KRITIS
Resilienz kritischer Einrichtungen und Anlagen
Mit dem KRITIS-Dachgesetz wurde ein einheitlicher und rechtlich verbindlicher Schutz für kritische Infrastrukturen im gesamten Bundesgebiet geschaffen. Rechtsgrundlage ist die notwendige Umsetzung der EU-Richtlinie 2022/2557 (CER-Richtlinie). Zudem ändert und ergänzt das Dachgesetz verschiedene bestehende Gesetze und Verordnungen.
Mit dem Gesetz wird bundesweit festgelegt, welche Unternehmen und Einrichtungen Teil der kritischen Infrastruktur sind. Die Einrichtung muss hierzu essenziell für die Gesamtversorgung in Deutschland sein und mehr als 500.000 Personen versorgen.
Kritische Anlagen folgender Sektoren sind vom KRITIS-Dachgesetz betroffen:
- Energie
- Transport und Verkehr
- Finanzwesen
- Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
- Gesundheitswesen
- Wasser
- Ernährung
- Informationstechnik und Telekommunikation
- Weltraum
- Siedlungsabfallentsorgung
Betreiber dieser Anlagen sind zur Registrierung im BSI-Portal verpflichtet. Zudem müssen Sicherheitsvorfälle innerhalb klar definierter Fristen an die zuständigen Behörden gemeldet werden. Spätestens einen Monat nach Kenntnis des Vorfalls ist ein ausführlicher Bericht zu übermitteln. Die Meldungen müssen dabei die zu ihrem Zeitpunkt verfügbaren Informationen enthalten, die erforderlich sind, damit Art, Ursache und mögliche, auch grenzüberschreitende, Auswirkungen und Folgen des Vorfalls ermittelt und nachvollzogen werden können. Das sind insbesondere diese Angaben:
- Anzahl und Anteil der von dem Vorfall Betroffenen
- bisherige und voraussichtliche Dauer des Vorfalls
- betroffenes geografisches Gebiet des Vorfalls, unter Berücksichtigung des Umstands, ob das Gebiet geografisch isoliert ist
Mithilfe dieser Meldungen erstellt das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe regelmäßige und anlassbezogene Lagebilder zur Situation der kritischen Anlagen und stellt diese den zuständigen Behörden, den benannten Landesbehörden, den zuständigen Stellen, den Betreibern und weiteren betroffenen Adressaten sowie ggf. der Öffentlichkeit zur Verfügung.
Im Bedarfsfall, mindestens jedoch alle vier Jahre, haben Betreiber kritischer Anlagen eine Risikoanalyse und Risikobewertung durchzuführen. Dabei müssen verschiedene Risiken, die geeignet sein können, die Verfügbarkeit der kritischen Dienstleistungen entscheidend zu beeinträchtigen, berücksichtigt werden:
- naturbedingte, technische oder menschlich verursachte Risiken
- Abhängigkeiten von anderen Betreibern kritischer Anlagen – auch in anderen Sektoren und in benachbarten EU-Mitgliedstaaten sowie Drittstaaten
- Abhängigkeiten anderer Sektoren – auch in benachbarten EU-Mitgliedstaaten sowie Drittstaaten – von der Dienstleistung des Betreibers der kritischen Anlage
Grundlage für die Bewertung sind wiederum nationale Risikoanalysen und Risikobewertungen, die von den zuständigen staatlichen Stellen erarbeitet und den Betreibern zur Verfügung gestellt werden.
Zudem sind die Betreiber verpflichtet, verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Gewährleistung ihrer Resilienz zu treffen, um
- das Auftreten von Vorfällen zu verhindern,
- einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen zu gewährleisten,
- auf Vorfälle zu reagieren, sie abzuwehren und die negativen Auswirkungen solcher Vorfälle zu begrenzen und
- nach Vorfällen die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten.
Diese Maßnahmen sind – bezugnehmend auf die Risikoanalyse und Risikobewertung – in einem regelmäßig aktualisierten Resilienzplan darzustellen.
Darüber hinaus wird die Bundesregierung eine Strategie zur Verbesserung der Resilienz kritischer Infrastrukturen erarbeiten.