KRITIS-Dachgesetz: Unklarheiten bei der praktischen Umsetzung

Gesetzliche Regelungen für kritische Infrastrukturen

Ohne kritische Infrastrukturen wäre der Sonntagmorgen für viele Menschen nicht, was er ist. Das Wasser für die Dusche, der Strom für den Kaffee, die Zeitung oder das Online-Nachrichtenportal sind nur einige Beispiele für Dienste, die von Organisationen und Einrichtungen der kritischen Infrastruktur bereitgestellt werden. Hierzu zählen außerdem Transport und Verkehr, Finanz- und Versicherungswesen, Öffentliche Verwaltung, Gesundheit, Ernährung, Abwasser, Abfallentsorgung, IT und Weltraum. In einer Welt, die zunehmend vernetzt und abhängig von reibungslos funktionierenden Infrastrukturen ist, bildet die ununterbrochene Verfügbarkeit dieser Systeme das Fundament unseres täglichen Lebens. Diese Infrastrukturen sind jedoch einer Vielzahl von Risiken ausgesetzt. Neben den Herausforderungen durch alltägliche Störungen stehen sie insbesondere im Fadenkreuz von Extremereignissen – seien es Naturkatastrophen, technisches Versagen oder gezielte Angriffe. 

Um dieser Bedrohungslage zu begegnen, wurden sowohl auf europäischer als auch auf nationaler Ebene rechtliche Rahmenbedingungen geschaffen, die die Identifizierung und den Schutz kritischer Infrastrukturen fokussieren. Einen Meilenstein in diesem Prozess bildet das KRITIS-Dachgesetz, das über die bisherigen Regelungen hinausgeht, indem es die Sicherheitsvorgaben für die Betreiber dieser Dienste erweitert. „Ziel ist es, den Betreibern organisatorische, personelle und baulich-technische (physische) Vorgaben für den Betrieb der von ihnen zu verantwortenden kritischen Infrastrukturen an die Hand zu geben“, erklärt Wilfried Joswig, Geschäftsführer beim Verband für Sicherheitstechnik e. V. Das KRITIS-Dachgesetz ordnet zum ersten Mal die physikalische Absicherung von kritischen Infrastrukturen Deutschlands. „Das ist sinnvoll und sicherlich auch seit langer Zeit notwendig“, ergänzt Jürgen Schiller, Vorsitzender Arbeitskreis Perimeter Protection bei der DKE, Deutsche Kommission Elektrotechnik Elektronik Informationstechnik. 

Verbände hoffen auf Nachbesserungen

Die Erkenntnis, dass physische Sicherheitsmaßnahmen eine grundlegende Rolle spielen, markiert einen wichtigen Schritt vorwärts in der nationalen Sicherheitsstrategie. Es herrscht breite Zustimmung zum gesetzgeberischen Ziel, die physische Widerstandsfähigkeit von Betreibern kritischer Anlagen zu stärken. 
Doch was die praktischen Umsetzung angeht, besteht auch nach dem zweiten Referentenentwurf vom Dezember 2023 noch Unklarheit. „Zur Umsetzung der Anforderungen im Bereich der physischen Sicherheit sind Handlungsempfehlungen, Leitlinien und Klassifizierungen der erforderlichen Maßnahmen dringend erforderlich. Diese liegen aber nur in Teilbereichen vor. Speziell im Bereich des Perimeterschutzes sind hier dringend für die Umsetzung des KRITIS-Dachgesetzes erforderlichen Regelungen zu definieren“, führt Wilfried Joswig aus. Die Herausforderung besteht darin, detaillierte und praxisnahe Vorgaben zu entwickeln, die den Betreibern eine klare Richtung vorgeben.

Die Fachverbände und die Normierungsgremien legten bei der Gestaltung des Entwurfs Wert auf die Qualität der Technik und der Dienstleistung zur Absicherung. Sie haben daher zum ersten Referentenentwurf bezüglich der Mindestanforderungen klare Hinweise auf die möglichen einzusetzenden Sicherheitssysteme und anzuwendenden Mindeststandards gegeben. „Leider haben sich diese im zweiten Referentenentwurf nicht wiedergefunden. Es bleibt daher zu hoffen, dass die erforderlichen Risikoanalysen und die noch zu entwickelnden Resilienzstandards hier weiterführende Informationen geben. Dies ist auch der Wunsch der Betreiber der kritischen Infrastrukturen, die sich eine Klarheit bzgl. der gesetzlichen Anforderungen wünschen“, sagt Thomas Hermes,  stellvertretender Vorsitzender des DKE-Arbeitskreises Perimeter Protecion.

Viele Details: vom Zaunsystem bis zum Gefahrenmanagement

Klar ist bisher, dass mit einheitlichen Mindestvorgaben für Resilienzmaßnahmen die Widerstandsfähigkeit der KRITIS-Unternehmen erhöht werden soll. Kritische Infrastrukturen sollen identifiziert und deren Bedrohungslage sowie Risiken besser erkennbar gemacht werden. Zudem sind verbindliche Schutzniveauerhöhungen vorgesehen. Bei der hohen Zahl und Unterschiedlichkeit der betroffenen Unternehmen stellt das eine Mammutaufgabe dar. „Die gesetzlichen Vorgaben gelten für eine Vielzahl von Unternehmen. Erste Schätzungen gehen von einer unteren fünfstelligen Zahl aus. Es bleibt abzuwarten, wie die Nachfrage dieser Unternehmen fristgerecht erfüllt werden kann“, so Thomas Hermes.

Die Umsetzung hängt in der Praxis von zahlreichen Einzelmaßnahmen ab und reicht von der detaillierten Analyse und Bewertung der spezifischen Bedrohungen und Risiken bis zur Erstellung und Umsetzung des Sicherheitskonzepts. Für den Perimeterschutz sind hier eine Vielzahl an kleinen und großen Maßnahmen erforderlich, deren Umsetzung Zeit in Anspruch nehmen wird. „Bei der Gestaltung des Perimeterschutzes, z. B. durch Zaunanlagen, müssen die spezifischen Bedrohungsprofile potenzieller Angreifer sowie die von ihnen verwendeten Hilfsmittel und die Zeit, die sie benötigen, um Sicherheitsbarrieren zu überwinden, berücksichtigt werden“, so Joswig. Dies beinhaltet die Absicherung gegen Durchbrechen, Übersteigen, Untergraben und Überfliegen. Zusätzlich müssen Zufahrten so konzipiert werden, dass sie Fahrzeugdurchfahrten wirksam verhindern können, wobei die genauen Anforderungen an die Gestaltung der Zufahrten und die benötigten Durchfahrtssperren festzulegen sind.

Ebenso ist es erforderlich, die Zugänge und Zufahrten zu kritischen Infrastrukturen so zu gestalten, dass eine sichere und angemessene Kontrolle des Personen- und Warenverkehrs gewährleistet ist. Schließlich müssen die Außenhüllen von Gebäuden, einschließlich Fenster und Türen, spezifischen Anforderungen entsprechen, um einen umfassenden Schutz zu bieten. Diese Sicherungsmaßnahmen erfordern den Einsatz technischer Systeme, beispielsweise für die Detektion von unerwünschten Ereignissen, deren Bewertung und Auslösung von Reaktionen. „Hier kommt der Einsatz von Sicherheitssystemen wie etwa Perimeterdetektionssystemen, Einbruchmeldeanlagen, Videosicherheitssystemen und Gefahrenmanagementsystemen infrage“, erläutert Joswig.

Auf die Anbieter von Zaunsystemen, Zufahrtskontrollen und Überwachungssystemen, wie sie auf der Perimeter Protection in Nürnberg vertreten sind, kommt also viel Arbeit zu. „Unternehmen im Perimeterschutz werden nach einer entsprechenden Verzögerung, die sich durch die notwendigen Risikoanalysen zwangsweise ergeben werden, eine verstärkte Anfrage nach Projekten erhalten. Dabei werden die Qualität und die Ganzheitlichkeit der Absicherung hoffentlich eine maßgebliche Rolle einnehmen“, meint Jürgen Schiller.