KRITIS-Schwellenwerte: Definition, Bedeutung & wer sie festlegt

Kritische Infrastrukturen (KRITIS) umfassen die lebenswichtigen Systeme, die das reibungslose Funktionieren unserer Gesellschaft gewährleisten – von der Energieversorgung bis hin zur Gesundheitsversorgung. Damit die Versorgung in diesen Bereichen gesichert bleibt, werden KRITIS-Schwellenwerte festgelegt. Diese Schwellenwerte definieren, ab wann ein Unternehmen oder eine Einrichtung als kritische Infrastruktur gilt und unter besondere Schutz- und Sicherheitsmaßnahmen fällt.

Schwellenwerte sind mehr als nur eine theoretische Grenze: Sie dienen als wichtige Orientierung für Unternehmen und Behörden, um zu erkennen, welche Infrastrukturen durch gesetzliche Vorgaben besonders geschützt werden müssen. Gerade in Zeiten wachsender physischer und digitaler Bedrohungen sorgen Schwellenwerte dafür, dass der Schutz von KRITIS planbar und gezielt umgesetzt wird. Unternehmen, die diese Schwellen überschreiten, tragen eine besondere Verantwortung, ihre physischen und operativen Abläufe sicher zu gestalten und sich gegen Risiken zu wappnen.

Schwellenwerte bei KRITIS: Eine klare Grenze für mehr Sicherheit

Was genau sind Schwellenwerte?

In der Praxis definieren Schwellenwerte, ab wann ein Unternehmen als kritische Infrastruktur gilt. Diese Schwellenwerte sind klar definiert und beziehen sich auf bestimmte Kenngrößen, wie etwa die Anzahl der versorgten Menschen, den Energieoutput eines Kraftwerks oder die Anzahl der jährlich behandelten Patienten in einem Krankenhaus. Erreicht oder überschreitet ein Unternehmen diese festgelegten Schwellen, ist es verpflichtet, zusätzliche Schutzmaßnahmen zu implementieren.

Diese Schwellenwerte sind nicht willkürlich festgelegt, sondern basieren auf umfassenden Risikoanalysen und praktischen Erfahrungen. Sie sollen sicherstellen, dass diejenigen Infrastrukturen, deren Ausfall erhebliche Auswirkungen auf die Gesellschaft hätte, durch strengere Sicherheitsvorschriften besonders geschützt werden.

Beispiele für Schwellenwerte in verschiedenen Sektoren

Schwellenwerte variieren je nach Branche und definieren klar, ab wann ein Unternehmen als KRITIS-relevant gilt. In der Energieversorgung ist beispielsweise die installierte Leistung eines Kraftwerks entscheidend. Wird eine bestimmte Kapazität überschritten, müssen zusätzliche Sicherheitsvorkehrungen getroffen werden. Im Telekommunikationssektor spielt die Anzahl der versorgten Anschlüsse eine zentrale Rolle – ab einem bestimmten Volumen greifen hier besondere Schutzvorgaben. Im Gesundheitswesen sind es vor allem die Behandlungskapazitäten von Kliniken, die maßgeblich für die Einstufung als KRITIS sind. Sobald ein Krankenhaus eine bestimmte Anzahl von Patienten pro Jahr betreut, wird es als besonders schützenswert eingestuft und unterliegt speziellen Vorgaben.

Unterschiede zwischen Deutschland und anderen Ländern

In Deutschland ist der Umgang mit KRITIS klar durch die Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz geregelt. Hier sind die Schwellenwerte und Sicherheitsanforderungen eindeutig festgelegt, und der Ansatz zielt auf eine umfassende Absicherung der kritischen Infrastrukturen im gesamten Land ab. Im Vergleich dazu setzen Länder wie die USA oder Großbritannien oft auf sektorspezifische Regelungen, die stärker auf die spezifischen Risiken und Anforderungen einzelner Branchen zugeschnitten sind. Während der deutsche Ansatz systematisch und auf den Schutz der Gesellschaft als Ganzes ausgerichtet ist, orientieren sich andere Länder flexibler an den Bedürfnissen einzelner Sektoren. Auf europäischer Ebene wird mit der NIS2-Richtlinie an einer Harmonisierung der KRITIS-Regeln gearbeitet, um ein einheitliches und hohes Schutzniveau innerhalb der EU zu schaffen.

Wer legt die KRITIS-Schwellenwerte fest und warum sind sie wichtig?

Die Rolle des Gesetzgebers

Die Verantwortung für die Festlegung und Durchsetzung der KRITIS-Schwellenwerte liegt beim Gesetzgeber, insbesondere durch das IT-Sicherheitsgesetz und die KRITIS-Verordnung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spielt hierbei eine Schlüsselrolle. Während der Fokus des BSI oft auf der IT-Sicherheit liegt, rückt auch der Schutz vor physischen Bedrohungen zunehmend in den Vordergrund. Denn nicht nur Cyberangriffe, sondern auch physische Angriffe oder Naturkatastrophen können zu schwerwiegenden Störungen führen.

Warum Schwellenwerte festgelegt werden

Schwellenwerte werden nicht zufällig gesetzt, sondern basieren auf einer detaillierten Analyse der potenziellen Risiken und der Folgen, die ein Ausfall dieser Infrastrukturen hätte. Sie sollen sicherstellen, dass die Unternehmen, die eine besonders hohe Verantwortung für das Funktionieren der Gesellschaft tragen, sich proaktiv auf Gefahren vorbereiten. So können bereits im Vorfeld Notfallpläne erstellt und Schutzmechanismen implementiert werden, um den Betrieb auch in Krisensituationen sicherzustellen.

Was passiert, wenn die Schwellenwerte überschritten werden?

Werden KRITIS‑Schwellenwerte überschritten, müssen Unternehmen zusätzliche Sicherheitsmaßnahmen umsetzen und mit behördlicher Aufsicht rechnen, während Verstöße zu Bußgeldern, Reputationsschäden und im Extremfall zu Betriebsuntersagungen führen können.

• Unternehmen müssen ihre Sicherheitsprozesse anpassen, technische und organisatorische Schutzmaßnahmen nachrüsten und relevante Vorfälle an das BSI melden.​
• Sie sind verpflichtet, regelmäßige Prüfungen und Nachweise über die Wirksamkeit dieser Maßnahmen zu erbringen.​
• Bei Nichterfüllung drohen aufsichtsrechtliche Maßnahmen, Bußgelder sowie vertragliche und haftungsrechtliche Folgen.​
• Zusätzlich kann negative Berichterstattung das Vertrauen von Kunden, Partnern und Öffentlichkeit dauerhaft beeinträchtigen.​

Warum Unternehmen jetzt handeln sollten

Die Einstufung als kritische Infrastruktur ist kein Nachteil, sondern eine Chance, das Vertrauen der Öffentlichkeit in das eigene Unternehmen zu stärken. Unternehmen, die die KRITIS-Schwellenwerte überschreiten, haben die Verantwortung, nicht nur gesetzliche Anforderungen zu erfüllen, sondern auch die Sicherheit und Kontinuität ihrer Dienstleistungen zu gewährleisten.

Mit den kommenden Anpassungen in der Gesetzgebung, insbesondere durch die NIS2-Richtlinie, wird die Sicherheit kritischer Infrastrukturen weiter in den Fokus rücken. Unternehmen sollten die Chance nutzen, sich frühzeitig mit diesen Entwicklungen vertraut zu machen und ihre Sicherheitsstrategien entsprechend anzupassen. Denn der Schutz kritischer Infrastrukturen ist ein kontinuierlicher Prozess, der auf Prävention, Vertrauen und Verantwortung basiert. Wer sich jetzt um Sicherheit kümmert, sichert nicht nur seine eigene Zukunft, sondern trägt auch maßgeblich zum Schutz der Gesellschaft bei.