Stärkere Resilienz gegen physische Angriffe und Cyberbedrohungen

KRITIS steht für Kritische Infrastrukturen. Dazu gehören Unternehmen und Einrichtungen, deren Dienstleistungen für die Aufrechterhaltung des öffentlichen Lebens und der gesellschaftlichen Ordnung von besonderer Bedeutung sind. Dazu zählen unter anderem die Bereiche Energie, Wasser, Gesundheit, Verkehr und digitale Infrastruktur.

Die besondere Widerstandsfähigkeit und Resilienz dieser Organisationen gegenüber unvorhergesehenen Ereignissen wie Pandemien, Naturkatastrophen oder Cyberangriffen ist von zentraler Bedeutung. Um die Resilienz von Wirtschaft und Gesellschaft weiter zu stärken, werden die gesetzlichen Anforderungen kontinuierlich weiterentwickelt. Ein wichtiger Bestandteil ist das KRITIS-Dachgesetz (KRITIS-DachG), durch das künftig weitere Unternehmen und Einrichtungen unter die KRITIS-Anforderungen fallen können.

Die europäische NIS2-Richtlinie erweitert und verschärft die Anforderungen an die Cybersicherheit zahlreicher Unternehmen und Organisationen. Betroffene Unternehmen müssen Sicherheitsrisiken systematisch erfassen, bewerten und geeignete technische und organisatorische Maßnahmen umsetzen. Auch die Erkennung, Behandlung und Meldung von Sicherheitsvorfällen sowie die Dokumentation der getroffenen Maßnahmen gewinnen an Bedeutung.

Dabei geht es nicht ausschließlich um IT-Sicherheit. Ein wirksames Sicherheitskonzept muss physische und digitale Sicherheitsaspekte ganzheitlich betrachten. Zutrittskontrolle, Videoüberwachung, Einbruchmeldetechnik und weitere Sicherheitsmaßnahmen können dabei wichtige Bestandteile einer umfassenden Sicherheitsarchitektur sein.

Warum Unternehmen jetzt handeln sollten

Mit der Umsetzung von NIS2 in deutsches Recht erweitert sich der Kreis der betroffenen Organisationen deutlich. Damit rücken auch Unternehmen in den Fokus, die sich bisher nicht als klassisch sicherheitskritisch betrachtet haben. Neben Betreibern kritischer Infrastrukturen können unter anderem auch Unternehmen aus weiteren wichtigen Wirtschaftsbereichen sowie Teile der Lieferkette betroffen sein.

Für Geschäftsleitungen steigen damit die Anforderungen an Risikomanagement, Sicherheitsmaßnahmen, Meldeprozesse und nachvollziehbare Dokumentation. Unternehmen müssen in der Lage sein, ihre Risiken zu bewerten und nachzuweisen, dass angemessene Maßnahmen zum Schutz ihrer Anlagen, Systeme und Prozesse umgesetzt wurden.