KRITIS – was bedeutet das für uns?

KRITIS – Ist mein Unternehmen betroffen und was heißt das?

Früher konnte jeder Betreiber selber festlegen, ob er eine kritische Dienstleistung erbringt oder nicht. Mit der KRITIS-Verordnung (PDF) und dem IT-Sicherheitsgesetz wird versucht, eine einheitliche Basis zu schaffen, um

  1. einen Überblick über die aktuelle Lage von kritischen Infrastrukturen zu bekommen,
  2. schnell auf Probleme reagieren zu können,
  3. die Cyber-Sicherheitsstrategie des Bundes zu unterstützen und
  4. die NIS-Richtlinie zu erfüllen.

Was eine kritische Infrastruktur ist, wird vom BMI (Bundesministerium des Inneren) festgelegt und über Kriterien mit dem KRITIS-V-Gesetz geregelt. Die IT in diesem Fall wird über das IT-Sicherheitsgesetz unter der Schirmherrschaft des BSI abgedeckt.

Ist mein Unternehmen betroffen?

Das ist oft nicht leicht zu beantworten. So ergeben sich zum Beispiel Fragen wie:

  • Welcher Sektor und welche Branche ist relevant?

Sektoren

Branchen

Energie

  • Elektrizität
  • Mineralöl
  • Gas

Gesundheit

  • medizinische Versorgung
  • Arzneimittel und Impfstoffe
  • Labore

Staat und Verwaltung

  • Regierung und Verwaltung
  • Parlament
  • Justizeinrichtungen
  • Notfall-/Rettungswesen einschließlich Katastrophenschutz

Ernährung

  • Ernährungswirtschaft
  • Lebensmittelhandel

Transport und Verkehr

  • Luftfahrt
  • Seeschifffahrt
  • Binnenschifffahrt
  • Schienenverkehr
  • Straßenverkehr
  • Logistik

Finanz- und Versicherungswesen

  • Banken
  • Börsen
  • Versicherungen
  • Finanzdienstleister

Informationstechnik und Telekommunikation

  • Telekommunikation
  • Informationstechnik

Medien und Kultur

  • Rundfunk (Fernsehen und Radio)
  • gedruckte und elektronische Presse
  • Kulturgut
  • symbolträchtige Bauwerke

Wasser

  • öffentliche Wasserversorgung
  • öffentliche Abwasserbeseitigung

 

  • Werden die definierten Schwellwerte (z.B. 500.000 Einwohner, die beliefert werden) überschritten?
  • Wird eine kritische Infrastruktur als Dienstleister beliefert?

Wenn man betroffen ist – was heißt das jetzt konkret?

Sollte man betroffen oder unschlüssig sein, muss man sich beim BSI als Betreiber einer kritischen Infrastruktur registrieren. Dort wird nochmals überprüft, ob das zutrifft. Falls dem so ist, unterliegt man der Meldepflicht, sprich es müssen alle schwerwiegenden sicherheitsrelevanten Vorfälle (z.B. Systemausfälle), die die kritische Infrastruktur betreffen, umgehend über ein spezielles Meldeformular gemeldet werden. Die Meldepflicht gilt seit dem Inkrafttreten der BSI-KRITIS-Verordnung am 3. Mai 2016. Die Schwachstelle ist dann nach dem Stand der Technik zu beheben.

Ebenfalls zu implementieren ist eine Kontrollstelle, die als Ansprechpartner für das BSI fungieren soll (24/7).

Die Nachweispflicht besteht alle zwei Jahre, d.h. alle zwei Jahre muss eine Überprüfung durch eine geeignete Prüfungsstelle (§8) stattfinden, erstmalig im Mai 2018 (zwei Jahre nach Inkrafttreten des Gesetzes). Das Ergebnis muss gemeldet werden und bei Auffälligkeiten kann das BSI einen Bericht verlangen.

Die Prüfung kann auf Basis mehrerer Standards bzw. Leitfäden (z.B. B3S, OH B3S, …) erfolgen, die je nach Sektor oder Branche unterschiedlich ausgeprägt sein können.

Kurzübersicht BSI:

Quelle: BSI

Hinführung des BSI: https://www.bsi.bund.de/DE/Themen/Industrie_KRITIS/KRITIS/IT-SiG/Was_tun/was_tun_node.html

 

Wo finde ich weitere Informationen?

Sehen Sie immer mal wieder auf unserer Seite vorbei. Bzgl. KRITIS ist noch alles im Aufbau und wir versuchen, immer die aktuellen Gegebenheiten zu veröffentlichen. Für weitere Rückfragen stehen wir Ihnen gerne zur Verfügung.

Unser Experte: Dr. Klaus-Dieter Krause, Klaus.D.Krause@compliance-net.com