Moderne, hoch entwickelte und technologisierte Gesellschaften sind auf eine zuverlässige Infrastruktur angewiesen. Störungen und Ausfälle beispielsweise in der Energie- und Wasserversorgung oder im Notfall- und Rettungswesen können erhebliche volkswirtschaftliche Schäden nach sich ziehen und weite Teile der Bevölkerung unmittelbar betreffen.
Der Schutz sog. “Kritischer Infrastrukturen” ist deshalb eine wichtige Aufgabe vorsorgender Sicherheitspolitik.
System der Selbstregulierung
Im Rahmen des UP KRITIS, einer öffentlich-privaten Partnerschaft von Betreibern und dem Bund, wurden in der Vergangenheit Konzepte und Handlungsempfehlungen erarbeitet, um den Schutz der Informationstechnik in Kritischen Infrastrukturen zu verbessern und in den einzelnen Sektoren ein einheitlich hohes IT-Sicherheitsniveau zu erreichen. Dieses System der Selbstregulierung hat zwar zu einer spürbaren Erhöhung des Sicherheitsniveaus geführt. Ausgehend von den in der Praxis erzielten Erfahrungswerten war jedoch nicht hinreichend sichergestellt, dass sich in den einzelnen Sektoren ein gleichwertiges und hinreichendes Schutzniveau für die eingesetzte Informationstechnik herausbilden kann.
Gesetzliche Regelungen
Das am 25. Juli 2015 in Kraft getretene IT-Sicherheitsgesetz regelte deshalb, dass Betreiber kritischer Infrastrukturen zur Umsetzung von Mindeststandards verpflichtet werden und zudem Meldepflichten vorgeschrieben werden.
Das Bundesministerium des Innern (BMI) hat nun darüber hinaus einen Referentenentwurf einer Verordnung zur Bestimmung kritischer Infrastrukturen veröffentlicht.
Mit dieser Verordnung können Betreiber kritischer Infrastrukturen anhand messbarer und nachvollziehbarer Kriterien prüfen, ob sie unter den Regelungsbereich des IT-Sicherheitsgesetzes fallen.
Bestimmt werden zunächst die Sektoren Energie, Informationstechnik und Telekommunikation. Bis Ende des Jahres sollen per Änderungsverordnung auch die Sektoren Transport, Verkehr, Gesundheit sowie Finanz- und Versicherungswesen geregelt werden.
Methodik der Bewertung
Mit der vorliegenden Verordnung wird die Vorgabe in § 10 Absatz 1 Satz 1 des BSI-Gesetzes umgesetzt, wonach die Bewertung einer Infrastruktur als kritisch nach einer vorgegebenen Methodik zu erfolgen hat. Die Methodik beruht auf drei systematischen Verfahrensschritten, die jeweils unter umfassender Beteiligung von Experten und Vertretern der betroffenen Ressorts sowie der einzelnen Branchen in den Arbeitskreisen des UP KRITIS und weiteren Kreisen umgesetzt wurden. Die Beteiligung der betroffenen Branchen bereits im Vorfeld des formalen Anhörungsverfahrens folgt dem kooperativen Ansatz des IT-Sicherheitsgesetzes und hat sich aufgrund der Komplexität der zu treffenden Festlegungen als zweckmäßig bewährt.
Quelle:
http://www.bmi.bund.de/SharedDocs/Downloads/DE/Gesetzestexte/kritis-vo.html
