Definition KRITIS

Was KRITIS für Unternehmen bedeutet

| Autor / Redakteur: Oliver Schonschek / Peter Schmitz

Das Nationale IT-Lagezentrum ist für Bundesbehörden, Kritische Infrastrukturen (KRITIS) und Partner täglich in Bereitschaft. Wer alles zu KRITIS gehört, muss allerdings noch genau geklärt werden.
Das Nationale IT-Lagezentrum ist für Bundesbehörden, Kritische Infrastrukturen (KRITIS) und Partner täglich in Bereitschaft. Wer alles zu KRITIS gehört, muss allerdings noch genau geklärt werden. (Bild: BSI)

Das IT-Sicherheitsgesetz verlangt von Betreibern kritischer Infrastrukturen, kurz KRITIS, dass sie ihre Netze besser schützen und Angriffe melden. Doch wer genau ist Teil von KRITIS? Und welche Konsequenzen hat das IT-Sicherheitsgesetz für andere Unternehmen?

Für KRITIS gibt es eine offizielle Definition des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK): Kritische Infrastrukturen (KRITIS) sind demnach Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen einträten. BSI und BBK nennen auch eine ganze Reihe von Sektoren (und Branchen), die den Kritischen Infrastrukturen zugeordnet werden.

Alleine diese Definition hilft aber nicht: Gehören wir zu KRITIS oder nicht, diese Frage stellten sich viele Unternehmen spätestens dann, als das IT-Sicherheitsgesetz im Juli 2015 in Kraft getreten war. Insbesondere Unternehmen aus dem Mittelstand waren verunsichert. Die Abgrenzung des Geltungsbereiches des Gesetzes soll per Rechtsverordnung genauer festgelegt werden. Im Februar 2016 wurde der Entwurf einer entsprechenden Rechtsverordnung zum IT-Sicherheitsgesetz veröffentlicht.

Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) begrüßte den Entwurf einer „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz“, meldete aber sogleich Nachbesserungsbedarf an. Auch andere Verbände wie VDE (Verband der Elektrotechnik Elektronik Informationstechnik e.V.), VKU (Verband Kommunaler Unternehmen) oder DVGW (Deutscher Verein des Gas- und Wasserfaches e.V.) sehen den Bedarf einer weiteren Konkretisierung (pdf), wer genau zu KRITIS gehört.

Klar ist hingegen, wer zu UP KRITIS gehört oder gehören kann. Der UP KRITIS ist nach BSI-Definition eine öffentlich-private Kooperation zwischen Betreibern Kritischer Infrastrukturen (KRITIS), deren Verbänden und den zuständigen staatlichen Stellen. Eine Teilnahme an UP KRITIS kann man beantragen, die Mitgliedschaft ist freiwillig. Deshalb gilt: Auch wenn man kein Mitglied im UP KRITIS ist, kann man unter die Vorgaben des IT-Sicherheitsgesetzes fallen.

Bedeutung und Empfehlung für Unternehmen

Bevor die „KRITIS-Verordnung“ nicht final vorliegt, lässt sich zwar sagen, dass bestimmte Branchen zwingend unter die Vorgaben des IT-Sicherheitsgesetzes fallen, ausschließen kann man ein bestimmtes Unternehmen aber nicht so einfach. Selbst auf Basis der KRITIS-Verordnung kann wohl nicht ausgeschlossen werden, dass es Unklarheiten bei der Zuordnung zu KRITIS geben wird.

Laut einer PwC-Umfrage sind sich 18 Prozent der Unternehmen unsicher, ob sie dem IT-Sicherheitsgesetz unterliegen. Betrachtet man die laufende Diskussion um das Thema KRITIS, dürfte die Zahl der Unternehmen, die sich unsicher sind, noch deutlich höher sein. Immerhin bietet zum Beispiel KPMG eine sogenannte Betroffenheitsanalyse, damit Unternehmen besser verstehen, ob sie vom Gesetzgeber als Betreiber einer Kritischen Infrastruktur (KRITIS) angesehen werden und welche Anforderungen des IT-Sicherheitsgesetzes sie erfüllen müssen.

Nicht nur KRITIS-Unternehmen sind betroffen

Wie zum Beispiel der Insider Talk zum IT-Sicherheitsgesetz ergab, betrifft das IT-Sicherheitsgesetz auch den Mittelstand in deutlicher Form, selbst dann, wenn ein Unternehmen nicht selbst zu KRITIS gezählt wird. Dies folgt insbesondere daraus, dass man erwarten kann, dass die betroffenen Unternehmen die Sicherheitsanforderungen an ihre Zulieferer und Dienstleister weitergeben werden, wie auch der Bundesverband der Deutschen Industrie (BDI) erklärt hat.

KRITIS und das IT-Sicherheitsgesetz sind somit für weitaus mehr Unternehmen ein Thema, als der bisherige Entwurf der KRITIS-Verordnung erwarten lässt. Unternehmen tun deshalb gut daran, sich einen Überblick über die Forderungen des IT-Sicherheitsgesetzes zu verschaffen, was zum Beispiel mit einer Tabelle des BSI gut möglich ist. Ebenso sollten Unternehmen die weitere Berichterstattung über KRITIS und das IT-Sicherheitsgesetz hier bei Security-Insider.de im Auge behalten.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Privilegien und Kontrolle für externe Mitarbeiter

Virtueller Wachmann filmt Externe

Privilegien und Kontrolle für externe Mitarbeiter

Bei der Zusammenarbeit über Unternehmensgrenzen hinweg gilt es, User mit erweiterten Privilegien und Zugriffsmöglichkeiten kontrolliert ins Netzwerk einzubinden. Mit „Privileged Access Management“ werden Zugriffe auf kritische Systeme und Daten sogar gefilmt. lesen

Update: Eine Stadt geht offline

Neustadt am Rübenberge

Update: Eine Stadt geht offline

Die Stadtverwaltung von Neustadt am Rübenberge wurde Ziel eines Cyberangriffs. Die Entwicklung im Überblick. lesen

Cyber-Angreifer tarnen sich immer besser

Fortinet Threat Landscape Report

Cyber-Angreifer tarnen sich immer besser

Cyber-Kriminelle suchen nach immer neuen Schwachstellen auf der gesamten digitalen Angriffsfläche von Unternehmen. Mit Ausweich- und Antianalyseverfahren werden ihre Ansätze dabei immer ausgefeilter. Das sind Ergebnisse des aktuellen Fortinet Threat Landscape Report. Zudem hat der Threat Landscape Index einen neuen Höchstwert erreicht: Gegenüber dem Vorjahr hat er sich um fast vier Prozent erhöht. lesen

Redundanz zwischen entfernten Rechenzentren meistern

BSI empfiehlt 200 km Sicherheitsabstand

Redundanz zwischen entfernten Rechenzentren meistern

Die neue Empfehlung zum Mindestabstand redundanter Rechenzentren des BSI stellt Unternehmen vor neue Herausforderungen: Die Latenz zwischen den Rechenzentren wird beim neuen Mindestabstand von 200 Kilometern zu hoch, um Unternehmen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle und logische Fehler wie etwa Ransomware-Attacken zu schützen. lesen

5 Gründe, die das Risiko Kritischer Infrastrukturen erhöhen

Schutz Kritischer Infrastrukturen (KRITIS)

5 Gründe, die das Risiko Kritischer Infrastrukturen erhöhen

Der Schutz Kritischer Infrastrukturen (KRITIS) vor Cyberangriffen ist eine besonders heikle Aufgabe, da bei erfolgreichen Cyberangriffen darauf nicht nur die öffentliche Ordnung bedroht ist und gravierende Störungen von vielen Lebensbereichen eintreten werden, sondern auch ganz konkret Menschenleben in Gefahr sind. lesen

Keine Angst vor dem Worst Case

Professionelles Krisenmanagement

Keine Angst vor dem Worst Case

Jedes Unternehmen kann von professionellem Krisenmanagement profitieren, egal welcher Branche oder welchem Industriezweig der Betrieb angehört. Gutes Krisenmanagement schafft Strukturen, die den Verantwortlichen im Notfall den nötigen Raum geben, souverän, schnell und flexibel auf die verschiedensten Krisensituationen zu reagieren. lesen

Krankenhäuser investieren zu wenig in die Datensicherheit

Schutz vor Hacker-Angriffen

Krankenhäuser investieren zu wenig in die Datensicherheit

Nach den Hacker-Angriffen auf Krankenhäuser in Rheinland-Pfalz und im Saarland fordert der Marburger Bund einen besseren Schutz der sensiblen Patientendaten für alle Kliniken. Dazu solle der Schwellenwert für die KRITIS-Einstufung abgeschafft werden, der die Anzahl der vollstationären Behandlungsfälle pro Jahr bemisst. lesen

Smarte Systeme brauchen smarten Schutz

Sicherheit für vernetzte Endgeräte

Smarte Systeme brauchen smarten Schutz

Alles wird vernetzter, alles wird „smarter“. Vom Fitness-Armband und Auto, bis hin zur Werkzeugmaschine. Sogenannte „Smart-X-Umgebungen“ bringen sowohl für Unternehmen und Privatanwender eine Reihe von Vorteilen. Der Trend hat allerdings auch Schattenseiten und ruft immer wieder Kriminelle auf den Plan. Deshalb müssen diese Umgebungen wirkungsvoll geschützt werden. lesen

Wieder Attacken auf Krankenhäuser

Ransomware

Wieder Attacken auf Krankenhäuser

Erneut wurden deutsche Krankenhäuser per Erpressungstrojaner lahmgelegt. Was Datenschutz und Security-Anbieter dazu sagen – und was Kliniken im Notfall tun können. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 44075860 / Definitionen)