Gut gewappnet: Wie kritische Infra­strukturen Angriffen und Gefahren trotzen

In den vergangenen Monaten hat die NATO ihre Präsenz im Osten verstärkt. Der Grund: Zunehmende Drohnenaktivitäten und verstärkte Bewegungen der russischen Schattenflotte. Letztere steht unter anderem im Verdacht, Sabotageakte an Datenkabeln und Pipelines durchzuführen. Das gefährdet die Sicherheit kritischer Infrastrukturen wie der Energieversorgung. „Mit dem Angriff auf die Ukraine hat sich die Bedrohungslage deutlich verschärft. Wir nehmen verstärkt Drohnensichtungen wahr, auch im Offshore-Bereich in der Ostsee. Und wir registrieren immer mehr Cyber-Angriffe“, berichtet Roger Rentschler, Sicherheitschef der EnBW und verantwortlich für den Bereich Corporate Security, der Informationssicherheit, Konzernsicherheit, Business Continuity und Krisenmanagement bündelt.

Robuste Schutzmaßnahmen sind gefragt – insbesondere für die sogenannten kritischen Infrastrukturen, kurz KRITIS, die für das Funktionieren der Gesellschaft, die Versorgung der Bevölkerung und das tägliche Leben unerlässlich sind.

Zu den Branchen und Sektoren des KRITIS-Bereichs zählen unter anderem die Energie- und Wasser- sowie die Lebensmittelversorgung ebenso wie staatliche Einrichtungen oder das Gesundheitswesen. Derzeit gibt es in Deutschland über alle Sektoren hinweg fast 2.000 KRITIS-Betreiber (301 im Energiesektor) und mehr als 2.100 Anlagen (Energie: 505), deren Funktionieren von besonderer Bedeutung ist.

Damit die Versorgungssicherheit auf einem hohen Niveau bleibt, gilt für KRITIS-Betreiber in Deutschland ein umfassendes Regelwerk aus nationalen und europäischen Gesetzen sowie aus sektorspezifischen Vorgaben. Dazu gehören aktuelle Sicherheitsstandards, regelmäßige Risikoanalysen und eine enge Zusammenarbeit mit Behörden wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI).

Besonders im Bereich IT-Sicherheit gibt es immer wieder neue Richtlinien oder Gesetzesnovellen. Zu den relevanten Vorgaben für deutsche KRITIS-Betreiber zählen aktuell das „Zweite Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme“ (IT-Sicherheitsgesetz 2.0) und die KRITIS-Verordnung (KritisV). Dabei definiert die KritisV, welche Anlagen, Unternehmen und Organisationen als KRITIS gelten und welche Pflichten die Betreiber haben. Das IT-Sicherheitsgesetz 2.0 stärkt die Kompetenzen des BSI und verschärft die Anforderungen an KRITIS-Betreiber – etwa durch neue Mindeststandards für die IT-Sicherheit.

Die EU-weite „Network and Information Security Directive 2“ (NIS2) wiederum soll ein gemeinsames, hohes Niveau an Cyber-Sicherheit in bestimmten Sektoren stärken. Die Richtlinie ist im Dezember 2025 in Deutschland in Kraft getreten. „NIS2 sieht beispielsweise vor, dass sicherheitsrelevante Ereignisse, die eine Auswirkung auf unsere kritischen Geschäftsvorfälle haben, innerhalb von 24 Stunden gemeldet und innerhalb bestimmter Fristen Berichte erstellt werden müssen. Ich gehe davon aus, dass aufgrund dieser strengen Meldepflichten auch die Zahl der registrierten Vorfälle noch einmal deutlich steigt“, erläutert Sicherheitschef Rentschler.

Ende Januar 2026 hat der Bundestag zudem das KRITIS-Dachgesetz beschlossen. Mit diesem Gesetz setzt Deutschland die EU-Richtlinie zur Resilienz kritischer Einrichtungen (CER-Richtlinie 2022/2557) in nationales Recht um. Das Gesetz schafft erstmals einen bundesweit einheitlichen Rahmen für den physischen Schutz kritischer Infrastrukturen und ergänzt damit die bestehenden Regelungen zur Cybersicherheit.

Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen zu umfangreichen Schutzmaßnahmen: Sie müssen ihre Anlagen beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren lassen, regelmäßige Risikoanalysen durchführen, Resilienzpläne erstellen und schwere Störungen melden Als kritisch gelten Anlagen, wenn sie mehr als 500.000 Menschen versorgen – wobei die Bundesländer nach eigenen Kriterien auch kleinere Anlagen als kritisch einstufen können.

KRITIS-Bereiche unterliegen regelmäßigen Prüfungen hinsichtlich ihrer Resilienz, die von unabhängigen Stellen wie dem TÜV bestätigt wird. Kommt es dennoch zu Schadenereignissen und die Energieversorgung ist gefährdet oder unterbrochen, setzt das Notfall- und Krisenmanagement ein. Detailliert ausgearbeitete Kontinuitätspläne aus dem Business Continuity Management zielen darauf ab, den Betrieb aller kritischen Geschäftsprozesse jederzeit aufrecht zu erhalten. Umfangreiche Trainings für die Beschäftigten bereiten kontinuierlich auf den Ernstfall vor.