Kritische Infrastruktur

Fällt ein Rechenzentrum aus, merkt es ein Unternehmen. Fällt die Leitstelle eines Wasserwerks aus, merkt es eine ganze Region. Genau an dieser Reichweite entscheidet sich, was als kritische Infrastruktur gilt.
Sonnenaufgang. Die kritische Infrastruktur einer pulsierenden Stadt erwacht. Eine junge Frau blickt euphorisch in die Zukunft.
© TranNgoc

Was kritische Infrastruktur ist

Kritische Infrastruktur umfasst Einrichtungen und Anlagen, deren Ausfall zu erheblichen Versorgungsengpässen, zu Gefahren für die öffentliche Sicherheit oder zu schweren wirtschaftlichen Folgen führen würde. Dazu zählen Energie- und Wasserversorgung, Ernährung, Gesundheit, Verkehr, Finanzwesen sowie Informationstechnik und Telekommunikation. Träger sind staatliche Stellen ebenso wie private Unternehmen.

Entscheidend ist nicht die Größe eines Betriebs, sondern seine Bedeutung für die Versorgungssicherheit. Ein regionales Wasserwerk kann darunter fallen, ein großer Onlinehändler nicht. Maßgeblich ist die Folge eines Ausfalls für die Allgemeinheit, nicht der wirtschaftliche Schaden des Betreibers.

Die Sektoren im Überblick

Der deutsche Rechtsrahmen ordnet die Einrichtungen Sektoren zu und legt für jeden Schwellenwerte fest, etwa versorgte Einwohner, transportierte Menge oder Zahl der Anschlüsse. Erst oberhalb dieser Grenze gelten die besonderen Pflichten, darunter bleibt es bei den allgemeinen Anforderungen an die IT-Sicherheit. Die Zuordnung ist damit rechnerisch und nicht politisch, was für Betriebe an der Schwelle regelmäßig zur Frage wird. Softwareprodukte selbst sind keine kritische Infrastruktur, wohl aber die Anwendungen, mit denen ein solcher Betrieb gesteuert wird, weshalb die Softwareentwicklung für KRITIS eigenen Anforderungen folgt.

Wer als Betreiber gilt

Betreiber ist, wer die tatsächliche Kontrolle über eine solche Anlage ausübt, unabhängig von der Eigentümerstellung. Damit können auch Dienstleister erfasst sein, die eine Anlage im Auftrag führen. Mit der Einstufung entstehen Pflichten, die über die üblichen Sorgfaltsanforderungen hinausgehen. Dazu gehören der Nachweis angemessener technischer und organisatorischer Vorkehrungen, eine ständig erreichbare Meldestelle für Sicherheitsvorfälle und die regelmäßige Prüfung durch unabhängige Dritte. Wer Software für einen solchen Betrieb liefert, wird über Verträge und Nachweispflichten mit hineingezogen, ohne selbst Betreiber zu sein. Nachweise werden dabei periodisch verlangt, nicht einmalig zum Zeitpunkt der Einstufung.

Pflichten und Rechtsrahmen

Der Rahmen stammt aus dem BSI-Gesetz und wird durch die europäische NIS-2-Richtlinie erweitert, die den Kreis der erfassten Einrichtungen deutlich vergrößert und die Geschäftsleitung persönlich in die Pflicht nimmt. Beide Regelwerke gelten nebeneinander, wobei KRITIS und NIS-2 unterschiedliche Schwellen, Fristen und Meldewege vorsehen. Für den Schutz kritischer Infrastrukturen zählen dabei nicht nur Angriffe von außen. Ausfälle durch Wetterereignisse, Lieferengpässe bei Ersatzteilen und fehlendes Fachpersonal wirken sich auf die Versorgungssicherheit genauso aus und gehören deshalb in dieselbe Risikobetrachtung. Belastbar wird sie erst durch Übungen, weil sich ein Notbetrieb auf dem Papier nie so verhält wie im Ernstfall.

Aktuelle Themen

Alle Über unsEntwicklungEventsMarketingSonstigesNews & TrendsArbeitswelt & Digitalisierung
Zwei Personen um die dreißig stehen sich vor korallenrotem Grund gegenüber. Links hält eine Frau eine einzelne durchscheinende Belegkarte mit eingravierter Gitterstruktur, rechts sinkt einem Mann ein ganzer Fächer solcher Karten in die offene Hand, die unterste davon gelbgrün. Sinnbild dafür, dass die E-Rechnungspflicht für Vereine zuerst die Eingangsseite trifft und nicht den eigenen Rechnungsausgang.
E-Rechnungspflicht für Vereine: Welcher Stichtag wirklich gilt
Zum 1. Januar 2027 endet eine Übergangsfrist, und in vielen Vereinsrundschreiben steht deshalb, die E-Rechnungspflicht für Vereine beginne jetzt. Für dein eigenes Rechnungsschreiben stimmt das fast sicher nicht. Geld kosten kann die E-Rechnung im Verein trotzdem, und drei Fragen entscheiden darüber.
Weiterlesen... Lesezeit: 6 Min.
Eine junge Frau mit Brille sitzt auf einem Bürostuhl und blickt zu einem gelbgrünen Briefumschlag, der über ihr in einem Kreis aus durchscheinenden digitalen Umschlägen schwebt. Sinnbild für die interaktive E-Mail, in der die Handlung direkt in der Nachricht stattfindet.
Interaktive E-Mail: Die Technik, die Newsletter neu definiert
Die interaktive E-Mail verändert, wie kleine und mittelständische Unternehmen Kunden über das Postfach erreichen. Statt nur Informationen zu senden, werden direkt in der Nachricht konkrete Handlungen möglich, von der Mini-Umfrage bis zur Produktwahl. Unterstützt durch interaktives E-Mail Marketing und Technologien wie AMP Email verkürzt sich der Weg von Interesse zu Aktion deutlich, was gerade im Alltag von KMU spürbare Effekte erzeugen kann.
Weiterlesen... Lesezeit: 6 Min.
Drei offene Türen nebeneinander, hinter jeder derselbe Raum mit demselben Schreibtisch, derselben Lampe und derselben Pflanze. Eine der Türen ist gelbgrün. Ein Sinnbild für viele identische Instanzen derselben Anwendung.
Kubernetes vs. Docker: Was die beiden wirklich unterscheidet
Kubernetes vs. Docker wird oft als Entscheidung zwischen zwei Alternativen dargestellt. Tatsächlich lösen die beiden unterschiedliche Aufgaben und werden in vielen Umgebungen gemeinsam eingesetzt. Dieser Beitrag ordnet ein, was Docker leistet, wo Kubernetes ansetzt und ab wann sich der Aufwand einer vollwertigen Orchestrierung überhaupt rechnet.
Weiterlesen... Lesezeit: 4 Min.