Contact

KRITIS-Dachgesetz (KRITIS-DG)

Das KRITIS-Dachgesetz soll die physische Resilienz kritischer Infrastrukturen in Deutschland stärken und ergänzt bestehende Anforderungen aus Informationssicherheit und Cybersecurity um organisatorische, technische und bauliche Schutzmaßnahmen. Im Fokus stehen Betreiber kritischer Infrastrukturen, deren Ausfall erhebliche Auswirkungen auf Versorgungssicherheit, Wirtschaft oder öffentliche Sicherheit hätte. Ziel ist es, die Widerstandsfähigkeit kritischer Infrastrukturen gegenüber Naturgefahren, Sabotage, Terrorismus, technischen Störungen und sonstigen Krisenlagen nachhaltig zu erhöhen.

Das KRITIS-Dachgesetz verpflichtet betroffene Einrichtungen dazu, nachweisbar:

  • kritische Anlagen, Prozesse und Dienstleistungen zu identifizieren und zu schützen
  • Risiken und Bedrohungen für die physische Resilienz systematisch zu bewerten
  • angemessene technische, organisatorische und bauliche Schutzmaßnahmen umzusetzen
  • kritische Abhängigkeiten zu Infrastruktur, Personal, Lieferanten und Dienstleistern zu analysieren
  • Verfahren zur Bewältigung schwerwiegender Störungen und Krisen vorzuhalten
  • die Wirksamkeit ihrer Schutz- und Resilienzmaßnahmen regelmäßig zu überprüfen
  • erhebliche Sicherheitsvorfälle zu dokumentieren und zu melden
  • die Umsetzung der Anforderungen gegenüber zuständigen Behörden nachzuweisen

5 typische Herausforderungen bei der Umsetzung

Die wenigsten KRITIS-Betreiber beginnen ohne bestehende Sicherheits- oder Resilienzmaßnahmen. Die Herausforderung besteht häufig darin, physische Sicherheit, BCM, Krisenmanagement, Informationssicherheit und regulatorische Anforderungen in einem gemeinsamen Resilienzansatz zusammenzuführen.

1

Kritische Anlagen und Dienstleistungen sind nicht ausreichend transparent

Häufig fehlt ein vollständiger Überblick darüber, welche Anlagen, Standorte, Prozesse und Ressourcen tatsächlich für die Erbringung kritischer Dienstleistungen erforderlich sind und welche Auswirkungen ihr Ausfall hätte.

2

Physische und organisatorische Risiken werden getrennt betrachtet

Sicherheits-, Risiko-, BCM- und Krisenmanagementaktivitäten existieren oft nebeneinander. Ein integrierter Resilienzansatz über alle relevanten Gefährdungen hinweg fehlt jedoch häufig.

3

Kritische Abhängigkeiten sind nicht ausreichend bewertet

Abhängigkeiten zu Energieversorgung, Telekommunikation, Personal, Lieferanten, Dienstleistern oder anderen Infrastrukturbetreibern werden häufig unterschätzt oder nicht systematisch analysiert.

4

Krisen- und Bewältigungsfähigkeit wurde nicht ausreichend getestet

Viele Organisationen verfügen über Konzepte und Notfalldokumentationen, haben jedoch nie überprüft, ob Führungs- und Entscheidungsstrukturen unter realistischen Krisenbedingungen tatsächlich funktionieren.

5

Regulatorische Nachweise sind schwer belegbar

Vorhandene Maßnahmen sind oftmals nicht ausreichend dokumentiert, Verantwortlichkeiten nicht eindeutig geregelt oder Wirksamkeitsnachweise fehlen. Dies erschwert Audits, Prüfungen und behördliche Nachweise.

Unsere Leistungen

Von der ersten Standortbestimmung bis zur Vorbereitung auf behördliche Prüfungen begleiten wir Betreiber Kritischer Infrastrukturen bei der strukturierten Umsetzung der Anforderungen des KRITIS-Dachgesetzes.

KRITIS-Gap-Analyse und Reifegradbewertung

Bewertung bestehender Sicherheits-, Resilienz- und BCM-Strukturen im Hinblick auf die Anforderungen des KRITIS-Dachgesetzes.

Ermittlung kritischer Prozesse, Standorte, Ressourcen und unterstützender Infrastruktur.

Bewertung physischer, technischer, organisatorischer und hybrider Bedrohungen.

Bestimmung von Ausfallfolgen, Wiederanlaufanforderungen und Prioritäten kritischer Leistungen.

Entwicklung organisatorischer, technischer und baulicher Maßnahmen zur Erhöhung der Widerstandsfähigkeit.

Aufbau oder Weiterentwicklung von Krisenstäben, Eskalationswegen und Führungsprozessen.

Bewertung kritischer externer und interner Abhängigkeiten.

Planung, Durchführung und Auswertung von Übungen zur Überprüfung der Handlungsfähigkeit.

Unterstützung bei behördlichen Anforderungen, Audits und regulatorischen Nachweisen.