Das deutsche Bundesinnenministerium hat einen Gesetzentwurf vorgelegt, der den Schutzbereich für kritische Infrastrukturen erheblich ausweitet. Die bisherige Definition von KRITIS (Kritischen Infrastrukturen) war relativ eng gefasst und umfasste Bereiche wie Energie, Wasser, Telekommunikation und Gesundheit. Der neue Entwurf erweitert diese Liste deutlich.

Neu sollen auch Branchen und Sektoren als kritisch einstuft werden, die bisher nicht darunter fielen. Dies könnte Bereiche wie IT-Dienstleistungen, Logistik, Finanzdienstleistungen und weitere umfassen. Mit dieser Ausweitung kämen auch neue regulatorische Anforderungen.

Der Grund für diese Expansion ist nachvollziehbar. Cyberangriffe werden immer raffinierter und zielen nicht mehr nur auf offensichtlich kritische Infrastrukturen ab. Ein Angriff auf einen grossen Logistikdienst könnte die Lieferketten landesweit lahmlegen. Ein Angriff auf einen IT-Dienstleister könnte hunderte von Unternehmenskunden beeinträchtigen. Daher ist ein erwererter Schutzbereich sinnvoll.

Allerdings bringt dies auch Herausforderungen. Unternehmen, die neu als KRITIS-betreiber einstuft werden, unterliegen dann strengeren Auflagen. Sie müssen Sicherheitsmassnahmen implementieren, Meldepflichten erfüllen, regelmässige Sicherheitsaudits durchführen und mit Behörden zusammenarbeiten. Dies verursacht Kosten und administrative Last.

Der Gesetzentwurf sieht vor, dass betroffene Unternehmen ihre IT-Sicherheit auf ein bestimmtes Niveau bringen müssen, regelmässige Penetrationstests durchführen und Incident-Management-Prozesse etablieren müssen. Auch die Meldung von Sicherheitsvorfällen wird an Behörden verpflichtend.

Für KMU-IT-Dienstleister ist dies hochrelevant. Falls sie als KRITIS einstuft werden, müssen sie ihre Sicherheitsinfrastruktur erheblich ausbauen. Sie sollten jetzt analysieren, ob sie eventuell betroffen sind, und proaktiv mit der Implementierung von Sicherheitsmassnahmen beginnen. Dies ist ein gutes Signal: Der Staat nimmt IT-Sicherheit ernst. Aber es bedeutet auch, dass Sicherheitsinvestitionen unvermeidlich werden.