Kritische Infrastrukturen – Einordnung des Vokabulars durch das BBK

2003 wurde die Definition der Kritischen Infrastrukturen (KRITIS) und deren Einteilung in Sektoren und Branchen auf Bundesebene vorgenommen. KRITIS sorgen in der Gesellschaft für ihr Funktionieren und sind Störungen ausgesetzt, dem das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) mit seinem Risikomanagement proaktiv entgegentritt.

Zum KRITIS-Schutz braucht es auch Einteilung in Sektoren und Branchen auch über kritische Dienstleistungen und systemrelevante Einrichtungen unmittelbar oder mittelbarer Beteiligung.

Unternehmen und Behörden auf kommunaler, Landes- und Bundesebene haben in den vergangenen Monaten daran gearbeitet, KRITIS-Dienstleistungen zu schützen und deren Funktionieren zu gewährleisten. Viele Fragen der Zuständigkeiten zu KRITIS wurden beantwortet und ergaben den nun vorliegenden „Baukasten KRITIS: Krisenvorsorge und Krisenbewältigung im Kontext Kritischer Infrastrukturen“.

Einteilung in Sektoren und Branchen kann anhand von Ebenen wie Kommune, Land, Bund oder anhand von quantitativen und qualitativen Kriterien durch Behörden oder Betreiber selbst erfolgen. Zudem wird ein quantitativer Regelschwellenwert von 500.000 herangezogen, der die Anzahl der von einem Ausfall Betroffenen beziffert.

Die Definition, welche Einrichtungen und Anlagen als kritisch gelten, unterscheidet sich nach Verwaltungsebene, sodass kritisch auf kommunaler Ebene nicht gleich kritisch auf Bundesebene bedeutet.

KRITIS-Einordnung nach dem Kriterium Qualität I

Versorgungsleistungen, deren Ausfall direkte Auswirkungen auf die Bevölkerung oder andere KRITIS hätte

KRITIS-Einordnung nach dem Kriterium Qualität II

Prozesse, die für die Erbringung einer KRITIS-Dienstleistung notwendig sind sowie systemrelevante Einrichtungen (Zulieferer, Dienstleister). Hier ist das Beispiel einer Wäscherei genannt, die als externer Dienstleister für ein Krankenhaus an der medizinischen Versorgung beteiligt ist.

KRITIS-Einordnung nach dem Kriterium Quantität

Bewertung der Ausfallwirkungen von KRITIS auf die jeweiligen Ebenen Kommunen, Länder, Bund. Dienstleistungen und Prozesse können hier mit physischen Anlagen verknüpft werden.

Das BSI-Gesetz & die IT-Sicherheit von KRITIS

2015 wurde das BSIG durch das IT-Sicherheitsgesetz (IT-SiG) geändert, um IT-Sicherheit Kritischer Infrastrukturen zu erhöhen. In der BSI-Kritisverordnung (BSI-KritisV) ist nachzulesen, welche Anlagen und Einrichtungen als im Sinne des BSIG kritisch angesehen werden. Nun adressiert das BSIG nur sieben von neun Sektoren Kritischer Infrastrukturen, sodass sich auch dessen Identifizierung nur auf diese Teilmenge bezieht.

Es ist also so, dass „Kritische Infrastrukturen“ nicht gleich „Kritische Infrastrukturen im Sinne des BSIG sind. Mittels der BSI-KritisV werden folgende Anlagen als Kritische Infrastrukturen im Sinne des BSIG identifiziert:

• Energie
• Ernährung
• Finanz- und Versicherungswesen
• Gesundheit
• Informationstechnik und Telekommunikation
• Transport und Verkehr
• Wasser
• kritische Dienstleistungen
• Anlagen, die zur Versorgung von mehr als 500.000 Personen beitragen

Anlagen der Energie- und Wasserversorger, Krankenhäuser, Banken und Versicherungen waren in den vergangenen Monaten immer wieder Ziel von Cyberangriffen. Und nicht erst die globale Krise hat gezeigt, wie wichtig die Aufrechterhaltung von Infrastrukturen und Dienstleistungen aus den KRITIS-Sektoren ist. bei der Einhaltung branchenspezifischer Sicherheitsstandards (B3S) und der Gewährleistung der Verfügbarkeit Ihrer Systeme und kritischen Prozesse im Krisenfall.