Es war nicht schwer, die Kabel zu durchtrennen. Zwei Schnitte, einer in Berlin, einer in Nordrhein-Westfalen – und kurze Zeit später standen alle Züge in Norddeutschland still, für fast drei Stunden. Im Oktober 2022 sabotierten unbekannte Täter den Bahnverkehr. Bis heute weiß man nicht, wer die Verbindungen zerschnitten hat, ob es sich um Terroristen oder Kabeldiebe handelte. Was hingegen klar ist: Von Gleisen oder Kabeln hängt vieles ab.
Solche Bereiche oder Anlagen, die so wesentlich sind, dass ihr Ausfall schwere Folgen für das Gemeinwesen haben könnte, bezeichnet man als kritische Infrastrukturen, kurz: KRITIS. Der Begriff ist weitreichend. Bereiche wie die Energie-, Gesundheits- und Lebensmittelversorgung gehören ebenso dazu wie das Finanz- und Verkehrswesen oder Kommunikationsstrukturen.
Sensible Sektoren
Die Bundesregierung plant, den Schutz in solchen Bereichen gesetzlich neu zu regeln. Das muss sie auch: Bis Oktober 2024 muss sie die sogenannte EU-Resilienz-Richtlinie umsetzen. Aber auch sonst haben die vergangenen Jahre gezeigt, wie sensibel manche Sektoren sind – zum Beispiel während der Corona-Pandemie, als man sich im Krankenhaus fragte, was eigentlich passiert, wenn das eigene Personal zu großen Teilen erkrankt ist. Oder als die Nord-Stream-Pipelines gesprengt wurden.
Vor mehr als einem Jahr legte das Innenministerium die ersten Eckpunkte für das sogenannte KRITIS-Dachgesetz vor, im Sommer dann einen Ressortentwurf. Doch dann wurde es ruhig um das Gesetz. In einem überarbeiteten Entwurf von Ende Dezember, der dieser Redaktion vorliegt, zeigt sich nun aber: Es geht voran – wenn auch langsam.
Betreiber in Verantwortung
Bei dem neuen Gesetz geht es unter anderem darum, neue und konkretere Vorgaben für die Betreiber kritischer Infrastrukturen festzulegen. „Es gibt gewisse Voraussetzungen, die die Betreiber erfüllen müssen, wenn sie bestimmte Schwellenwerte erreichen“, sagt der Forscher Jonas Franken. Er arbeitet am Lehrstuhl Wissenschaft und Technik für Frieden und Sicherheit (PEASEC) der Technischen Universität Darmstadt. „Diese Schwellenwerte orientieren sich oft daran, wie viele Personen eine Anlage versorgt“, erklärt Franken. „Als Faustregel gilt dabei: Je mehr es sind, desto eher gibt es Auflagen für sie.“ Solche Vorgaben können zum Beispiel vorsehen, dass Betreiber Risikoanalysen durchführen oder bestimmte Vorfälle melden müssen.
Künftig soll das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) für die Aufsicht des Schutzes kritischer Infrastrukturen sein – neben den Landesbehörden und dem Bundesamt für Sicherheit in der Informationstechnik (BSI), das Schutz von IT-Strukturen beaufsichtigt. Das BBK ist die Behörde, die künftig auch als Verbindungsstelle zur EU dienen soll. Wenn es zu Vorfällen kommt, die mindestens sechs EU-Staaten betreffen, muss das BBK das der Europäischen Kommission melden.
„Das BBK hat inzwischen eine dialogische Rolle“, erklärt Franken von der TU Darmstadt. Das BBK sammelt nicht nur Meldungen, es gibt sie auch weiter – zum Beispiel an andere betroffene Betreiber oder an die zuständigen Behörden in Bund und Ländern.
Neues Beratungsgremium
Im Gegensatz zum ersten Entwurf hat sich in der überarbeiteten Fassung vieles verändert. Schon die Struktur fällt anders aus. Inhaltlich ist unter anderem neu, dass die Länder nun stärker mitwirken sollen. Es soll zum Beispiel ein Beratungsgremium geben, in dem Bund, Länder und Wirtschaft eingebunden werden sollen. Bis Anfang 2025 sollen die Länder außerdem eine Landesbehörde als zuständigen Ansprechpartner benennen.
Vieles sieht Franken an der aktuellen Fassung positiv – zum Beispiel, dass die Auflagen und Schwellenwerte an die jeweiligen Branchen angepasst wurden. Einiges kritisiert er aber auch. „Es wird nicht genug bedacht, dass inzwischen alle Branchen sehr digitalisiert sind.“ Das betreffe inzwischen auch Sektoren, bei denen das vor einigen Jahren noch kaum der Fall war – die Landwirtschaft zum Beispiel.
Vor allem sorgt sich Franken um Kommunikationsstrukturen. „Wenn der Strom ausfällt, dann betrifft das auch das Internet“, sagt Franken. „Und wenn das nicht läuft, brechen häufig fast alle unsere Kommunikationsmittel weg.“ Das macht den Schutz kritischer Infrastrukturen so schwierig: Es hängt fast alles miteinander zusammen.