KRITIS – Definition und Bedeutung
Was ist KRITIS? KRITIS bezeichnet kritische Infrastrukturen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit und Ordnung haben …
Key Facts
| Kategorie | Kritische Infrastrukturen |
|---|---|
| Erstveröffentlichung/Ursprung | IT-Sicherheitsgesetz 2.0, Mai 2021 |
| Typische Verwendung | Sicherheitsstandards für kritische Infrastrukturen |
| Verwandte Begriffe | NIS2, Cyber Resilience Act, IEC 62443 |
| Schwierigkeitsgrad | Fortgeschritten |
| Lizenz/Hersteller | Bundesamt für Sicherheit in der Informationstechnik (BSI) |
Ausführliche Erklärung
Definition und Bedeutung von KRITIS
Der Begriff KRITIS steht für Kritische Infrastrukturen und bezieht sich auf Einrichtungen, Systeme und Dienstleistungen, die für das Funktionieren einer Gesellschaft und Wirtschaft unerlässlich sind. Dazu zählen unter anderem die Energieversorgung, Wasserversorgung, Ernährungssicherheit, Gesundheitswesen, Informationstechnik sowie Transport- und Verkehrssysteme. Der Ausfall oder die Beeinträchtigung dieser Infrastrukturen kann gravierende Folgen für die öffentliche Sicherheit und das wirtschaftliche Wohlergehen haben.
Regulatorische Rahmenbedingungen
In Deutschland wird KRITIS durch das IT-Sicherheitsgesetz 2.0 reguliert, das im Mai 2021 in Kraft trat. Dieses Gesetz legt fest, welche Unternehmen als KRITIS-Betreiber gelten und welche Anforderungen sie hinsichtlich der IT-Sicherheit erfüllen müssen. Die Zahl der in Deutschland als KRITIS eingestuften Unternehmen wird durch die Umsetzung der EU-NIS-2-Richtlinie von etwa 1.600 auf bis zu 29.000 steigen. Dies zeigt die wachsende Bedeutung von Cybersecurity für kritische Infrastrukturen.
Ab dem 1. Mai 2023 sind KRITIS-Betreiber verpflichtet, Systeme zur Angriffserkennung zu implementieren. Zudem müssen sie alle zwei Jahre einen IT-Sicherheits-Prüfbericht erstellen und diesen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) vorlegen. Die neue KRITIS-Verordnung 2026 wird ab dem 6. Dezember 2025 neue Schwellenwerte und Anlagen konkretisieren, insbesondere für digitale Energiedienste und Sozialversicherungen.
Entwicklungszyklen und Projektzeiten
Die Softwareentwicklung für KRITIS-Anwendungen unterscheidet sich erheblich von der Standard-IT. KRITIS-Software muss aufgrund der hohen Anforderungen an Resilienz oftmals 10 bis 15 Jahre stabil laufen, was die Lebenszyklen im Vergleich zu herkömmlichen IT-Systemen verlängert. Eine vollständige KRITIS-Lösung, die komplexe Systemintegration erfordert, benötigt typischerweise zwischen 9 und 18 Monaten. Für die erste produktive Individualsoftware sind hingegen 4 bis 6 Monate realistisch.
Compliance-Standards und Sicherheitsnormen
Die Entwicklung und der Betrieb von KRITIS-Systemen unterliegen strengen Compliance-Standards. Wichtige Normen sind unter anderem die NIS2-Richtlinie, die IEC 62443 für die industrielle Automatisierung und der kommende Cyber Resilience Act (CRA). Diese Normen sind zentral für die Ausfallsicherheit und Cybersecurity der kritischen Infrastrukturen und stellen sicher, dass Betreiber die erforderlichen Sicherheitsmaßnahmen ergreifen.
Zusätzlich müssen KRITIS-Betreiber sich gemäß §8b BSIG beim BSI registrieren und eine jederzeit erreichbare Kontaktstelle benennen. Die Umsetzung der damit verbundenen Cyber-Security-Pflichten hat eine Frist von zwei Jahren nach Registrierung.
Forschung und Entwicklung im Bereich KRITIS
Die Forschung im Bereich KRITIS hat in den letzten Jahren an Bedeutung gewonnen. Das Förderschwerpunkt-Programm „IT-Sicherheit für Kritische Infrastrukturen“ (ITS|KRITIS) wurde 2014 ins Leben gerufen und lief bis 2018. Ziel war es, Beiträge zur IT-Sicherheit in kooperativen Forschungsprozessen zu erarbeiten und innovative Lösungen für die Herausforderungen im Bereich der kritischen Infrastrukturen zu entwickeln.
Zusammenfassend lässt sich sagen, dass KRITIS ein zentraler Aspekt für die Gewährleistung der öffentlichen Sicherheit und Stabilität der Gesellschaft ist. Die regulatorischen Anforderungen, die langen Entwicklungszyklen und die Notwendigkeit zur Einhaltung von Compliance-Standards stellen hohe Anforderungen an die Betreiber kritischer Infrastrukturen. Die fortlaufende Forschung und Entwicklung in diesem Bereich ist entscheidend, um den sich ständig ändernden Bedrohungen in der Cyberwelt entgegenzuwirken.
Typische Einsatzgebiete
- Betrieb von Energieversorgungsunternehmen
- Betrieb von Wasserversorgungsunternehmen
- Betrieb von Telekommunikationsdiensten
Vorteile
- Erhöhung der IT-Sicherheit in kritischen Bereichen
- Verbesserte Resilienz gegen Cyberangriffe
Nachteile
- Hohe Kosten für Implementierung und Wartung
- Komplexität bei der Systemintegration
Praxisbeispiel
Ein Beispiel für KRITIS ist ein Energieversorgungsunternehmen, das durch die Einhaltung von KRITIS-Vorgaben seine IT-Sicherheit erhöht und somit die Versorgungssicherheit gewährleistet. Bei Code
...Voraussetzungen
- Kenntnisse über IT-Sicherheitsstandards
- Verständnis der gesetzlichen Rahmenbedingungen
Typische Tools
- IT-Sicherheitsgesetz 2.0 – Regulatorische Grundlage für KRITIS-Betreiber
- NIS2-Richtlinie – Regelungen zur Netz- und Informationssicherheit
Häufige Fehler
- Unterschätzung der erforderlichen Ressourcen
- Nichtbeachtung der Prüfintervalle
Best Practices
- Regelmäßige Schulungen für Mitarbeiter
- Etablierung eines Krisenmanagementplans
Vergleich mit ähnlichen Technologien
| Technologie | Unterschied |
|---|---|
| NIS2-Richtlinie | NIS2 fokussiert auf Netz- und Informationssicherheit, während KRITIS spezifisch für kritische Infrastrukturen ist. |
Lernpfad
- Verstehen der KRITIS-Vorgaben – Erlernen der gesetzlichen Anforderungen und Normen, die für KRITIS-Betreiber relevant sind.
- Entwicklung von KRITIS-Software – Erwerben von Kenntnissen zur Entwicklung und Implementierung von Softwarelösungen, die den hohen Resilienzanforderungen genügen.
- IT-Sicherheitsmanagement – Erlernen von Methoden zur Durchführung von IT-Sicherheitsprüfungen und Erstellung von Sicherheitsberichten.
- Projektmanagement in KRITIS-Projekten – Erwerben von Fähigkeiten im Management von komplexen Integrationsprojekten im KRITIS-Bereich.
Zertifizierungen
- Certified Information Systems Security Professional (CISSP) ((ISC)²)
- Certified Information Security Manager (CISM) (ISACA)
- ISO/IEC 27001 Lead Implementer (PECB)
Aktuelle Nachfrage am Arbeitsmarkt
Die Nachfrage nach Fachkräften im Bereich KRITIS nimmt in Deutschland stetig zu, da immer mehr Unternehmen als KRITIS eingestuft werden. Die Umsetzung der EU-NIS-2-Richtlinie und die damit verbundenen Anforderungen an Cybersecurity und Resilienz schaffen zahlreiche neue Stellen im IT-Sektor.
Typische Berufe
- IT-Sicherheitsbeauftragter
- KRITIS-Compliance-Manager
- Softwareentwickler für kritische Infrastrukturen
- IT-Projektmanager KRITIS
- Cybersecurity-Analyst
Gehaltsbereich
ca. 50.000 – 80.000 € brutto pro Jahr (Deutschland). Die Gehälter variieren je nach Erfahrung und Region, insbesondere in Ballungsgebieten.
Passende Jobs
Passende offene IT-Stellen findest du in der Jobsuche für KRITIS auf Jobriver. Gehaltsdaten liefert der Gehaltsvergleich.
Häufig gestellte Fragen
KRITIS steht für Kritische Infrastrukturen, die für das Funktionieren einer Gesellschaft und Wirtschaft von zentraler Bedeutung sind. Dazu zählen Bereiche wie Energieversorgung, Wasserwirtschaft, Gesundheitswesen, Transport und Kommunikation. Der Schutz dieser Infrastrukturen ist essenziell, um die öffentliche Sicherheit und die wirtschaftliche Stabilität zu gewährleisten.
Der Schutz von KRITIS erfolgt durch verschiedene Maßnahmen, die technische, organisatorische und personelle Aspekte umfassen. Betreiber müssen Sicherheitsstandards einhalten, regelmäßige Prüfungen durchführen und sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Zudem sind sie verpflichtet, Systeme zur Angriffserkennung zu implementieren und ihre Sicherheitskonzepte kontinuierlich zu aktualisieren.
Die KRITIS-Verordnung 2026 konkretisiert die Anforderungen an Betreiber kritischer Infrastrukturen, insbesondere hinsichtlich neuer Schwellenwerte und Anlagen. Ab dem 6. Dezember 2025 müssen Betreiber zusätzliche Vorgaben erfüllen, um den Schutz gegen Cyberangriffe und andere Bedrohungen zu verbessern. Dies betrifft auch neue Sektoren wie digitale Energiedienste und Sozialversicherungen.
Durch die Umsetzung der EU-NIS-2-Richtlinie wird die Anzahl der in Deutschland als KRITIS eingestuften Unternehmen von etwa 1.600 auf bis zu 29.000 steigen. Dies umfasst sowohl große Unternehmen als auch kleinere Betriebe, die für die Aufrechterhaltung kritischer Infrastrukturen verantwortlich sind.
KRITIS-Software muss aufgrund der hohen Anforderungen an Resilienz typischerweise 10 bis 15 Jahre stabil laufen. Diese langen Lebenszyklen unterscheiden sich erheblich von der Standard-IT, wo Software oft schneller veraltet oder ersetzt wird. Daher ist eine sorgfältige Planung und Entwicklung notwendig.
Die Implementierung einer vollständigen KRITIS-Lösung mit komplexer Systemintegration benötigt in der Regel zwischen 9 und 18 Monaten. Für die Entwicklung einer ersten produktiven Individualsoftware kann jedoch bereits eine Zeitspanne von 4 bis 6 Monaten ausreichend sein, abhängig von den spezifischen Anforderungen und der Komplexität des Projekts.
KRITIS-Betreiber sind gesetzlich verpflichtet, alle zwei Jahre einen IT-Sicherheits-Prüfbericht zu erstellen, der den aktuellen Stand der Technik dokumentiert. Dieser Bericht muss beim Bundesamt für Sicherheit in der Informationstechnik (BSI) vorgelegt werden, um die Einhaltung der Sicherheitsstandards zu gewährleisten.
Das IT-Sicherheitsgesetz 2.0, das im Mai 2021 in Kraft trat, erweitert die Anforderungen an Betreiber kritischer Infrastrukturen in Deutschland. Es legt neue Sicherheitsvorgaben fest, darunter die Verpflichtung zur Implementierung von Systemen zur Angriffserkennung ab dem 1. Mai 2023, um die IT-Sicherheit in KRITIS zu erhöhen.
Bei der Entwicklung von KRITIS-Software sind mehrere Normen von zentraler Bedeutung, darunter NIS2, IEC 62443 und der kommende Cyber Resilience Act (CRA). Diese Normen legen Standards für die Ausfallsicherheit und Cybersecurity fest und helfen, die Systeme vor Bedrohungen zu schützen und die Resilienz zu erhöhen.
Ab dem 6. Dezember 2025 gelten neue Anforderungen für KRITIS-Betreiber, die in der KRITIS-Verordnung 2026 festgelegt sind. Diese beinhalten unter anderem neue Schwellenwerte und spezifische Vorgaben für digitale Energiedienste und Sozialversicherungen, um den Schutz kritischer Infrastrukturen weiter zu stärken.
Betreiber kritischer Infrastrukturen müssen sich gemäß §8b BSIG beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. Bei der Registrierung müssen sie eine jederzeit erreichbare Kontaktstelle benennen. Nach der Registrierung haben sie eine Frist von zwei Jahren, um die damit verbundenen Cyber-Security-Pflichten umzusetzen.
Das Förderschwerpunkt-Programm „IT-Sicherheit für Kritische Infrastrukturen“ (ITS|KRITIS) wurde von 2014 bis 2018 durchgeführt, um die IT-Sicherheit in kritischen Infrastrukturen zu verbessern. Es förderte kooperative Forschungsprojekte, die innovative Lösungen und Konzepte zur Sicherstellung der IT-Sicherheit in diesen Bereichen entwickelten.
Das IT-Sicherheitsgesetz 2.0 hat den KRITIS-Katalog erweitert, um zusätzliche Sektoren einzubeziehen. Dazu gehören Hersteller kritischer Komponenten, Unternehmen im besonderen öffentlichen Interesse sowie die Siedlungsabfallentsorgung, wodurch der Schutz kritischer Infrastrukturen umfassender gestaltet wird.
Eine KRITIS-Zertifizierung bietet mehrere Vorteile, darunter die Erhöhung der Sicherheit kritischer Infrastrukturen und das Vertrauen in die IT-Sicherheit der betroffenen Unternehmen. Zudem kann eine Zertifizierung als Nachweis gegenüber Kunden und Partnern dienen und die Einhaltung gesetzlicher Vorgaben unterstützen.
Die Umsetzung von KRITIS-Vorgaben kann mit verschiedenen Herausforderungen verbunden sein, wie etwa der Notwendigkeit, bestehende Systeme anzupassen oder neu zu implementieren. Zudem müssen Unternehmen sicherstellen, dass sie über die erforderlichen Ressourcen und Fachkenntnisse verfügen, um die hohen Sicherheitsstandards zu erfüllen.
Die Resilienz von KRITIS-Systemen wird durch verschiedene Indikatoren gemessen, darunter die Fähigkeit, Störungen zu erkennen, darauf zu reagieren und sich von ihnen zu erholen. Dazu zählen auch regelmäßige Sicherheitsprüfungen, Notfallpläne und die Implementierung von redundanten Systemen, um Ausfälle zu minimieren.
Die wichtigsten Aspekte der KRITIS-Sicherheit umfassen den Schutz vor Cyberangriffen, die Gewährleistung der Verfügbarkeit und Integrität von Systemen sowie die Einhaltung gesetzlicher Vorgaben. Zudem spielen regelmäßige Schulungen der Mitarbeiter und die Implementierung von Sicherheitsrichtlinien eine zentrale Rolle bei der Sicherstellung der IT-Sicherheit.
Quellen
- Softwareentwicklung für KRITIS & KRITIS Betreiber - ICS GmbH think-ics.com
- KRITIS Software & Digitalisierung | BRICKMAKERS brickmakers.de
- [PDF] Empfehlungen zu Entwicklung und Bereitstellung von in Kritischen ... bsi.bund.de
- IT-Sicherheitsgesetz 2.0 und KRITIS - activeMind AG activemind.de
- KRITIS – Kritische Infrastrukturen - RZ10 rz10.de
- Digitale Souveränität und resiliente KRITIS-IT-Infrastrukturen in ... youtube.com
- KRITIS: Weite Kreise und enge Vorgaben | IT-SICHERHEIT itsicherheit-online.com
- [PDF] IT-Sicherheit für Kritische Infrastrukturen – State of the Art unibw.de
- KRITIS-Verordnung 2026 und kritische Anlagen - OpenKRITIS openkritis.de
- Kritische Infrastrukturen — Kommunikationstechnologien und ... forschung-it-sicherheit-kommunikationssysteme.de