aller Art zielt. Der Brandanschlag auf die Energieinfrastruktur zur Versorgung des Tesla-Werks in Grünheide hatte zum Beispiel erhebliche Auswirkungen auf das dortige Logistikzentrum einer großen Supermarktkette, die 500 Märkte in der Region versorgt und über keine ausreichende Notstromversorgung verfügte. Solche Interdependenz verschiedener Sektoren zeigen, wie notwendig es ist, Risikoanalysen zu erstellen und darauf aufbauende Maßnahmen umzusetzen.

Um passgenaue Maßnahmen vornehmen zu können, unterstützten staatliche Risikobewertungen die KRITIS-Betreiber bei der Bewertung der jeweiligen Risiken für die jeweils eigenen kritischen Anlagen. Von den Betreibern werden verhältnismäßige Maßnahmen verlangt, also können sie eine Abwägung von Zweck und Mittel vornehmen unter Berücksichtigung auch wirtschaftlicher Aspekte. Von der Wirtschaft erarbeitete Branchenstandards sollen bei der Frage, welche mögliche Maßnahmen geeignet und verhältnismäßig sein können, Orientierung geben. Darüber hinaus müssen Betreiber erhebliche Vorfälle, also Ausfälle oder Beeinträchtigungen bei ihren kritischen Dienstleistungen, dem BBK melden.

Bereits heute sind KRITIS-Betreiber verpflichtet, IT-Sicherheitsvorfälle dem BSI zu melden. In Zukunft werden sie Vorfälle – sei es IT-Sicherheitsvorfälle oder solche mit physischem Bezug – über ein gemeinsames Online-Portal des BBK und des BSI melden. Die Meldung von Vorfällen ermöglicht ein Lagebild zur Situation der kritischen Infrastrukturen in Deutschland – und in Europa, da Vorfälle mit grenzüberschreitender Bedeutung auch an andere EU-Mitgliedstaaten weitergeleitet werden. Dadurch werden Entwicklungen und Abhängigkeiten der einzelnen kritischen Infrastrukturen deutlicher und es können in der Folge weitere oder veränderte Maßnahmen getroffen werden, um die Resilienz der KRITIS weiter zu stärken.

Das KRITIS-Dachgesetz stellt die Weichen für einen umfangreichen Prozess zu einer besseren Widerstandsfähigkeit unserer KRITIS. Aufgrund der großen Unterschiede zwischen den einzelnen Sektoren und den einzelnen Anlagen können Konkretisierungen nur in den weiteren Prozessen erfolgen: Ein Strommast erfordert andere Maßnahmen zu seinem Schutz als ein Krankenhaus oder eine Anlage, die in einer durch Hochwasser bedrohten Gegend liegt. Von der Wirtschaft erarbeitete Branchenstandards sollen bedarfsgerechte Orientierung geben.

Auch auf europäischer Ebene wird die Bedeutung der Stärkung der physischen Resilienz von kritischen Infrastrukturen erkannt. Die EU-Richtlinie über die Resilienz kritischer Einrichtungen (sog. CER-Richtlinie) wurde Ende 2022 beschlossen und wird mit dem KRITIS-Dachgesetz in nationales Recht umgesetzt. Damit wird ein EU-weit einheitliches Mindestniveau für den physischen Schutz von KRITIS gewährleistet und die EU-weite Zusammenarbeit in diesem Bereich gestärkt.