KRITIS: Definition, Erklärung & Beispiele

KRITIS steht für Kritische Infrastrukturen, die für das Funktionieren einer Gesellschaft und Wirtschaft von zentraler Bedeutung sind. Dazu zählen Bereiche wie Energieversorgung, Wasserwirtschaft, Gesundheitswesen, Transport und Kommunikation. Der Schutz dieser Infrastrukturen ist essenziell, um die öffentliche Sicherheit und die wirtschaftliche Stabilität zu gewährleisten.

Der Schutz von KRITIS erfolgt durch verschiedene Maßnahmen, die technische, organisatorische und personelle Aspekte umfassen. Betreiber müssen Sicherheitsstandards einhalten, regelmäßige Prüfungen durchführen und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Zudem sind sie verpflichtet, Systeme zur Angriffserkennung zu implementieren und ihre Sicherheitskonzepte kontinuierlich zu aktualisieren.

Die KRITIS-Verordnung 2026 konkretisiert die Anforderungen an Betreiber kritischer Infrastrukturen, insbesondere hinsichtlich neuer Schwellenwerte und Anlagen. Ab dem 6. Dezember 2025 müssen Betreiber zusätzliche Vorgaben erfüllen, um den Schutz gegen Cyberangriffe und andere Bedrohungen zu verbessern. Dies betrifft auch neue Sektoren wie digitale Energiedienste und Sozialversicherungen.

Durch die Umsetzung der EU-NIS-2-Richtlinie wird die Anzahl der in Deutschland als KRITIS eingestuften Unternehmen von etwa 1.600 auf bis zu 29.000 steigen. Dies umfasst sowohl große Unternehmen als auch kleinere Betriebe, die für die Aufrechterhaltung kritischer Infrastrukturen verantwortlich sind.

KRITIS-Software muss aufgrund der hohen Anforderungen an Resilienz typischerweise 10 bis 15 Jahre stabil laufen. Diese langen Lebenszyklen unterscheiden sich erheblich von der Standard-IT, wo Software oft schneller veraltet oder ersetzt wird. Daher ist eine sorgfältige Planung und Entwicklung notwendig.

Die Implementierung einer vollständigen KRITIS-Lösung mit komplexer Systemintegration benötigt in der Regel zwischen 9 und 18 Monaten. Für die Entwicklung einer ersten produktiven Individualsoftware kann jedoch bereits eine Zeitspanne von 4 bis 6 Monaten ausreichend sein, abhängig von den spezifischen Anforderungen und der Komplexität des Projekts.

KRITIS-Betreiber sind gesetzlich verpflichtet, alle zwei Jahre einen IT-Sicherheits-Prüfbericht zu erstellen, der den aktuellen Stand der Technik dokumentiert. Dieser Bericht muss beim Bundesamt für Sicherheit in der Informationstechnik (BSI) vorgelegt werden, um die Einhaltung der Sicherheitsstandards zu gewährleisten.

Das IT-Sicherheitsgesetz 2.0, das im Mai 2021 in Kraft trat, erweitert die Anforderungen an Betreiber kritischer Infrastrukturen in Deutschland. Es legt neue Sicherheitsvorgaben fest, darunter die Verpflichtung zur Implementierung von Systemen zur Angriffserkennung ab dem 1. Mai 2023, um die IT-Sicherheit in KRITIS zu erhöhen.

Bei der Entwicklung von KRITIS-Software sind mehrere Normen von zentraler Bedeutung, darunter NIS2, IEC 62443 und der kommende Cyber Resilience Act (CRA). Diese Normen legen Standards für die Ausfallsicherheit und Cybersecurity fest und helfen, die Systeme vor Bedrohungen zu schützen und die Resilienz zu erhöhen.

Ab dem 6. Dezember 2025 gelten neue Anforderungen für KRITIS-Betreiber, die in der KRITIS-Verordnung 2026 festgelegt sind. Diese beinhalten unter anderem neue Schwellenwerte und spezifische Vorgaben für digitale Energiedienste und Sozialversicherungen, um den Schutz kritischer Infrastrukturen weiter zu stärken.

Betreiber kritischer Infrastrukturen müssen sich gemäß §8b BSIG beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Bei der Registrierung müssen sie eine jederzeit erreichbare Kontaktstelle benennen. Nach der Registrierung haben sie eine Frist von zwei Jahren, um die damit verbundenen Cyber-Security-Pflichten umzusetzen.

Das Förderschwerpunkt-Programm „IT-Sicherheit für Kritische Infrastrukturen“ (ITS|KRITIS) wurde von 2014 bis 2018 durchgeführt, um die IT-Sicherheit in kritischen Infrastrukturen zu verbessern. Es förderte kooperative Forschungsprojekte, die innovative Lösungen und Konzepte zur Sicherstellung der IT-Sicherheit in diesen Bereichen entwickelten.

Das IT-Sicherheitsgesetz 2.0 hat den KRITIS-Katalog erweitert, um zusätzliche Sektoren einzubeziehen. Dazu gehören Hersteller kritischer Komponenten, Unternehmen im besonderen öffentlichen Interesse sowie die Siedlungsabfallentsorgung, wodurch der Schutz kritischer Infrastrukturen umfassender gestaltet wird.

Eine KRITIS-Zertifizierung bietet mehrere Vorteile, darunter die Erhöhung der Sicherheit kritischer Infrastrukturen und das Vertrauen in die IT-Sicherheit der betroffenen Unternehmen. Zudem kann eine Zertifizierung als Nachweis gegenüber Kunden und Partnern dienen und die Einhaltung gesetzlicher Vorgaben unterstützen.

Die Umsetzung von KRITIS-Vorgaben kann mit verschiedenen Herausforderungen verbunden sein, wie etwa der Notwendigkeit, bestehende Systeme anzupassen oder neu zu implementieren. Zudem müssen Unternehmen sicherstellen, dass sie über die erforderlichen Ressourcen und Fachkenntnisse verfügen, um die hohen Sicherheitsstandards zu erfüllen.

Die Resilienz von KRITIS-Systemen wird durch verschiedene Indikatoren gemessen, darunter die Fähigkeit, Störungen zu erkennen, darauf zu reagieren und sich von ihnen zu erholen. Dazu zählen auch regelmäßige Sicherheitsprüfungen, Notfallpläne und die Implementierung von redundanten Systemen, um Ausfälle zu minimieren.

Die wichtigsten Aspekte der KRITIS-Sicherheit umfassen den Schutz vor Cyberangriffen, die Gewährleistung der Verfügbarkeit und Integrität von Systemen sowie die Einhaltung gesetzlicher Vorgaben. Zudem spielen regelmäßige Schulungen der Mitarbeiter und die Implementierung von Sicherheitsrichtlinien eine zentrale Rolle bei der Sicherstellung der IT-Sicherheit.