Kritische Infrastrukturen - Infrastrukturen mit wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen

Beschreibung

Infrastrukturen

Anlagen
Systeme
oder Teile davon

Störungen mit erheblichen Auswirkungen

Wirtschaftliches/soziales Wohlergehen der Bevölkerung

Allgemeines

Definition KRITIS: Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.

Infrastrukturen sind jedermann zugängliche staatliche oder private Anlagen oder Einrichtungen, die in einem festgelegten organisatorischen und/oder geografischen Bereich Dienstleistungen zur Verfügung stellen

Dazu gehören auch die ablaufenden Prozesse, die eingesetzte Informationstechnik sowie die tätigen Arbeitskräfte

Kritische Infrastrukturen sind dementsprechend „Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“
„Kritisch“ bezieht sich auf die Systemrelevanz der Infrastrukturen, also auf die für das Gesamtsystem und die Daseinsvorsorge besonders bedeutsamen Einrichtungen

Es bedarf auch des Schutzes Kritischer Informationsinfrastrukturen (, CIIP). „Kritisch“ meint hierbei nicht, dass die Eintrittswahrscheinlichkeit von Störungen hoch ist

Es ist vielmehr so zu verstehen, dass Störungen oder Ausfälle weitreichende Folgen bis hin zu katastrophalen Auswirkungen für Staat, Wirtschaft und/oder große Teile der Bevölkerung haben können

Entwicklung

Das Bewusstsein über die Konzentration auf Kritische Infrastrukturen entstand erst im Juli 1996 in den USA, als dort politische Entscheidungen getroffen und Maßnahmen ergriffen wurden, die auf deren Schutz abzielten

Nach dem Bombenanschlag auf das Murrah Federal Building in Oklahoma City im April 1995 schlug Janet Reno, Attorney General unter Präsident Bill Clinton, eine Kommission vor, die sich mit der Verwundbarkeit der USA durch Angriffe auf unverzichtbare Einrichtungen befassen sollte
Das Gremium hieß offiziell „Presidential Commission on Critical Infrastructure Protection (PCCIP)“ und machte im Oktober 1997 darauf aufmerksam, dass das Hauptaugenmerk auf das Internet zu legen sei, weil Hacker Kritische Infrastrukturen hierüber lahmlegen könnten

Sektoren

Sektoren Kritischer Infrastrukturen

Energie
Informationstechnik und Telekommunikation
Transport und Verkehr
Gesundheit
Medien und Kultur
Wasser
Ernährung
Finanz- und Versicherungswesen
Siedlungsabfallentsorgung
Staat und Verwaltung

Alle Organisationen aus diesen Sektoren zählen unabhängig von ihrer Größe zu den Kritischen Infrastrukturen (KRITIS)

Die Sektoren Staat und Verwaltung sowie Medien und Kultur unterliegen jedoch nicht der Regulierung durch das BSIG

Arten

Kritische Infrastrukturen setzen sich zusammen aus technischen Basisinfrastrukturen und sozioökonomischen Infrastrukturen

Technische Basisinfrastrukturen gewährleisten die

Energieversorgung
Trinkwasserversorgung sowie Abwasserentsorgung und
ermöglichen Informationsaustausch, Kommunikation sowie
Transport und Verkehr bis hin zu
Absatz- und Lieferketten

Sozioökonomische Infrastrukturen betreffen

Teilweise sind sie interdependent wie beispielsweise Transport und Nahrungsmittelversorgung (Lieferketten)

Rechtsfragen

Im Sinne der Vorlage:EU-Richtlinie ist eine Kritische Infrastruktur eine Anlage, ein System oder ein Teil davon, die von wesentlicher Bedeutung für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, der Gesundheit, der Sicherheit und des wirtschaftlichen oder sozialen Wohlergehens der Bevölkerung sind und deren Störung oder Zerstörung erhebliche Auswirkungen hätte, da ihre Funktionen nicht aufrechterhalten werden könnten

Die CER-Richtlinie (EU 2022/2557) reguliert die Resilienz bei Kritischen Infrastrukturen in der EU durch Maßnahmen in Unternehmen und staatliche Aufsicht Die NIS-2-Richtlinie weitet Cybersicherheitsvorgaben auf mehr Sektoren und mehr Unternehmen aus

Situation in Deutschland

In Deutschland erscheinen Kritische Infrastrukturen als Rechtsbegriff erstmals im Dezember 2008 im Raumordnungsgesetz (ROG)

Danach ist es einer der Grundsätze der Raumordnung, dass nach Vorlage:§ Abs. 2 Nr. 3 ROG dem Schutz Kritischer Infrastrukturen Rechnung zu tragen ist
In den Bereich des Schutzes Kritischer Infrastrukturen fällt auch die Versorgung von Schlüsselindustrien, deren Beeinträchtigung unmittelbar schwerwiegende Störungen der Versorgungslage nach sich ziehen würde

Dabei gilt als Maß für die Bedeutung einer Infrastruktur im Hinblick auf ihre Systemfunktionalität die „Kritikalität von Infrastrukturen“

Kritische Infrastrukturen im Sinne des Vorlage:§ Abs. 10 BSI-Gesetz sind Einrichtungen, Anlagen oder Teile davon, die den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen angehören und von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden

Die Betreiber Kritischer Infrastrukturen sind gemäß Vorlage:§ Abs. 1 BSI-Gesetz verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind

Das Bundesministerium des Innern bestimmte gemäß Vorlage:§ Abs. 1 BSI-Gesetz durch Rechtsverordnung näher, welche Einrichtungen, Anlagen oder Teile davon als Kritische Infrastrukturen im Sinne dieses Gesetzes gelten
Diese Rechtsverordnung ist die BSI-KritisV (Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz, BSI-Kritisverordnung), die folgende sieben Sektoren als Kritische Infrastrukturen identifiziert

Energie: Elektrizität, Gas, Mineralöl, Fernwärme (Vorlage:§ BSI-KritisV)
Wasser: Öffentliche Wasserversorgung, öffentliche Abwasserbeseitigung (Vorlage:§ BSI-KritisV)
Ernährung: Ernährungswirtschaft, Lebensmittelhandel (Vorlage:§ BSI-KritisV)
Informationstechnik und Telekommunikation (Vorlage:§ BSI-KritisV)
Gesundheit: Medizinische Versorgung, Arzneimittel und Impfstoffe, Labore (Vorlage:§ BSI-KritisV)
Finanz- und Versicherungswesen: Kreditinstitute, Börsen, Versicherungen, Finanzdienstleister (Vorlage:§ BSI-KritisV)
Transport und Verkehr: Luftfahrt, Seeschifffahrt, Binnenschifffahrt, Schienenverkehr, Straßenverkehr, Logistik (Vorlage:§ BSI-KritisV)

Zusätzlich rechnet das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe folgende Kritische Infrastrukturen hinzu

Staat und Verwaltung: Regierung und Verwaltung, Parlament, Justizeinrichtungen, Notfall-/Rettungswesen einschließlich Katastrophenschutz sowie
Medien und Kultur: Rundfunk (Fernsehen und Radio), gedruckte und elektronische Presse, Kulturgut und symbolträchtige Bauwerke

Die beiden letzten Sektoren sind nicht Bestandteil der BSI-KritisV

Mit dem im Mai 2021 verabschiedeten IT-Sicherheitsgesetz 2.0 und den damit verbundenen Änderungen des BSI-Gesetzes tritt ein weiterer Kritis-Sektor hinzu

Siedlungsabfallentsorgung

Das Bundesamt für Sicherheit in der Informationstechnik nennt somit zehn Kritische Infrastrukturen

Zudem wird ebenfalls die neue Kategorie „Unternehmen in besonderen öffentlichen Interesse“ (UBI) eingeführt

Darunter fallen beispielsweise Rüstungs- und Chemieunternehmen sowie die größten deutschen Konzerne, inkl. deren wesentliche Zulieferer Medial wird die neu geschaffene Kritis-Kategorie häufig auch als „Quasi-Kritis“ oder „Kritis-Light“ bezeichnet, da die gesetzlichen Anforderungen an „Unternehmen in besonderen öffentlichen Interesse“ zwar substanziell aber im Vergleich zu Betreibern Kritischer Infrastrukturen gemäß der BSI-KritisV weniger weitreichend sind

Das Kritis-Dachgesetz soll ab 2024 die CER-Richtlinie umsetzen, und das NIS2-Umsetzungsgesetz soll die NIS2-Richtlinie umsetzen

Wirtschaftliche Aspekte

Aufgrund der Vernetzung Kritischer Infrastrukturen sowohl sektorübergreifend als auch grenzüberschreitend bestehen starke, nicht-lineare Interdependenzen

Dies kann dazu führen, dass sich eine Störung von einem Betreiber einer Kritischen Infrastruktur durch Kaskadeneffekt auf andere Betreiber ausbreitet und somit die Bevölkerung gefährdet
Betreiber ist nach Vorlage:§ Nr. 2 BSI-KritisV eine natürliche oder juristische Person, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf die Beschaffenheit und den Betrieb einer Anlage oder Teilen davon ausübt

Anhang

Siehe auch

Links

Weblinks

TMP

Sektoren Kritischer Infrastrukturen

Energie
Informationstechnik und Telekommunikation
Transport und Verkehr
Gesundheit
Medien und Kultur
Wasser
Ernährung
Finanz- und Versicherungswesen
Siedlungsabfallentsorgung
Staat und Verwaltung

Alle Organisationen aus diesen Sektoren zählen unabhängig von ihrer Größe zu den Kritischen Infrastrukturen (KRITIS).

Die Sektoren Staat und Verwaltung sowie Medien und Kultur unterliegen jedoch nicht der Regulierung durch das BSIG.

Durch das BSIG regulierte KRITIS-Sektoren

Gemäß § 2 Absatz 10 BSIG sind Kritische Infrastrukturen im Sinne dieses Gesetzes Einrichtungen, Anlagen oder Teile davon, die den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen sowie Siedlungsabfallentsorgung angehören und von hoher Bedeutung für das Funktionieren des Gemeinwesens sind, weil durch ihren Ausfall oder ihre Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit eintreten würden. Die Kritischen Infrastrukturen im Sinne dieses Gesetzes werden durch die Rechtsverordnung nach § 10 Absatz 1 BSIG (BSI-Kritisverordnung) näher bestimmt:

BSI-Kritisverordnung definiert kritische Dienstleistungen und Schwellenwerte

Welche Einrichtungen, Anlagen oder Teile davon wegen ihrer Bedeutung für die Versorgung der Bevölkerung und damit für das Funktionieren des Gemeinwesens als Kritische Infrastrukturen im Sinne des BSIG gelten, wird durch die BSI-Kritisverordnung definiert. Ob ein bedeutender Versorgungsgrad vorliegt, ist vom Erreichen oder Überschreiten von in der BSI-Kritisverordnung aufgeführten Schwellenwerten abhängig. Werden diese Schwellenwerte erreicht oder überschritten, gelten für KRITIS-Betreiber die gesetzlichen Melde- und Nachweispflichten des BSIG.

Auch wenn Ihre Anlagen die Schwellenwerte der BSI-Kritisverordnung unterschreiten, empfehlen wir Ihnen die Teilnahme am UP KRITIS

Ergänzende Informationen auf der Website des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK)

Internetseiten des BBK zum Schutz Kritischer Infrastrukturen