Kritische Infrastrukturen (KRITIS) umfassen die lebenswichtigen Systeme, die das reibungslose Funktionieren unserer Gesellschaft gewährleisten – von der Energieversorgung bis hin zur Gesundheitsversorgung. Damit die Versorgung in diesen Bereichen gesichert bleibt, werden KRITIS-Schwellenwerte festgelegt. Diese Schwellenwerte definieren, ab wann ein Unternehmen oder eine Einrichtung als kritische Infrastruktur gilt und unter besondere Schutz- und Sicherheitsmaßnahmen fällt.
Schwellenwerte sind mehr als nur eine theoretische Grenze: Sie dienen als wichtige Orientierung für Unternehmen und Behörden, um zu erkennen, welche Infrastrukturen durch gesetzliche Vorgaben besonders geschützt werden müssen. Gerade in Zeiten wachsender physischer und digitaler Bedrohungen sorgen Schwellenwerte dafür, dass der Schutz von KRITIS planbar und gezielt umgesetzt wird. Unternehmen, die diese Schwellen überschreiten, tragen eine besondere Verantwortung, ihre physischen und operativen Abläufe sicher zu gestalten und sich gegen Risiken zu wappnen.
Schwellenwerte bei KRITIS: Eine klare Grenze für mehr Sicherheit
Was genau sind Schwellenwerte?
In der Praxis definieren Schwellenwerte, ab wann ein Unternehmen als kritische Infrastruktur gilt. Diese Schwellenwerte sind klar definiert und beziehen sich auf bestimmte Kenngrößen, wie etwa die Anzahl der versorgten Menschen, den Energieoutput eines Kraftwerks oder die Anzahl der jährlich behandelten Patienten in einem Krankenhaus. Erreicht oder überschreitet ein Unternehmen diese festgelegten Schwellen, ist es verpflichtet, zusätzliche Schutzmaßnahmen zu implementieren.
Diese Schwellenwerte sind nicht willkürlich festgelegt, sondern basieren auf umfassenden Risikoanalysen und praktischen Erfahrungen. Sie sollen sicherstellen, dass diejenigen Infrastrukturen, deren Ausfall erhebliche Auswirkungen auf die Gesellschaft hätte, durch strengere Sicherheitsvorschriften besonders geschützt werden.
Beispiele für Schwellenwerte in verschiedenen Sektoren
Schwellenwerte variieren je nach Branche und definieren klar, ab wann ein Unternehmen als KRITIS-relevant gilt. In der Energieversorgung ist beispielsweise die installierte Leistung eines Kraftwerks entscheidend. Wird eine bestimmte Kapazität überschritten, müssen zusätzliche Sicherheitsvorkehrungen getroffen werden. Im Telekommunikationssektor spielt die Anzahl der versorgten Anschlüsse eine zentrale Rolle – ab einem bestimmten Volumen greifen hier besondere Schutzvorgaben. Im Gesundheitswesen sind es vor allem die Behandlungskapazitäten von Kliniken, die maßgeblich für die Einstufung als KRITIS sind. Sobald ein Krankenhaus eine bestimmte Anzahl von Patienten pro Jahr betreut, wird es als besonders schützenswert eingestuft und unterliegt speziellen Vorgaben.
Unterschiede zwischen Deutschland und anderen Ländern
In Deutschland ist der Umgang mit KRITIS klar durch die Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz geregelt. Hier sind die Schwellenwerte und Sicherheitsanforderungen eindeutig festgelegt, und der Ansatz zielt auf eine umfassende Absicherung der kritischen Infrastrukturen im gesamten Land ab. Im Vergleich dazu setzen Länder wie die USA oder Großbritannien oft auf sektorspezifische Regelungen, die stärker auf die spezifischen Risiken und Anforderungen einzelner Branchen zugeschnitten sind. Während der deutsche Ansatz systematisch und auf den Schutz der Gesellschaft als Ganzes ausgerichtet ist, orientieren sich andere Länder flexibler an den Bedürfnissen einzelner Sektoren. Auf europäischer Ebene wird mit der NIS2-Richtlinie an einer Harmonisierung der KRITIS-Regeln gearbeitet, um ein einheitliches und hohes Schutzniveau innerhalb der EU zu schaffen.
Wer legt die KRITIS-Schwellenwerte fest und warum sind sie wichtig?
Die Rolle des Gesetzgebers
Die Verantwortung für die Festlegung und Durchsetzung der KRITIS-Schwellenwerte liegt beim Gesetzgeber, insbesondere durch das IT-Sicherheitsgesetz und die KRITIS-Verordnung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spielt hierbei eine Schlüsselrolle. Während der Fokus des BSI oft auf der IT-Sicherheit liegt, rückt auch der Schutz vor physischen Bedrohungen zunehmend in den Vordergrund. Denn nicht nur Cyberangriffe, sondern auch physische Angriffe oder Naturkatastrophen können zu schwerwiegenden Störungen führen.
Warum Schwellenwerte festgelegt werden
Schwellenwerte werden nicht zufällig gesetzt, sondern basieren auf einer detaillierten Analyse der potenziellen Risiken und der Folgen, die ein Ausfall dieser Infrastrukturen hätte. Sie sollen sicherstellen, dass die Unternehmen, die eine besonders hohe Verantwortung für das Funktionieren der Gesellschaft tragen, sich proaktiv auf Gefahren vorbereiten. So können bereits im Vorfeld Notfallpläne erstellt und Schutzmechanismen implementiert werden, um den Betrieb auch in Krisensituationen sicherzustellen.
Bedeutung für Unternehmen: Was passiert, wenn die Schwellenwerte überschritten werden?
Verpflichtungen und Sicherheitsmaßnahmen
Für Unternehmen, die die Schwellenwerte überschreiten und damit als KRITIS-relevant gelten, ergeben sich konkrete Verpflichtungen. Es geht nicht mehr nur um freiwillige Sicherheitsmaßnahmen, sondern um gesetzlich vorgeschriebene Vorgaben, die den Schutz der physischen Infrastruktur betreffen. Dazu zählen:
- Regelmäßige Sicherheitsüberprüfungen: Unternehmen müssen sicherstellen, dass ihre physischen Anlagen regelmäßig auf Sicherheitslücken geprüft werden.
- Risikomanagement und Notfallpläne: Unternehmen müssen Risiken identifizieren und entsprechende Maßnahmen ergreifen, um im Ernstfall vorbereitet zu sein.
- Meldepflichten: Bei sicherheitsrelevanten Vorfällen, wie etwa Angriffen oder Störungen, besteht eine Pflicht zur Meldung an das BSI. Diese Maßnahmen dienen nicht nur dem Selbstschutz, sondern auch dem Schutz der gesamten Gesellschaft.
Konsequenzen bei Nichteinhaltung
Unternehmen, die diese Vorschriften nicht einhalten, riskieren ernsthafte Konsequenzen. Neben hohen Bußgeldern und strafrechtlichen Sanktionen drohen auch Reputationsschäden, die das Vertrauen von Kunden und Partnern nachhaltig erschüttern können. Im schlimmsten Fall kann es sogar zur Schließung von kritischen Teilen der Infrastruktur kommen, bis die Sicherheitsanforderungen erfüllt sind. Daher ist es für Unternehmen entscheidend, sich proaktiv mit den Anforderungen auseinanderzusetzen und notwendige Maßnahmen frühzeitig umzusetzen.
Warum Unternehmen jetzt handeln sollten
Die Einstufung als kritische Infrastruktur ist kein Nachteil, sondern eine Chance, das Vertrauen der Öffentlichkeit in das eigene Unternehmen zu stärken. Unternehmen, die die KRITIS-Schwellenwerte überschreiten, haben die Verantwortung, nicht nur gesetzliche Anforderungen zu erfüllen, sondern auch die Sicherheit und Kontinuität ihrer Dienstleistungen zu gewährleisten.
Mit den kommenden Anpassungen in der Gesetzgebung, insbesondere durch die NIS2-Richtlinie, wird die Sicherheit kritischer Infrastrukturen weiter in den Fokus rücken. Unternehmen sollten die Chance nutzen, sich frühzeitig mit diesen Entwicklungen vertraut zu machen und ihre Sicherheitsstrategien entsprechend anzupassen. Denn der Schutz kritischer Infrastrukturen ist ein kontinuierlicher Prozess, der auf Prävention, Vertrauen und Verantwortung basiert. Wer sich jetzt um Sicherheit kümmert, sichert nicht nur seine eigene Zukunft, sondern trägt auch maßgeblich zum Schutz der Gesellschaft bei.
