KRITIS
Kritische Infrastrukturen
Critical Infrastructure
KRITIS bezeichnet Organisationen und Einrichtungen mit wesentlicher Bedeutung für das staatliche Gemeinwesen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit zur Folge hätte. In Deutschland sind die betroffenen Sektoren und Schwellenwerte über das BSI-Gesetz und die BSI-Kritisverordnung (BSI-KRITISV) definiert. Mit NIS2 wurde der Kreis regulierter Einrichtungen weit über den klassischen KRITIS-Begriff hinaus ausgedehnt.
Historie. Der KRITIS-Schutz in Deutschland nahm mit dem IT-Sicherheitsgesetz von 2015 und der darauf folgenden BSI-Kritisverordnung konkrete Form an. Maßgeblich war ein Schwellenwertprinzip: Anlagen gelten als kritisch, wenn sie einen Versorgungsgrad oberhalb definierter Grenzen erreichen, klassisch orientiert an der Versorgung von 500.000 Personen. Das IT-Sicherheitsgesetz 2.0 (2021) verschärfte Pflichten und führte u. a. Systeme zur Angriffserkennung verbindlich ein.
Fakten. Die KRITIS-Sektoren umfassen u. a. Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung sowie Staat und Verwaltung. Betreiber müssen angemessene technische und organisatorische Vorkehrungen nach dem Stand der Technik treffen, Systeme zur Angriffserkennung betreiben und erhebliche Störungen an das BSI melden. NIS2 und das parallele KRITIS-Dachgesetz (physische Resilienz) erweitern und schichten diese Pflichten neu.
Ausblick & Empfehlung. Die Grenze zwischen „KRITIS“ und „normalem Mittelstand“ verschwimmt: Über NIS2 fallen nun viele Unternehmen unter vergleichbare Pflichten, ohne sich je als kritische Infrastruktur verstanden zu haben. Sinnvoll ist zuerst eine saubere Betroffenheitsanalyse — Sektor, Schwellenwert, Einrichtungstyp — und erst danach der Maßnahmenplan. Gerade Energieversorger und kommunale Betriebe sind ein Kernfeld der NEOSEC-Praxis.