BIM-MAGAZIN: Sehr geehrter Herr Gerstenberg, für den notwendigen Schutz vor Cyber-Kriminalität gibt es seit Jahren eine hohe Sensibilität in Wirtschaft und öffentlicher Verwaltung. Mit der Umsetzung der EU-CER-Richtlinie im KRITIS-Dachgesetz geht es nun aber auch um die physische Sicherheit und Notfallvorsorge. Wer ist betroffen und um welche Maßnahmen geht es?
Uwe Gerstenberg: Mit dem KRITIS-Dachgesetz erweitert sich der regulatorische Fokus deutlich: Neben der Cyber-Resilienz rückt nun die physische Sicherheit gleichrangig in den Mittelpunkt.
Betroffen sind organisationsübergreifend Betreiber sogenannter kritischer Einrichtungen – dazu zählen unter anderem Energieversorger, Krankenhäuser, Wasser- und Abfallwirtschaft, Verkehrs- und Logistikunternehmen sowie Teile der öffentlichen Verwaltung. Insgesamt spricht man von über 40.000 Organisationen in Deutschland.
Im Kern verpflichtet das Gesetz diese Betreiber, Resilienzsysteme aufzubauen, die sowohl präventiv als auch reaktiv wirken.
Dazu gehören insbesondere:
- Risiko- und Bedrohungsanalysen (auch auf physische Angriffe)
- Schutzkonzepte für Anlagen und Personal
- Notfall- und Krisenmanagementstrukturen
- Übungen und Szenario-Planungen (z. B. Sabotage, Blackout, hybride Bedrohungen)
- sowie Melde- und Kommunikationsprozesse.
Neu ist die klare Erwartung, dass Organisationen ihre Resilienz ganzheitlich („integrale Sicherheit“) und nicht mehr silohaft aufstellen.