KRITIS (Kritische Infrastrukturen)

Definition:

KRITIS steht für Kritische Infrastrukturen und bezeichnet Organisationen, Einrichtungen und Anlagen, die für das Funktionieren von Staat, Wirtschaft und Gesellschaft von wesentlicher Bedeutung sind. Dazu zählen unter anderem Unternehmen und Institutionen aus den Bereichen Energie, Gesundheitswesen, Wasser, Informationstechnik, Telekommunikation, Transport, Ernährung, Finanzwesen und öffentliche Verwaltung.

Fällt eine solche Infrastruktur durch einen Cyberangriff, technische Störung oder Naturereignisse aus, kann dies erhebliche Versorgungsengpässe, Sicherheitsrisiken oder wirtschaftliche Schäden verursachen. Aus diesem Grund unterliegen KRITIS-Betreiber in Deutschland besonderen gesetzlichen Anforderungen an ihre IT- und Informationssicherheit.

Rechtlicher Rahmen und NIS2-Bezug

Die Absicherung Kritischer Infrastrukturen ist im deutschen IT-Sicherheitsgesetz sowie in Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) geregelt. Mit der EU-Richtlinie NIS2 werden die Anforderungen deutlich ausgeweitet.

NIS2 betrifft nicht nur klassische KRITIS-Unternehmen, sondern auch viele sogenannte „wichtige Einrichtungen“ – darunter mittelständische Unternehmen ab 50 Mitarbeitenden in bestimmten Sektoren. Zudem werden Meldepflichten, Risikomanagement und die persönliche Verantwortung der Geschäftsführung klarer definiert. Unternehmen müssen nachweisen können, dass sie angemessene technische und organisatorische Maßnahmen implementiert haben.

Praxisbeispiel

Ein regionaler Energieversorger betreibt Stromnetze für mehrere Städte. Ein erfolgreicher Ransomware-Angriff könnte die Netzsteuerung beeinträchtigen und die Stromversorgung gefährden. Deshalb muss das Unternehmen ein strukturiertes Informationssicherheitsmanagementsystem (ISMS) betreiben, regelmäßige Risikoanalysen durchführen, Notfallpläne etablieren und Sicherheitsvorfälle an die zuständigen Behörden melden.

‍