KRITIS-Dachgesetz: Das wird für Unternehmen mit kritischer Infrastruktur jetzt wichtig

Das KRITIS-Dachgesetz (KRITIS-DachG) regelt die physische Sicherheit und Widerstandsfähigkeit von Betreibern kritischer Infrastrukturen. Es zielt darauf ab, die Resilienz von Unternehmen, die als kritische Infrastrukturen eingestuft sind, zu stärken. Das Gesetz setzt die EU RCE Directive bzw. die CER-Richtlinie (2022/2557) durch zusätzliche Pflichten für Betreiber kritischer Anlagen in nationales Recht um. Die betroffenen Betreiber verschiedener Sektoren müssen Resilienzmaßnahmen ergreifen sowie zusätzliche Formalien wie Registrierung, Meldungen und Nachweise erfüllen. Das Gesetz formuliert sektorübergreifende Ziele, fordert regelmäßige Risikoanalysen und -bewertungen und verlangt geeignete sowie verhältnismäßige Maßnahmen von den Betreibern, um die vorgegebenen Ziele zu erreichen. Indem es Zuständigkeiten regelt, die Zusammenarbeit der Akteure strukturiert und sektorübergreifende Regelungen schafft, soll das KRITIS-Dachgesetz das Auftreten von Vorfällen verhindern und einen angemessenen physischen Schutz der Liegenschaften und kritischen Anlagen gewährleisten.

Sie benötigen Unterstützung bei der Risikoanalyse und Umsetzung entsprechender Maßnahmen für die physische Sicherheit? Treten Sie gerne mit uns in Kontakt.

Das KRITIS-Dachgesetz (KRITIS-DachG) führt bundeseinheitliche Regelungen für den physischen Schutz kritischer Infrastrukturen ein und legt Mindeststandards fest. Unter der Federführung des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK), werden verschiedene Bundes- und Landesbehörden die Aufsicht und Überwachung übernehmen. Das KRITIS-DachG erweitert die bestehende KRITIS-Regulierung um zusätzliche Pflichten für Betreiber kritischer Anlagen, wie Meldepflichten, Krisen- und Risikomanagement, Business Continuity Management (BCM), Personalsicherheit und physische Sicherheit. Bei Verstößen drohen Bußgelder. Das Gesetz erfordert außerdem regelmäßige Risikoanalysen und -bewertungen von den Betreibern.

Das KRITIS-Dachgesetz (KRITIS-DachG) betrifft Organisationen oder Einrichtungen mit zentraler Bedeutung für das staatliche Gemeinwesen und die Bevölkerung, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden. Dazu zählen Unternehmen aus folgenden Sektoren:

• Energie
• Transport und Verkehr
• Finanz- und Versicherungswesen
• Gesundheit
• Trink- und Abwasser
• Siedlungsabfallentsorgung
• Informationstechnik und Telekommunikation
• Ernährung
• Raumfahrt
• Öffentliche Bundesverwaltung

Unternehmen, die bestimmte Kriterien erfüllen, werden im Rahmen des KRITIS-Dachgesetzes als kritische Anlagen eingestuft. Darunter fällt eine maßgebliche Rolle bei der Gesamtversorgung in Deutschland und die Versorgung von mehr als 500 000 Menschen. Zusätzlich können ggf. besondere Bestimmungen als Einstufungskriterium greifen, beispielsweise nach

• dem Marktanteil des Betreibers
• dem betroffenen geografischen Gebiet
• dem Ausmaß der Abhängigkeit anderer KRITIS-Sektoren
• der Bedeutung des Betreibers unter Berücksichtigung alternativer Mittel
• der Zahl der Nutzer, die die Leistungen der KRITIS-Anlage in Anspruch nehmen
• den Auswirkungen von Ausfällen für Sicherheit und Ordnung, Wirtschaft, Umwelt etc.

Die meisten Betreiber potenziell kritischer Infrastrukturen müssen selbst prüfen, ob ihr Unternehmen unter das KRITIS-Gesetz fällt und sich gegebenenfalls bei einer Registrierungsbehörde melden. Wir unterstützen Sie hierbei gerne.

Gemäß dem KRITIS-Dachgesetz (KRITIS-DachG) müssen Unternehmen folgende Maßnahmen ergreifen, um die Vorgaben einzuhalten:

• Auf Grundlage einer Risikobewertung konkrete Maßnahmen identifizieren, um das Unternehmen gegen mögliche Risiken abzusichern
• Maßnahmen zur Stärkung der physischen Sicherheit in einem Resilienzplan festhalten und technisch umsetzen
• Regelmäßige Risikoanalysen durchführen, um die Sicherheit der kritischen Infrastruktur dauerhaft zu schützen

Gemäß § 10 KRITIS-Dachgesetz sind Betreiber kritischer Anlagen verpflichtet, geeignete und verhältnismäßige technische, sicherheitsrelevante und organisatorische Maßnahmen zur Gewährleistung der erforderlichen Resilienz zu treffen. Diese Maßnahmen sollen dem Stand der Technik entsprechen und sowohl Maßnahmen zur Verhinderung kritischer Vorfälle als auch Maßnahmen zu einer angemessenen Reaktion auf kritische Vorfälle umfassen. Auf Grundlage der Risikoanalyse und -bewertung erstellen wir gemeinsam mit Ihnen ein ganzheitliches und individuelles Sicherheitskonzept für die physische und IT-Sicherheit. Wir greifen dazu auf jahrzehntelange Erfahrung in der Absicherung von Unternehmen mit kritischer Infrastruktur zurück. Unsere umfangreiche Auswahl an Gebäudesicherheitslösungen und Services ermöglicht es uns außerdem, flexibel auf Ihre individuellen Anforderungen einzugehen.

Das KRITIS-Dachgesetz (KRITIS-DachG) ergänzt das IT-Sicherheitsgesetz (NIS2-Richtlinie). Während sich die NIS2-Richtlinie in erster Linie auf die IT-Sicherheit konzentriert, zielt das KRITIS-Dachgesetz auf den physischen Schutz von kritischen Anlagen ab. Das KRITIS-Dachgesetz basiert auf einem "All-Gefahren-Ansatz", der alle denkbaren Risiken abdecken soll, einschließlich Naturkatastrophen, menschlichem Versagen und Sabotage. Es erweitert somit den Fokus auf die physische Sicherheit im Bereich kritischer Infrastrukturen.

Weitere Infos hierzu finden Sie auf der Internetseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI).

Betreiber von Organisationen aus dem Bereich der kritischen Infrastrukturen sind dazu verpflichtet, Störungen innerhalb von 24h an die jeweilige Meldestelle der aufsichtführenden Behörde zu melden. Unser Managementsystem hilft Ihnen dabei, sich schnell einen Überblick zu verschaffen und die nötigen Informationen der einzelnen Alarme zu dokumentieren. Anschließend sollten schnellstmöglich sämtliche Maßnahmen umgesetzt werden, um Schutz und Sicherheit bzw. das Funktionieren der Infrastruktur zu erhalten oder wiederherzustellen.

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) unterstützt die Betreiber kritischer Infrastrukturen bei der Umsetzung zum Schutz ihrer Systeme. Es prüft außerdem, ob die Vorgaben zum Schutz kritischer Infrastrukturen erfüllt wurden. Bei Nichterfüllen können Bußgelder verhängt werden. Unternehmen können sich bereits jetzt durch die Umsetzung entsprechender Maßnahmen auf die Anforderungen des Gesetzes vorbereiten, insbesondere durch eine Risikoanalyse- bzw. Risikobewertung. Wir begleiten Sie hierbei gerne.

Bei Verstößen gegen das KRITIS-Dachgesetz (KRITIS-DachG) drohen Bußgelder. Die Einhaltung der Vorgaben wird von der jeweiligen aufsichtsführenden Behörde überwacht, und bei Nichterfüllen können entsprechende Sanktionen verhängt werden. Auf welche Beträge sich diese belaufen, wird erst final mit Inkrafttreten des KRITIS-Dachgesetzes im Oktober 2024 definiert.

Unternehmen können sich auf die Anforderungen des KRITIS-Dachgesetzes (KRITIS-DachG) vorbereiten, indem sie bereits jetzt entsprechende Maßnahmen umsetzen. Im ersten Schritt sollten sie ihre Zugehörigkeit zu kritischen Infrastrukturen prüfen. Anschließend unterstützen wir Sie bei der technischen Risikoanalyse, um mögliche Schwachstellen zu identifizieren. Basierend auf diesen Erkenntnissen entwickeln wir gemeinsam mit Ihnen ein ganzheitliches Sicherheitskonzept, mit dem Sie die maßgeblichen Standards einhalten können. Betreiber kritischer Infrastrukturen müssen Notfallpläne erstellen und regelmäßig aktualisieren. Durch unsere intensive Kundenbetreuung evaluieren und optimieren wir gemeinsam mit Ihnen in regelmäßigen Abständen Ihr Sicherheitskonzept.

Als Anbieter von ganzheitlicher Gebäudetechnik unterstützen wir Unternehmen bei der Umsetzung der Richtlinien des KRITIS-Dachgesetzes (KRITIS-DachG). Unsere maßgeschneiderten Lösungen helfen Ihnen, Ihre Liegenschaften zu schützen und die gesetzlichen Anforderungen zu erfüllen. Mit unserem Fachwissen und unserer Erfahrung bieten wir Ihnen Unterstützung bei der Risikoanalyse, der Entwicklung und Implementierung von Sicherheitsmaßnahmen sowie der kontinuierlichen Überwachung Ihrer Infrastruktur. Für spezielle Anforderungen haben wir außerdem Zugriff auf ein bundesweites Netzwerk von Expertinnen und Experten. Kontaktieren Sie uns gerne für ein erstes Beratungsgespräch.

Der derzeitige Gesetzesentwurf vom 21. Dezember 2023, soll bis zum 17. Oktober 2024 als KRITIS-Dachgesetzes und somit als nationales Recht verabschiedet werden.