Angriffe
Die Pläne zum Schutz Kritischer Infrastruktur
Schon im Koalitionsvertrag von 2021 der Ampelparteien SPD, Grüne und FDP war die Rede vom sogenannte KRITIS-Dachgesetz. Doch immer noch ist es nicht verabschiedet. Bundesinnenministerin Nancy Faeser legte im Dezember 2022 erste Eckpunkte dazu vor. Das Bundeskabinett hat diese Eckpunkte gebilligt. Inzwischen gibt es zwei Referentenentwürfe, die entsprechende Rechtsverordnung hingegen fehlt noch. Geplant ist, dass der Bundestag das KRITIS-Dachgesetz nun im Oktober dieses Jahres verabschiedet. Das Gesetz soll die bestehenden Regelungen zum Cyberschutz von Kritischen Infrastrukturen ergänzen.
Kritische Infrastruktur - was macht das KRITIS-Dachgesetz so schwierig?
Mit dem KRITIS-Dachgesetz sollen zum ersten Mal länderübergreifend für ganz Deutschland sektoren- und gefahrenübergreifende Regelungen geschaffen werden, um die Kritischen Infrastrukturen (KRITIS) möglichst zu schützen, so das erklärte Ziel. Die Zuständigkeiten werden damit erstmals geregelt. Auch soll die Zusammenarbeit der Akteure auf staatlicher Seite und der Betreiber zum Schutz der Infrastrukturen strukturiert werden. Das Gesetz ist aufwändig und erfordert zahlreiche Stellungnahmen. Dennoch wird kritisiert, dass die Bundesregierung sich angesichts immer größer werdenden Gefahren auch durch eine mögliche Kriegsbedrohung sich damit so lange Zeit lässt. Auf Anfrage von KOMMUNAL sagte eine Sprecherin des Bundesinnenministeriums: "Der Referentenentwurf des KRITIS-Dachgesetzes ist derzeit noch in Abstimmung mit den Bundesressorts, Ländern und Verbänden. Eine zeitnahe Kabinettsbefassung wird angestrebt."
Ziele des KRITIS-Dachgesetzes - die Eckpunkte
- Kritische Infrastrukturen werden klar identifiziert - in mindestens elf Sektoren. Das sind Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Lebensmittel. Auch Bereiche wie Schule und Kita werden in den Blick genommen.
- Das KRITIS-Dachgesetz formuliert erstmals sektorübergreifende Ziele: Störungen und Ausfälle zu verhindern, deren Folgen zu begrenzen und die Arbeitsfähigkeit nach einem Vorfall wiederherzustellen.
- Die Betreiber kritischer Anlagen müssen auf die spezifischen Risiken für ihre Anlagen mit passgenauen Maßnahmen reagieren. Die Maßnahmen müssen sie in sogenannten Resilienzplänen darstellen. Eine wesentliche Grundlage dafür sind Risikoanalysen und -bewertungen. Das Gesetz sieht regelmäßige Risikoanalysen und -bewertungen sowohl von staatlicher als auch von Betreiberseite in den relevanten Sektoren vor. Betreiber müssen geeignete und verhältnismäßige Maßnahmen ergreifen, um die vorgegebenen Ziele zu erreichen.
- Um Doppelstrukturen und Bürokratie zu vermeiden, sollen bereits bestehende Maßnahmen, die Betreiber aufgrund anderer gesetzlicher Vorgaben ergreifen müssen geprüft und gegebenenfalls anerkannt werden.
- Die Gefahren für die Kritischen Infrastrukturen werden künftig einer regelmäßigen Bewertung unterzogen. Es wird einheitliche Mindestvorgaben für Resilienzmaßnahmen in allen Sektoren geben. Es wird klar definierte, verpflichtende Schutzstandards geben.
- Ein geplantes zentrales Meldewesen soll das bereits bestehende Meldewesen im Bereich der IT-Sicherheit kritischer Infrastrukturen ergänzen. Sicherheitsvorfälle und Kontrollen müssen gemeldet werden. Der Staat wird die Betreiber weiterhin durch Analysen sowie Leitfäden, Beratung, Übungen und Schulungen unterstützen.
Betreiber kritischer Anlagen sind verpflichtet, diesen unverzüglich, spätestens bis 24 Stunden nach Kenntnisnahme, zu melden.
- Die Auswirkungen auf das Gesamtsystem aller Kritischen Infrastrukturen muss beim physischen Schutz Kritischer Infrastrukturen im Vordergrund stehen. Sektoren- und grenzübergreifende Verflechtungen und die Abhängigkeiten der Sektoren untereinander werden stärker berücksichtigt. Kommt es zu Ausfällen in einem Sektor, etwa Energie, Informationstechnik/Telekommunikation oder Transport/Verkehr, kann dies schwere Auswirkungen auch auf andere Sektoren haben.
- Die Resilienz der Kritischen Infrastrukturen insgesamt und nicht nur der Schutz einzelner Kritischer Infrastrukturen muss gestärkt werden. Auch grenzüberschreitende Auswirkungen werden durch eine noch engere Kooperation in einem europäischen Rahmen berücksichtigt.
- Bei der Umsetzung des KRITIS-Dachgesetzes soll das Bundesamt für Bevölkerungsschutz (BBK) eine koordinierende Rolle bekommen. Es wird eng mit den zuständigen Aufsichtsbehörden des Bundes zusammenarbeiten.
Das Eckpunktepapier
Der Referentenentwurf 1
Der Referentenentwurf 2
Hier finden Sie die Stellungnahmen zu den Referentenentwürfen.
