Holger Berens

Mit Inkrafttreten des KRITIS-Dachgesetzes am 17.03.2026 ist ein wichtiger Meilenstein beim KRITIS-Schutz erreicht worden. Welche Aspekte beim Gesetzgebungsverfahren eine Rolle gespielt haben und welche Prozesse sich nun anschließen, soll im Rahmen dieses Vortrags dargestellt werden. Welche Ziele mit dem Gesetz und seiner Umsetzung verfolgt werden, sollen aus der Sicht einer am Gesetzgebungsverfahren Beteiligten dargestellt werden und auch um Aspekte ergänzt werden, die sich nicht unmittelbar aus dem Gesetz ablesen lassen.

Vom Gesetz zur gelebten Sicherheit

Der Cyber Resilience Act (CRA) verändert die Anforderungen an die Cybersicherheit digitaler Produkte grundlegend. Doch die Auswirkungen betreffen nicht nur Hersteller und Systemintegratoren, sondern insbesondere auch deren Kunden – allen voran die Betreiber Kritischer Infrastrukturen (KRITIS). Denn die Sicherheit Kritischer Infrastrukturen hängt maßgeblich von der Sicherheit der eingesetzten Produkte und Systeme ab. Ob Zutrittskontrolle, Videoüberwachung, Einbruchmeldetechnik, Gebäudeautomation oder industrielle Steuerungssysteme: Schwachstellen in einzelnen Komponenten können die Resilienz ganzer Infrastrukturen gefährden.

Von der Bedrohung zur physischen Resilienz mit DIN SPEC 14027

Wie viel Schutz braucht ein Standort und gegen welche Gefahren? Diese scheinbar einfache Frage wird angesichts von Extremwetter, Versorgungsausfällen, Sabotage und hybriden Bedrohungen zunehmend komplex. Der Vortrag zeigt am Beispiel eines Umspannwerks einen systematischen Weg zum resilienten Standort. Die DIN SPEC 14027 dient dabei als Orientierungsrahmen: vom Schutzbedarf und Sicherheitslagebild über Gefährdungs- und Risikobewertung bis zur Auswahl angemessener baulicher, technischer und organisatorischer Schutzmaßnahmen. Ergänzend wird gezeigt, wie Störungs-, Notfall- und Krisenmanagement mit dem präventiven Standortschutz verzahnt werden. Im Mittelpunkt steht nicht die Norm selbst, sondern ihre praktische Anwendung: Wie entsteht aus abstrakten Anforderungen ein umsetzbares und überprüfbares Schutzkonzept?

Sabotage an Stromnetzen, hybride Bedrohungen, Cloud-Ausfälle und kritische Sicherheitslücken: Für Betreiber Kritischer Infrastrukturen lautet die Frage nicht mehr, ob ihre IT ausfällt, sondern welche Prozesse dann trotzdem laufen müssen. Wie schnell eine Abhängigkeit zum Ausfall wird, hat im Oktober 2026 die PHP-Lücke php2shell gezeigt: Binnen eines Tages gingen bei Hostern Server vom Netz. Die naheliegende Antwort, alles doppelt aufzubauen, ist teuer, wird selten geübt und hängt oft an denselben Anbietern wie das Original.

In immer mehr Einsatzkontexten wird Künstliche Intelligenz in den Wirkbetrieb integriert. Dabei transformiert KI spürbar alle Bereiche von Staat, Wirtschaft und Gesellschaft. Mit der zunehmenden Verbreitung und Komplexität von KI-Systemen steigt gleichsam auch der Aufwand zur Erfüllung regulatorischer Anforderungen und die Notwendigkeit des Einbezugs sicherheitstechnisch relevanter Aspekte. Dem Nachweis der Vertrauenswürdigkeit eines KI-Systems kommt dabei eine zentrale Bedeutung für die Sicherheit in der Informationstechnik zu.

Was passiert, wenn die digitale Infrastruktur einer Kommunalverwaltung plötzlich – zunächst harmlos dann aber raumgreifend - ausfällt und der Ausnahmezustand zum Alltag wird?