KRITIS

Was ist KRITIS?

KRITIS steht für Kritische Infrastrukturen; eine kritische Dienstleistung ist laut BSI eine Dienstleistung zur Versorgung der Allgemeinheit in den gesetzlich genannten Sektoren, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder zu Gefährdungen der öffentlichen Sicherheit führen würde. Nach § 28 Absatz 1 Nummer 1 BSIG gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtung. Die BSI-Kritisverordnung legt fest, welche Anlagen im jeweiligen Sektor kritisch sind: Im Sektor Gesundheit und im Sektor Wasser etwa sind kritische Anlagen solche Anlagen oder Teile davon, die bestimmten Kategorien zuzuordnen sind und den Schwellenwert erreichen oder überschreiten.

KRITIS steht für Kritische Infrastrukturen; ob ein Versicherer rechtlich als Betreiber einer kritischen Anlage gilt, hängt nach der BSI-Kritisverordnung davon ab, ob er eine Anlage betreibt, die einer der dort genannten Kategorien zuzuordnen ist und den Schwellenwert erreicht oder überschreitet. Als kritische Dienstleistungen im Sektor Finanzwesen nennt die Verordnung die Bargeldversorgung, den kartengestützten und den konventionellen Zahlungsverkehr sowie den Handel mit Wertpapieren und Derivaten einschließlich Verrechnung und Abwicklung; Versicherungsleistungen nennt sie dort nicht. Die BSI-Kritisverordnung verordnet das Bundesministerium des Innern im Einvernehmen unter anderem mit dem Bundesministerium für Wirtschaft und Energie; ein Schwellenwert ist darin ein Wert, bei dessen Erreichen oder dessen Überschreitung der Versorgungsgrad einer Anlage oder von Teilen davon als bedeutend anzusehen ist.

Wie regelt das BSI-Gesetz KRITIS?

Das BSIG knüpft Pflichten auch an Betreiber kritischer Anlagen, die nach § 28 Absatz 1 Nummer 1 als besonders wichtige Einrichtung gelten. Diese Betreiber sind nach § 31 verpflichtet, für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der kritischen Anlagen maßgeblich sind, Systeme zur Angriffserkennung einzusetzen (vorbehaltlich der Ausnahmen in § 28 BSIG); dabei soll der Stand der Technik eingehalten werden. Nach § 39 haben die Betreiber die Umsetzung der Maßnahmen in Bezug auf kritische Anlagen zu einem vom Bundesamt im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen; die Ausnahmen des § 28 bleiben vorbehalten.

Bei einem erheblichen Sicherheitsvorfall muss die frühe Erstmeldung unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung erfolgen und die Meldung über den Sicherheitsvorfall unverzüglich, spätestens jedoch innerhalb von 72 Stunden; weitere Schritte regelt § 32 (vorbehaltlich der Ausnahmen in § 28 BSIG). Betreiber kritischer Anlagen übermitteln dabei zusätzlich Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen auf diese Dienstleistung, wenn der Vorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte (vorbehaltlich der Ausnahmen in § 28 BSIG).

KRITIS im Vergleich

KRITIS: Wann gilt ein Unternehmen als Betreiber einer kritischen Anlage?

Schutz im Ernstfall

Vorbeugen

• Betreiber kritischer Anlagen sind nach § 31 BSIG verpflichtet, für die für die Funktionsfähigkeit der kritischen Anlagen maßgeblichen informationstechnischen Systeme, Komponenten und Prozesse Systeme zur Angriffserkennung einzusetzen; dabei soll der Stand der Technik eingehalten werden, und der erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage stehen (vorbehaltlich der Ausnahmen in § 28 BSIG).
• Betreiber kritischer Anlagen haben die Umsetzung der Maßnahmen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 in Bezug auf kritische Anlagen zu einem vom Bundesamt im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre dem Bundesamt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen (§ 39 BSIG, vorbehaltlich der Ausnahmen in § 28 BSIG).
• Laut BSI müssen Betreiber kritischer Anlagen in der Regel im Geltungsbereich der kritischen Anlage weitere Maßnahmen ergreifen, die über das Schutzniveau der Einrichtungen im Allgemeinen hinausgehen.
• Zu den Ausnahmen nach § 28 BSIG gehört, dass die §§ 30, 31, 32, 35, 36, 38 und 39 nicht für Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 gelten und nicht für Unternehmen, für die die Anforderungen dieser Verordnung aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten.

Was tun im Ernstfall

• Betreiber kritischer Anlagen sind nach § 32 BSIG zusätzlich verpflichtet, Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung zu übermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte (vorbehaltlich der Ausnahmen in § 28 BSIG).
• Die frühe Erstmeldung erfolgt unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall (vorbehaltlich der Ausnahmen in § 28 BSIG).
• Die Meldung über den Sicherheitsvorfall erfolgt unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall; weitere Schritte regelt § 32 BSIG.