KritNis ist aus zwei Regelwerken benannt: KRITIS — die kritischen Infrastrukturen und ihr physischer Schutz — und NIS2, die Netz- und Informationssicherheit. Überwachungstechnik, die an einer kritischen Anlage arbeitet, unterliegt anderen Anforderungen als Standardtechnik. Diese Seite nennt sie mit Fundstelle.
Die Objekte
Kritische Infrastrukturen sind Anlagen, von deren Funktion die Versorgung der Bevölkerung abhängt: Versorger, Wasserwerke, Stadtwerke — und die Anlagen des Verkehrs: Bahnhöfe, Flughäfen, Häfen, Busbahnhöfe. Fällt eine solche Anlage aus, bleibt es nicht bei dem einen Ausfall; ohne Strom stehen Wasserwerke, Kliniken und Kommunikationsnetze (→ Wer ist betroffen?). Die Bedrohungslage ist dabei europäisch zu betrachten: Auch wenn sie in Deutschland weniger intensiv ist, gilt sie für Europa. [PLATZHALTER: Belegabsatz zur Bedrohungslage ausschließlich aus amtlichen Lageberichten (z. B. BSI-Lagebericht, ENISA Threat Landscape) — Auswahl und Zitate in Untermenge U3; bis dahin keine Zahlen und keine Einzelfälle im Text.]
Was das Gesetz von der Anlage verlangt
Das KRITIS-Dachgesetz nennt vier Ziele, die der Betreiber mit technischen, sicherheitsbezogenen und organisatorischen Maßnahmen erreichen muss (§ 13 Absatz 1 und 2 KRITISDachG). Sie bestimmen, was die eingesetzte Technik leisten muss:
| Ziel nach § 13 Absatz 1 KRITISDachG | Was die Technik dafür leisten muss |
|---|---|
| Nr. 1 — das Auftreten von Vorfällen verhindern | Erkennung im Vorfeld, Abschreckung, Perimeterüberwachung |
| Nr. 2 — angemessener physischer Schutz von Liegenschaften und Anlagen | Sicherung von Gelände und Zugängen, Manipulationssicherheit der Technik selbst |
| Nr. 3 — auf Vorfälle reagieren, sie abwehren, Auswirkungen begrenzen | Alarmverifizierung, Aufschaltung auf eine Leitstelle, definierter Meldeweg |
| Nr. 4 — nach Vorfällen die kritische Dienstleistung zügig wiederherstellen | dokumentierte Ereigniskette als Grundlage der Aufklärung, autarke Stromversorgung |
Maßstab ist nach § 13 Absatz 2 KRITISDachG der Stand der Technik; die Maßnahmen müssen verhältnismäßig sein.
Warum Standardtechnik hier nicht genügt
Überwachungstechnik, die an einer kritischen Anlage installiert wird, erfasst diese Anlage: Ihre Kameras bilden sie ab, ihre Übertragungswege führen aus ihr heraus, ihre Ereignisdaten dokumentieren ihren Zustand. Damit gehört die Überwachungstechnik selbst zum schützenswerten Bestand. Aus den Regelwerken folgen deshalb Anforderungen, die normale Video- und Alarmtechnik nicht abdecken muss [Fundstellen aus Sekundärquellen — vor Livegang am Normtext prüfen]:
| Anforderung | mögliche Fundstelle |
|---|---|
| Sicherheit der Lieferkette der eingesetzten Technik | § 30 Abs. 2 Nr. 4 BSIG |
| Sicherheit in Entwicklung und Betrieb, dokumentierte Firmware- und Patchstände | § 30 Abs. 2 Nr. 5 BSIG |
| Verschlüsselung von Übertragung und Speicherung | § 30 Abs. 2 Nr. 8 BSIG |
| Zugangskontrolle, Rollenkonzept, Multi-Faktor-Authentifizierung | § 30 Abs. 2 Nr. 9–10 BSIG |
| Ereignisprotokolle als Grundlage der Meldepflichten | § 32 BSIG; § 18 KRITISDachG |
| physische Manipulationssicherheit; Beitrag zum Resilienzplan | § 13 KRITISDachG |
| erhöhte Anforderungen für Betreiber kritischer Anlagen | § 31 Abs. 1 BSIG |
| Nachweis der Umsetzung alle drei Jahre | § 39 BSIG; § 16 KRITISDachG |
Die Entscheidung liegt bei der Geschäftsleitung
Beide Gesetze binden die Unternehmensspitze persönlich. Nach § 20 KRITISDachG hat die Geschäftsleitung die Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen; bei Verletzung dieser Pflicht haftet sie ihrer Einrichtung für schuldhaft verursachte Schäden. Nach § 38 BSIG muss sie die Risikomanagementmaßnahmen genehmigen, ihre Umsetzung überwachen und sich schulen lassen. Für die Auswahl von Technik folgt daraus: Die Entscheidung ist zu begründen und zu dokumentieren, nicht nur zu treffen.
Was das für unsere Arbeit bedeutet
Wir richten die KritNis-Linie an diesen Maßstäben aus: Komponentenauswahl nach einer festen Beschaffungsregel, Herkunft der Komponenten offengelegt, Nachweise der Hersteller dokumentiert (→ Systemköpfe). Die Regelwerke selbst — Pflichten, Fristen, Bußgelder — stehen auf den Seiten KRITIS und NIS2; den Unterschied der Regelungstechnik gegenüber der US-Liste beschreibt Liste oder Maßstab. Zur Rubrik-Übersicht: Rechtsgrundlagen