Kritische Infrastrukturen (KRITIS)

Definition

Kritische Infrastrukturen sind Organisationen und Einrichtungen von zentraler Bedeutung für das staatliche Gemeinwesen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe, Sicherheitsrisiken oder andere dramatische Folgen nach sich ziehen würde, insbesondere im betrieblichen Alltag.

Erklärung / Hintergrund

Zu Kritischen Infrastrukturen zählen unter anderem Energie- und Wasserversorgung, Gesundheitswesen, Finanzwesen, Transport und Verkehr sowie Informationstechnik selbst, für die häufig besondere gesetzliche Anforderungen an die IT-Sicherheit gelten, um deren Funktionsfähigkeit dauerhaft sicherzustellen.

Für Unternehmen ist KRITIS relevant, weil Betreiber solcher Infrastrukturen besonderen regulatorischen Pflichten unterliegen, etwa hinsichtlich Meldepflichten bei Sicherheitsvorfällen oder Mindestanforderungen an technische und organisatorische Schutzmaßnahmen, die über allgemeine Anforderungen hinausgehen.

Für Architektur- und Ingenieurbüros ist KRITIS relevant, wenn sie an Projekten für Betreiber Kritischer Infrastrukturen mitwirken, etwa bei der Planung von Energieversorgungsanlagen oder Krankenhäusern, wodurch auch für das Planungsbüro selbst erhöhte Anforderungen an den Umgang mit sensiblen Projektdaten entstehen können.

Abzugrenzen ist KRITIS von der allgemeineren Critical National Infrastructure, die einen international gebräuchlichen Begriff für ähnliche Konzepte darstellt, während KRITIS speziell den deutschen rechtlichen Rahmen bezeichnet. Das ISMS wird für KRITIS-Betreiber häufig zur verpflichtenden Grundlage. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.

Praxisrelevanz

Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist KRITIS relevant, wenn Ihr Unternehmen an Projekten für Betreiber Kritischer Infrastrukturen mitwirkt, etwa bei der Planung von Energieversorgungsanlagen oder Krankenhäusern, da solche Auftraggeber häufig besonders hohe Anforderungen an den sicheren Umgang mit Projektdaten stellen. Ein gutes Verständnis der geltenden Anforderungen erleichtert Ihnen die erfolgreiche Zusammenarbeit mit solchen Auftraggebern erheblich. Für die Cyberversicherung ist relevant, dass Projekte im KRITIS-Umfeld häufig eine besonders sorgfältige Risikoeinschätzung erfordern, da mögliche Folgen eines Sicherheitsvorfalls hier besonders gravierend ausfallen können. Eine frühzeitige Beratung hilft Ihnen, passenden Versicherungsschutz zu finden. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.

Praxisbeispiel

Ein Ingenieurbüro wird mit der Planung einer Erweiterung eines regionalen Energieversorgers beauftragt, der als Betreiber Kritischer Infrastruktur gilt. Der Auftraggeber fordert vom Büro den Nachweis besonders strenger Sicherheitsmaßnahmen für den Umgang mit sensiblen Planungsdaten, einschließlich verschlüsselter Übertragung und eingeschränkter Zugriffsrechte. Die Geschäftsführung passt daraufhin gemeinsam mit einem externen Berater die internen Prozesse an die erhöhten Anforderungen an, um die Zusammenarbeit mit diesem und künftigen KRITIS-Auftraggebern erfolgreich zu ermöglichen und gleichzeitig das eigene Sicherheitsniveau nachhaltig zu verbessern. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.

FAQ

Was versteht man unter Kritischen Infrastrukturen?

Kritische Infrastrukturen sind Organisationen von zentraler Bedeutung für das Gemeinwesen, deren Ausfall erhebliche Versorgungsengpässe zur Folge hätte.

Welche Bereiche zählen zu KRITIS?

Dazu zählen unter anderem Energie- und Wasserversorgung, Gesundheitswesen, Finanzwesen, Transport und Informationstechnik.

Warum ist KRITIS für Ingenieurbüros relevant?

Bei Projekten für KRITIS-Betreiber, etwa Energieversorger oder Krankenhäuser, gelten häufig besonders hohe Anforderungen an den Datenumgang.

Wie unterscheidet sich KRITIS von Critical National Infrastructure?

KRITIS bezeichnet speziell den deutschen rechtlichen Rahmen, während Critical National Infrastructure ein international gebräuchlicher Begriff ist.

Welche Rolle spielt die Cyberversicherung bei KRITIS-Projekten?

Solche Projekte erfordern häufig eine besonders sorgfältige Risikoeinschätzung, da mögliche Folgen eines Vorfalls hier besonders gravierend ausfallen können.

Verwandte Begriffe

• ISO 27001 – wird von KRITIS-Betreibern und deren Partnern häufig als Nachweis für angemessene IT-Sicherheit gefordert.

• Business Continuity Management (BCM) – ist für KRITIS-Betreiber besonders wichtig, um Ausfälle zu vermeiden.

• Critical National Infrastructure (CNI) – stellt den international gebräuchlichen Begriff für ein ähnliches Konzept wie KRITIS dar.

• ISMS (Informationssicherheitsmanagementsystem) – wird für KRITIS-Betreiber häufig zur verpflichtenden Grundlage.