Schutz vor phy­si­schen An­grif­fen – KRITIS-Dach­­ge­­setz beschlossen

Nach mo­na­te­lan­gen Ver­zö­ge­run­gen hat am das Bun­des­ka­bi­nett am 07.11.2024 den Re­gie­rungs­ent­wurf des „Gesetz zur Um­set­zung der Richt­li­nie (EU) 2022/2557 und zur Stär­kung der Re­si­li­enz kri­ti­scher Anlagen“ (KRITIS-DachG) beschlossen.

Das Gesetz dient der Um­set­zung der CER-Rich­t­­li­­nie (Richt­li­nie (EU) 2022/2557 über die Re­si­li­enz kri­ti­scher Ein­rich­tun­gen) in deut­sches Recht und de­fi­niert die wich­tigs­ten Sek­to­ren und regelt Schutz­stan­dards, Ri­si­ko­ana­ly­se und Stö­rungs­mo­ni­to­ring.

Jeder Be­trei­ber muss zu­künf­tig auf die spe­zi­fi­schen Risiken für seine Anlage mit maß­ge­schnei­der­ten Maß­nah­men re­agie­ren, die in Re­si­li­en­z­plä­nen dar­ge­stellt werden. We­sent­li­che Re­si­li­en­z­maß­nah­men können z. B. die Bildung von Not­fall­teams, Schu­lun­gen der Mit­ar­bei­ter, Ob­jekt­schutz und Maß­nah­men zur Si­cher­stel­lung der Kom­mu­ni­ka­ti­on, Not­strom­ver­sor­gung und Maß­nah­men zur Aus­fall­si­cher­heit und Er­satz­ver­sor­gung sein.

Grund­la­ge hierfür sind Ri­si­ko­ana­ly­sen und Ri­si­ko­be­wer­tun­gen, die von den zu­stän­di­gen staat­li­chen Stellen er­stellt und den Be­trei­bern zur Ver­fü­gung ge­stellt werden.

Es gilt also der „All-Ge­­fah­­ren-Ansatz“: Alle denk­ba­ren Risiken, von Na­tur­ka­ta­stro­phen über Sa­bo­ta­ge bis hin zu Ter­ror­an­schlä­gen und mensch­li­chem Ver­sa­gen müssen be­rück­sich­tigt werden.

Für Vor­fäl­le besteht eine Mel­de­pflicht. Be­trei­ber kri­ti­scher In­fra­struk­tu­ren sind künftig ver­pflich­tet, Vor­fäl­le auf einem Online-Portal des BBK und des BSI zu melden. Die ge­won­ne­nen Er­kennt­nis­se tragen dazu bei, die Re­si­li­enz kri­ti­scher In­fra­struk­tu­ren weiter zu erhöhen.

Die Da­ten­­­schutz-Grun­d­­ver­­or­d­­nung bleibt un­be­rührt; sie ist bei den damit ein­her­ge­hen­den Ver­ar­bei­tun­gen von per­so­nen­be­zo­ge­nen Daten zu beachten.

An­mer­kung: In­halt­lich regelt das NIS2UmsuCG den Schutz der IT-Si­cher­heit (bzw. In­for­ma­ti­ons­si­cher­heit), während das KRITIS-DachG den Schutz vor phy­si­schen An­grif­fen erfasst.

Weitere In­for­ma­tio­nen und Quellen:
BMI Pres­se­mit­tei­lung: https://www.bmi.bund.de/SharedDocs/pressemitteilungen/DE/2024/11/kabinett-kritis.html
KRITIS-DachG: https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/Downloads/kabinettsfassung/KM4/regentwurf-kritisDachG.pdf?__blob=publicationFile&v=2 
CER-Rich­t­­li­­nie: https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32022L2557