KRITIS-Gesetze: Welche Pflichten und welche Haftung treffen Betreiber kritischer Infrastruktur?

Was ist kritische Infrastruktur? Als kritische Infrastruktur gelten Einrichtungen und Anlagen, deren Ausfall oder Beeinträchtigung erhebliche Folgen für die Versorgung der Bevölkerung und die öffentliche Sicherheit hätte. Die kritische Infrastruktur Definition orientiert sich an Sektoren, in denen ein Versorgungsengpass schnell weite Kreise zieht.

Zu den Sektoren zählen üblicherweise Energie, Wasser, Ernährung, Transport und Verkehr, Gesundheit, Finanz- und Versicherungswesen sowie Informationstechnik und Telekommunikation. Ob ein Unternehmen kritische Infrastruktur betreibt und damit als Betreiber gilt, hängt von Sektor, Anlagenart und Schwellenwerten ab. Die genaue Einordnung sollte immer anhand des aktuellen Rechtsstands erfolgen.

‍

KRITIS-Dachgesetz und NIS2 als Rahmen. Während die NIS2-Richtlinie vor allem die Cybersicherheit und das IT-Risikomanagement adressiert, nimmt das KRITIS-Dachgesetz die physische Resilienz in den Blick. Beide Rahmen greifen ineinander: Es geht darum, kritische Infrastruktur gegen ein breites Spektrum an Bedrohungen abzusichern, von Cyberangriffen bis zu physischen Einwirkungen vor Ort.

‍

Welche Pflichten treffen die Betreiber? Im Kern geht es um vier Bausteine. Erstens ein systematisches Risikomanagement, das relevante Gefährdungen erfasst und bewertet. Zweitens geeignete Resilienzmaßnahmen, die das Schutzniveau an die identifizierten Risiken anpassen. Drittens Meldepflichten, wenn erhebliche Störungen oder Vorfälle auftreten. Und viertens Nachweise, mit denen die Umsetzung gegenüber den zuständigen Behörden belegt wird.

‍

Der Schutz kritischer Infrastrukturen ist dabei kein einmaliges Projekt, sondern ein fortlaufender Prozess. Bedrohungslagen verändern sich, neue Technologien tauchen auf, und damit müssen auch die Schutzmaßnahmen regelmäßig überprüft und angepasst werden.

‍

Persönliche Haftung der Geschäftsführung.

Die Verantwortung dafür, dass diese Pflichten erfüllt werden, liegt bei der Unternehmensleitung. Werden notwendige Maßnahmen nicht oder nur unzureichend organisiert, kann ein Organisationsverschulden entstehen. Die Haftung des Geschäftsführers kann dann persönlich greifen. Umfang und Voraussetzungen ergeben sich aus dem jeweils anwendbaren Recht und sollten anwaltlich geprüft werden. Dieser Beitrag ersetzt keine Rechtsberatung.

‍

Physischer Schutz und Luftraumsicherheit.

In der Praxis bedeutet physische Resilienz mehr als Zaun und Zutrittskontrolle. Der Luftraum über einer Anlage ist ein eigener Angriffsvektor. Unbemannte Fluggeräte können Aufklärung betreiben, Bereiche stören oder gezielt eingesetzt werden. Wer kritische Infrastruktur schützt, muss den Luftraum als Teil der Resilienz mitdenken, und genau hier setzt eine Überwachungsdrohne in Kombination mit Drohnendetektion und Drohnenabwehr an.

‍

Security Airline kombiniert eine autonome Überwachungsdrohne, Sensorik am Boden und eine VdS-zertifizierte Leitstelle zu einem mehrstufigen Konzept. So lässt sich der physische Schutz von Anlagen mit der Überwachung des Luftraums verbinden. Ein strukturiertes Sicherheitskonzept bildet dafür die Grundlage und ordnet die Maßnahmen den identifizierten Risiken zu.

‍

Für typische KRITIS-Liegenschaften ergeben sich dabei oft branchenspezifische Schwerpunkte, etwa beim Schutz von Hochspannungsmasten und Umspannwerken in der Energieversorgung oder bei der Überwachung von Bahnstrecken im Verkehrssektor. Die Alarmbearbeitung läuft wahlweise bei geschultem Personal oder in einer VdS-zertifizierten Leitstelle, was für nachvollziehbare Prozesse und Nachweisbarkeit sorgt.

‍

Wichtig: Welche konkreten Pflichten Ihr Unternehmen treffen und welche Maßnahmen erforderlich sind, lässt sich nur im Einzelfall beurteilen. Wir liefern den sicherheitstechnischen Beitrag zur physischen Resilienz und Luftraumsicherheit. Die rechtliche Prüfung sollte ergänzend durch fachkundige Beratung erfolgen.