Einleitung – Warum KRITIS jetzt Chefsache ist
Der Schutz kritischer Infrastrukturen (KRITIS) ist längst keine rein staatliche Aufgabe mehr. Energieversorgung, Gesundheitswesen, Transport, Telekommunikation, Wasser, Ernährung, Finanzen und öffentliche Sicherheit: Nahezu alle Lebensbereiche hängen von stabilen, verlässlichen Systemen ab. Doch diese Systeme stehen unter Druck.
Cyberangriffe, geopolitische Spannungen, Lieferkettenrisiken, Sabotageakte und extreme Wetterereignisse machen deutlich, dass der Schutz kritischer Infrastrukturen in Deutschland eine der zentralen Führungsaufgaben der kommenden Jahre ist.
Die letzten Krisen haben gezeigt, wie eng private Unternehmen, staatliche Stellen und Gesellschaft miteinander verflochten sind. Eine Störung im Energiesektor kann die Industrieproduktion lahmlegen, Kommunikationsausfälle können Einsatzkräfte behindern, und ein gezielter Angriff auf IT-Systeme kann ganze Lieferketten gefährden.
Der Schutz kritischer Infrastrukturen ist damit ein Thema von nationaler Resilienz und zugleich ein Maßstab für verantwortungsvolle Unternehmensführung. Er erfordert strategisches Denken, klare Prioritäten und abgestimmte Zusammenarbeit zwischen Wirtschaft, Verwaltung und Sicherheitsbehörden.
Gesetzlicher Rahmen und BSI-Vorgaben
Deutschland verfügt über einen komplexen, aber klar definierten rechtlichen Rahmen zum Schutz kritischer Infrastrukturen. Die Verantwortung ist zwischen Bund, Ländern und Betreibern aufgeteilt.
Das IT-Sicherheitsgesetz und die Rolle des BSI
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spielt dabei eine zentrale Rolle. Mit dem IT-Sicherheitsgesetz (IT-SiG) und dessen Erweiterung, dem IT-Sicherheitsgesetz 2.0, wurde die Pflicht für Betreiber kritischer Infrastrukturen eingeführt, „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme“ zu treffen.
Betreiber müssen Sicherheitsvorfälle melden, Nachweise erbringen und regelmäßige Audits durchführen. Die Umsetzung wird über branchenspezifische Sicherheitsstandards (B3S) gesteuert, die von Fachverbänden und dem BSI gemeinsam entwickelt werden.
Nationale KRITIS-Strategie und EU-Richtlinien
Die nationale KRITIS-Strategie der Bundesregierung zielt darauf ab, die Resilienz der lebenswichtigen Infrastrukturen ganzheitlich zu erhöhen. Ergänzt wird sie durch die europäische NIS-2-Richtlinie, die bis Oktober 2024 in nationales Recht umgesetzt werden muss. Sie verschärft die Anforderungen an Sicherheitsstandards, Meldepflichten und Managementverantwortung.
Damit werden künftig auch mehr Unternehmen als KRITIS-relevant eingestuft – nicht nur Versorger, sondern auch Zulieferer, IT-Dienstleister und Logistikunternehmen.
Verzahnung mit Katastrophen- und Zivilschutz
Der Katastrophenschutz in Deutschland fällt überwiegend in die Zuständigkeit der Länder, der Zivilschutz in Deutschland in die des Bundes. Beide Systeme ergänzen den KRITIS-Schutz – doch ihre Schnittstellen sind in der Praxis oft unzureichend koordiniert.
Gerade in hybriden Krisenlagen, in denen Cyberangriffe, Energieausfälle und physische Sabotage zusammenwirken, ist eine klare Abstimmung zwischen privaten Betreibern und staatlichen Behörden entscheidend.
Risiken und Fehlannahmen
Trotz bestehender Gesetze und technischer Fortschritte bleibt der Schutz kritischer Infrastrukturen in Deutschland verletzlich. Die größten Risiken liegen häufig nicht in der Technik selbst, sondern in Strukturen, Verantwortlichkeiten und Fehleinschätzungen.
1. Die Illusion vollständiger Sicherheit
Viele Unternehmen glauben, ihre Systeme seien „ausreichend geschützt“. Doch angesichts komplexer Lieferketten, Cloud-Strukturen und vernetzter Systeme ist vollständige Sicherheit eine Illusion. Entscheidend ist nicht absolute Abwehr, sondern Resilienz, die Fähigkeit, Störungen zu erkennen, einzugrenzen und schnell zu bewältigen.
2. Fehlende Integration von Management und Technik
Sicherheitsverantwortung wird häufig an die IT oder externe Dienstleister delegiert. Doch ohne klare Führungsverantwortung auf Vorstandsebene bleibt Sicherheit fragmentiert. Der Schutz kritischer Infrastrukturen muss als strategisches Thema auf C-Level-Niveau verankert werden.
3. Zunehmende hybride Bedrohungen
Terrorismusbedrohungen in Deutschland, Cyberangriffe und Desinformationskampagnen verschmelzen zunehmend zu hybriden Bedrohungsszenarien. Dabei werden physische und digitale Angriffe kombiniert, um maximale Wirkung zu erzielen. Unternehmen müssen Szenarien entwickeln, die beide Ebenen berücksichtigen.
4. Energieabhängigkeit als systemisches Risiko
Die Energiekrise in Deutschland hat gezeigt, wie stark wirtschaftliche und gesellschaftliche Stabilität von Energieimporten abhängt. Auch wenn die Versorgungslage sich stabilisiert hat, bleiben strukturelle Verwundbarkeiten bestehen, etwa in der Gasinfrastruktur oder im Stromnetz.
5. Mangelnde Kommunikation und Krisenübungen
Ein weiterer Schwachpunkt ist die fehlende Vorbereitung auf den Ernstfall. Viele Betreiber verfügen über Notfallpläne, aber keine geübten Abläufe. Besonders die Kommunikation zwischen Unternehmen, Behörden und Öffentlichkeit bleibt häufig unkoordiniert.
Ein wirksamer KRITIS-Schutz erfordert nicht nur Technik, sondern gelebte Strukturen, trainierte Teams und eine Kultur der Verantwortungsübernahme.
Best Practice aus Unternehmen – Strategien, die funktionieren
Trotz der Herausforderungen gibt es positive Beispiele aus der deutschen Wirtschaft, die zeigen, wie integrierter Infrastrukturschutz funktionieren kann.
Beispiel 1: Energieversorger – Sicherheit durch Redundanz und Kultur
Ein großer regionaler Energieversorger hat nach den Stromausfällen 2021 sein Sicherheitskonzept vollständig neu aufgestellt. Statt allein auf IT-Schutzmaßnahmen zu setzen, wurde ein ganzheitlicher Resilienzansatz eingeführt:
- Aufbau redundanter Steuerzentren
- Einrichtung eines Krisenstabs, der regelmäßig unter Realbedingungen trainiert
- Integration von IT-Sicherheit, physischen Schutzmaßnahmen und Kommunikation
- Schulungen für Mitarbeitende, um Sicherheitsbewusstsein zu fördern
Das Unternehmen investierte zudem in eine enge Zusammenarbeit mit Katastrophenschutz und lokalen Behörden. Das Ergebnis: eine deutlich verkürzte Reaktionszeit und klare Kommunikationsketten im Ernstfall.
Beispiel 2: Logistikunternehmen – Lieferketten als Sicherheitsfaktor
Ein international tätiger Logistikkonzern erkannte, dass Lieferkettenstabilität Teil der kritischen Infrastruktur ist. Das Unternehmen führte ein Echtzeit-Monitoring-System ein, um geopolitische Risiken, Wetterdaten und Cyberbedrohungen in die Routenplanung einzubeziehen.
Parallel wurde ein internes Lagezentrum geschaffen, das Störungen sofort erkennt und Ersatzrouten aktiviert. Die Leitidee: Sicherheit beginnt dort, wo Transparenz entsteht.
Beispiel 3: Telekommunikation – Kooperation als Schlüssel
Ein Telekommunikationsanbieter hat seine KRITIS-Strategie eng mit staatlichen Sicherheitsstellen verknüpft. Gemeinsame Übungen mit BSI, BKA und Bundesnetzagentur schufen Vertrauen und klare Abläufe. Das Unternehmen nutzt zudem künstliche Intelligenz, um Netzstörungen und Manipulationsversuche frühzeitig zu erkennen.
Diese Beispiele verdeutlichen: Effektiver Schutz kritischer Infrastrukturen entsteht durch integrierte Strategien, die Technik, Organisation und Menschen verbinden.
Fazit – Sicherheit als strategische Führungsaufgabe
Der Schutz kritischer Infrastrukturen in Deutschland ist mehr als eine technische Herausforderung – er ist ein Test für strategische Führung, Verantwortungsbewusstsein und gesellschaftliches Engagement.
Jede Störung in der Versorgung, jede Cyberattacke, jeder Ausfall eines Netzes zeigen: Sicherheit darf nicht delegiert werden. Sie beginnt mit Bewusstsein, Struktur und Kooperation.
Unternehmen, die als Betreiber oder Zulieferer von KRITIS fungieren, müssen sich drei zentrale Fragen stellen:
- Wie robust sind unsere Systeme gegenüber kombinierten physischen und digitalen Angriffen?
- Wie klar sind Rollen, Abläufe und Entscheidungswege im Krisenfall definiert?
- Wie eng arbeiten wir mit Behörden, Partnern und der Öffentlichkeit zusammen?
Resilienz entsteht nicht durch neue Gesetze, sondern durch Vorbereitung und Haltung.
Die Deutsche Akademie für Krisenmanagement unterstützt Unternehmen und Organisationen bei Audits, Trainings und Krisenstabsübungen, die auf reale Gefährdungslagen zugeschnitten sind – von Cyber- und Sabotageszenarien über Energieausfälle bis zu komplexen hybriden Bedrohungen.
Ein Audit deckt Schwachstellen auf, ein Training schafft Handlungssicherheit, beides zusammen bildet die Grundlage für nachhaltige Resilienz.
Fazit in Kürze:
- Kritische Infrastrukturen sind Grundlage der nationalen Sicherheit und Wettbewerbsfähigkeit.
- Der gesetzliche Rahmen schafft Orientierung, erfordert aber proaktives Handeln.
- Technische Schutzmaßnahmen müssen durch Führungsverantwortung und Kommunikation ergänzt werden.
- Krisenübungen, Partnerschaften und Redundanzen sind die stärksten Instrumente gegen Unsicherheit.
- Die Energiekrise und hybride Bedrohungen zeigen: Sicherheit ist Chefsache.
Der Schutz kritischer Infrastrukturen ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess – strategisch, menschlich und operativ zugleich.