Cybersecurity für Kritische Infrastrukturen (KRITIS)

In Deutschland heißt dieses Gesetz „IT-Sicherheitsgesetz” (Version 2.0 seit 2022), das als Artikelgesetz das für KRITIS relevante „Einzelgesetz” ändert, nämlich das BSI-Gesetz, kurz BSIG.

Mit dem IT-Sicherheitsgesetz 2.0 bzw. dem geänderten BSIG haben sich die Pflichten für deutsche KRITIS-Betreiber nochmals verschärft. Auch der Kreis der betroffenen Unternehmen hat sich durch neue Definitionen und Schwellenwerte erhöht.

Mit dem IT-Sicherheitsgesetz 2.0 ist unserer Einschätzung nach Deutschland wie bereits bei der NIS-1-Richtlinie der NIS-2-Richtlinie als Vorreiter „inhaltlich und zeitlich zuvorgekommen”. Das strenge IT-Sicherheitsgesetz 2.0 dürfte bereits Teile der neuen NIS-2-Richtlinie umgesetzt haben. Die fehlenden Teile und ein zu erwartender, erweiteter Betroffenenkreis würden dann möglicherweise in einem IT-Sicherheitsgesetz 3.0 in nationales Recht umgesetzt werden (Update 07_2023: Nicht IT-Sicherheitsgesetz 3.0, sondern NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG)).
Dasselbe Umsetzungsszenario gilt auch als wahrscheinlich für die EU RCE Directive on the resilience of critical entities, die CER-Richtlinie, welche per KRITIS-Dachgesetz in nationales Recht umgesetzt werden soll.

Es geht bei allen Regularien zur KRITIS-Cybersicherheit immer um die Sicherstellung von angemessenen organisatorischen und technischen Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit der informationstechnischen Systeme, Komponenten oder Prozesse. Diese müssen dem aktuellen Stand der Technik entsprechen, um ein hohes Sicherheitsniveau von Netz- und Informationssystemen zu erreichen.