Spionage, Sabotage sowie Cyberattacken sind Teil der russischen Angriffsstrategie, wie jüngst die Sabotageakte bei der Deutschen Bahn und den Gaspipelines Nord Stream gezeigt haben. Vor diesem Hintergrund hat Bundesinnenministerin Nancy Faeser ein Gesetz zum Schutz kritischer Infrastrukturen angekündigt und erste Inhalte konkretisiert.
Laut den Plänen des Innenministeriums sollen mindestens elf Sektoren zur kritischen Infrastruktur zählen:
- Energie
- Verkehr
- Bankwesen
- Finanzmarktinfrastrukturen
- Gesundheit
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- Öffentliche Verwaltung
- Weltraum
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Eine verbindliche Legaldefinition von KRITIS-Einrichtungen soll erarbeitet werden.
Daneben beinhaltet das KRITIS-Eckpunktepapier verbindliche Standards für die sektorübergreifende Vorsorge und Prävention zum Schutz kritischer Infrastrukturen sowie Standards für das Risiko- und Krisenmanagement. Dabei nimmt das Gesetz nicht nur Sabotageakte, sondern auch Naturkatastrophen, Terrorismus, menschliches Versagen und andere mögliche Ereignisse als Gefahrenquellen auf.
Neben der IT-Infrastruktur steht damit auch erstmals der physische Schutz kritischer Infrastrukturen als eigenes Thema im Fokus. Damit einher gehen etwa neue Mindeststandards unter anderem für die Errichtung von Zäunen, Anschaffung von Detektionsgeräten, Zugangskontrollen etc. Die Koordination soll das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK:Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) übernehmen. Zudem ist der Aufbau eines zentralen Störungsmonitorings vorgesehen, in das sämtliche Meldungen zu Störungen kritischer Infrastrukturen einlaufen sollen.
Krisenmanagement bedarf Standards
Das Ziel ist klar: Es geht darum, die Widerstandskraft des Gesamtsystems der kritischen Infrastrukturen zu stärken und Handlungssicherheit zu schaffen. Dazu müssen die Verantwortlichkeiten sowie Rechte und Pflichten staatlicher und wirtschaftlicher Akteure verbindlich geregelt sein. Es braucht ein professionelles Krisenmanagement und einheitliche Regeln, um im Notfall schnell und richtig agieren zu können.
Das KRITIS-Dachgesetz soll die bestehenden Regelungen zum Cyberschutz von kritischen Infrastrukturen ergänzen. Es obliegt dem Bundesamt für Sicherheit in der Informationstechnik (BSI:Bundesamt für Sicherheit in der Informationstechnik). Das BBK:Bundesamt für Bevölkerungsschutz und Katastrophenhilfe soll zur übergreifenden Behörde im Bereich KRITIS ausgebaut werden.
Mit dem KRITIS-Dachgesetz realisiert die Regierung ein Vorhaben aus dem Koalitionsvertrag. Außerdem soll das Gesetz die EU-Richtlinie über die Resilienz kritischer Einrichtungen (Critical Entities Resilience / CER-Richtlinie) umsetzen, die im Dezember 2022 verabschiedet wurde. Der deutsche Rechtsrahmen für den Schutz kritischer Infrastrukturen wird somit in ein europäisches Gesamtsystem eingebettet. Die Stärkung der Resilienz kritischer Infrastrukturen wird darüber hinaus auch auf Ebene der NATO als Ziel verfolgt.
Heterogener Anbietermarkt aus staatlichen- und wirtschaftlichen Unternehmen
In Deutschland ist es seit jeher Aufgabe der Unternehmen und Behörden, die kritische Infrastruktur betreiben, für einen sicheren und zuverlässigen Betrieb ihrer Anlagen und Einrichtungen zu sorgen. Geht es um Spionagerisiken, erhalten sie Warnungen vom Verfassungsschutz. Ist die Cybersicherheit betroffen, stehen sie in Kontakt mit dem BSI:Bundesamt für Sicherheit in der Informationstechnik. Die verschiedenen Abhängigkeiten der Parteien untereinander stellen komplexe Herausforderungen dar. Gibt es Ausfälle in einem Sektor, etwa in der Energie, IT oder Logistik, kann dies schwere Auswirkungen auch auf andere Sektoren und damit auf die gesamte Wertschöpfungskette und Gesellschaft nehmen.
Das will das KRITIS-Dachgesetz adressieren und die kritische Infrastruktur künftig resilienter machen. Dazu sollen sogenannte „technische Redundanzen“ eingeführt werden, quasi doppelte Böden, damit Sabotageakte nicht gleich zu einem Totalausfall von Systemen führen und die Auswirkungen begrenzt bleiben.
Heute schon bestehen sektoren- sowie länderübergreifende Abhängigkeiten, Verflechtungen auf Bund- und Länderebene sowie ein heterogener Anbietermarkt aus staatlichen und wirtschaftlichen Unternehmen. Es existiert also schon an etlichen Stellen jahrelange Erfahrung und eine hohe Kompetenz. Dieses Potenzial muss genutzt werden.
Umfassende Debatte mit allen Akteuren notwendig
Securitas – größter privater Sicherheitspartner in Deutschland – verfügt über tiefgreifendes Know-how sowie über Jahre aufgebautes Praxiswissen vor allem in den Bereichen Technik, Ethik und Management. Daher begrüßen wir die Bestrebungen der Bundesregierung. Mit dem KRITIS-Dachgesetz wird erstmals ein ganzheitlicher Ansatz im Bereich der Absicherung von kritischer Infrastruktur verfolgt, der unterschiedliche Bedrohungsszenarien gleichranging in Betracht zieht.
Die vorliegenden Eckpunkte für das KRITIS-Dachgesetz enthalten jedoch noch wenig konkrete Details zur praktischen Ausgestaltung von Infrastruktursicherheitsmaßnahmen. Aus Sicht von Securitas muss es daher nun darum gehen, einen ganzheitlichen Systemansatz auf den Weg zu bringen, auf dessen Grundlage staatliche Stellen, Betreiber von KRITIS und weitere beteiligte Akteure wie etwa Sicherheitsdienstleister spezifische Lösungen entwickeln können.
Um das Schutzniveau von KRITIS darüber hinaus sektorenübergreifend zu erhöhen, bedarf es einheitlicher Mindeststandards für personelle, technische und organisatorische Sicherheitsmaßnahmen. Diese Standards sind auch bei der Auftragsvergabe an Sicherheitsdienstleister im KRITIS-Bereich maßgeblich. Es gilt von vornherein sicherzustellen, dass mit Sicherungsaufgaben betraute Dienstleister alle gesetzlichen Anforderungen vollumfänglich erfüllen können.
Securitas wünscht sich eine umfassende Debatte zum Gesetzesentwurf über das geplante KRITIS-Dachgesetz mit allen Akteuren – auch denen aus der Zivilgesellschaft. In diese Debatte werden wir uns aktiv einbringen.
Sicherheit im Dialog
Wir freuen uns darauf, mit Ihnen zum KRITIS-Dachgesetz ins Gespräch zu kommen. Gerne vereinbaren wir einen Termin mit Ihnen und Jens Müller, Geschäftsführer / Head of Public Affairs Securitas Deutschland.
E-Mail: public.affairs@securitas.de
