Das KRITIS-Dachgesetz kommt: Besserer Schutz für Kritische Infrastrukturen

Mit dem KRITIS-Dachgesetz kommen neue Anforderungen auf die Betreiber Kritischer Infrastrukturen zu. Der aktuelle Gesetzesentwurf sieht unter anderem vor, den Zugang Unbekannter zu KRITIS-Anlagen wie Flughäfen oder Wasserwerken zu verhindern. Was bedeutet das für den Perimeterschutz?

Die Gefahr von Hackerangriffen und Spionage ist nicht erst seit dem Krieg in der Ukraine wieder stärker in den Fokus der Politik gerückt. Auch andere Bedrohungslagen wie Naturkatastrophen oder unbefugtes Eindringen bergen das Risiko, dass Infrastruktureinrichtungen lahmgelegt werden - mit Folgen für Millionen von Menschen. Vor diesem Hintergrund hat das Bundesministerium des Innern und für Heimat (BMI) am 28. Juli 2023 einen Referentenentwurf für ein sogenanntes KRITIS-Dachgesetz veröffentlicht.

Elf Sektoren im Fokus: Von Energie bis Raumfahrt

Mit dem Entwurf will die Regierung bundeseinheitliche und sektorübergreifende Regelungen für den physischen Schutz Kritischer Infrastrukturen schaffen. Laut Bundesinnenministerin Nancy Faeser soll das KRITIS-Dachgesetz „die Widerstandsfähigkeit der Kritischen Infrastrukturen in Deutschland stärken. Ziel ist es, diese Infrastrukturen besser gegen eine Vielzahl von naturbedingten und von Menschen verursachten Gefahren zu schützen“. Die Länder und die betroffenen Verbände sind nun aufgefordert, Stellung zu nehmen.

Der vorgelegte Entwurf enthält einheitliche Regelungen zum Schutz Kritischer Infrastrukturen in insgesamt elf Sektoren: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Öffentliche Verwaltung, Gesundheit, Ernährung, Trinkwasser, Abwasser, Siedlungsabfallentsorgung, Informationstechnik und Telekommunikation sowie Raumfahrt. Bisher gab es für diese Infrastrukturen nur bundesweite Regelungen zur IT-Sicherheit. Der sogenannte „All-Gefahren-Ansatz“ soll deshalb alle Arten von Risiken berücksichtigen, seien es Naturkatastrophen oder menschliches Versagen.

Mindeststandards für physischen Schutz

Das KRITIS-DachG legt Mindeststandards für den physischen Schutz fest und verpflichtet Betreiber zu bestimmten Maßnahmen, wenn sie für die Versorgung in Deutschland von wesentlicher Bedeutung sind und mehr als 500.000 Menschen versorgen.

Zu den Maßnahmen gehören die Einrichtung eines betrieblichen Risiko- und Krisenmanagements, die Durchführung von Risikoanalysen und -bewertungen, die Erstellung von Resilienzplänen sowie die Umsetzung geeigneter und verhältnismäßiger technischer, personeller und organisatorischer Vorgehensweisen für die jeweilige Einrichtung. Dazu gehören Maßnahmen, die erforderlich sind, um

• das Eintreten von Zwischenfällen zu verhindern,
• einen angemessenen physischen Schutz des Geländes kritischer Anlagen sicherzustellen,
• auf Ereignisse zu reagieren, sie abzuwehren und ihre Folgen zu begrenzen,
• die Wiederherstellung nach Zwischenfällen zu gewährleisten,
• ein adäquates Sicherheitsmanagement für das Personal, einschließlich der Mitarbeiter von externen Dienstleistern, zu gewährleisten und
• das betroffene Personal durch Informationsmaterial, Schulungen und Übungen zu sensibilisieren.

Perimeterschutz: Technik als Schlüssel zur Umsetzung

Mögliche Schritte können nach Ansicht des Bundes beispielsweise die Errichtung von Zäunen und Schranken, der Einsatz von Detektionsgeräten, Zugangskontrollen, Sicherheitsüberprüfungen, aber auch das Vorhalten von Redundanzen und die Diversifizierung von Lieferketten sein. Die Umsetzung kann daher nur mit den Lösungen und Technologien des Perimeterschutzes gelingen, die regelmäßig auf der Perimeter Protection in Nürnberg präsentiert werden. Die Angebote der Aussteller dürften daher in Zukunft noch stärker gefragt sein als bisher.

Experten auf dem Gebiet des Perimeter- und Katastrophenschutzes haben jedoch bereits Lücken im Gesetzesentwurf ausgemacht. So hat das Deutsche Komitee Katastrophenvorsorge e.V. (DKKV) das KRITIS-DachG grundsätzlich positiv aufgenommen, sieht aber noch einige Verbesserungsmöglichkeiten. Während der Entwurf stark auf Sicherheitsaspekte fokussiert ist, fehlen aus Sicht des DKKV wichtige Maßnahmen zur Erhöhung der allgemeinen „Safety“, wie bauliche Schutzvorkehrungen. Zudem kritisiert das Gremium, dass der verwendete Resilienzbegriff zu eng gefasst sei und Aspekte wie Frühwarnung und das Prinzip des „Build-back-Better“ nicht ausreichend berücksichtigt werden.

Prof. Dr. Clemens Gause, Hauptgeschäftsführer des Verbandes für Sicherheitstechnik, wies ebenfalls auf Mängel im Entwurf des KRITIS-Gesetzes hin. Er begrüßte zwar, dass damit neben der IT-Sicherheit auch die physische Sicherheit von Infrastrukturen stärker berücksichtigt werde. Für die Ausgestaltung des Gesetzes sei jedoch eine klare Identifikation und Abgrenzung kritischer Infrastrukturen notwendig. Zudem sollten sektorübergreifende Regelungen erarbeitet werden, um die Zusammenarbeit zu erleichtern, da Krisen häufig Auswirkungen auf mehrere Sektoren haben können. Der Verband für Sicherheitstechnik, der als Partner der Perimter Protection fungiert, wird laut Gause in die Erarbeitung des Gesetzes einbezogen. Er will seine Erfahrungen aus verschiedenen Forschungsprojekten einbringen, um zukunftsorientierte Lösungen zu entwickeln. Eines dieser Projekte, SPELL, untersucht die Integration von künstlicher Intelligenz in Leitstellen und Lagezentren und könnte nach Ansicht des Verbandschefs für die geplante Begleitung des KRITIS-Dachgesetzes relevant sein. „Ich bin gespannt, was die Zukunft in dieser Hinsicht bringt und wie das neue KRITIS-Dachgesetz umgesetzt wird. Es bietet auf jeden Fall viele Chancen und vor allem hilft es uns, Krisen mit Resilienz begegnen zu können und gegen die vielfach konstatierte Katastrophendemenz anzugehen“, betonte Gause.