Orientierung im Kritis-Dschungel

Was den Schutz Kritischer Infrastruktur betrifft, hat sich die Politik offensichtlich viel vorgenommen – und ist aktiv geworden, sehr aktiv. Die EU hat ein Gesetz verabschiedet, das in Deutschland noch nicht gilt. Die Bundesregierung hat sich auf Eckpunkte für ein „Kritis-Dachgesetzes“ verständigt, dessen Entwurf noch nicht vorliegt. Dabei gibt es mit dem IT-Sicherheitsgesetz 2.0 bereits ein Kritis-Gesetz, das erst letztes Jahr eingeführt wurde und das ab Mai 2023 für einige Betreiber verpflichtende Maßnahmen vorsieht. Wozu also noch ein Gesetz?

Offensichtlich sind Bundesregierung und Europäische Union, welche die Initiative zum neuen „Kritis-Dachgesetz“ angestoßen hat, mit den vom BSI (Bundesamt für Sicherheit in der Informationssicherheit) ausgearbeiteten Kritis-Kriterien nicht zufrieden. Die Behörde zählt die Bereiche Energieversorgung, Transport und Verkehr, Telekommunikation, Informationstechnik, Gesundheit, Wasser und Ernährung zu den Kritischen Infrastrukturen, also insgesamt sieben Sektoren, die spontan alle einleuchten. Dass allerdings auch das Finanz- und Versicherungswesen sowie die Siedlungsabfallentsorgung unter das Gesetz fallen, überrascht. Ebenso die Tatsache, dass ausgerechnet Polizei und Militär nicht zur kritischen Infrastruktur zählen, dafür aber Online-Suchmaschinen.

Die Bundesregierung, die mit dem „Kritis-Dachgesetz“ die so genannte CER-Richtlinie der EU für Deutschland umsetzen soll, zweifelt offenbar auch am BSI als geeigneter Behörde zur Überwachung und Kontrolle der gesetzlichen Vorgaben. Denn die Verantwortung für das geplante, neue Gesetz soll zukünftig beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) liegen, ein deutlicher Hinweis darauf, dass die Kritis-Kriterien des BSI der Bundesregierung zu eng gefasst sind und zukünftig neben der IT-Sicherheit auch die physische Sicherheit abdecken sollen. Dazu passt auch, dass zukünftig elf statt bisher sieben Bereiche als Kritische Infrastrukturen identifiziert werden.

Doch auch im „Kritis-Dachgesetz“ sind die genauen Kriterien noch weitgehend unklar, welche Unternehmen zukünftig zu den Kritischen Infrastrukturen zählen werden, die dann beispielsweise Schutzzäune und Zutrittskontrolle einführen müssen. Denn bisher wurden nur Eckpunkte des geplanten Gesetzes veröffentlicht. So besteht aktuell die Gefahr, dass das Definitionswirrarr noch größer anstatt kleiner wird und die hehre Absicht, mehr Klarheit zu schaffen, letztlich im Chaos endet.