BMI legt Verordnung zur Bestimmung kritischer Infrastrukturen vor

02.03.2016 Das Bundesinnenministerium (BMI) hat am 05.02.2016 den Referentenentwurf einer Verordnung zur Bestimmung Kritischer Infrastrukturen (BSIKritisV) zur Stellungnahme an die Länder und Verbände übermittelt. Mit dem vorgelegten Verordnungsentwurf sollen Betreiber Kritischer Infrastrukturen anhand messbarer und nachvollziehbarer Kriterien prüfen können, ob sie unter den Regelungsbereich des IT-Sicherheitsgesetzes fallen. Wesentliche Zielvorgabe für die Rechtsverordnung ist laut Begründung, dass ausschließlich die aus Bundessicht hinreichend bedeutsamen Anlagen zur Versorgung der Allgemeinheit als Kritische Infrastrukturen gelten.

Die Bestimmung erfolgte anhand des jeder Anlagenkategorie in den Anhängen zu dieser Verordnung zugeordneten Schwellenwertes. Anlagen oder Teile davon gelten demnach als kritisch, soweit sie den im jeweiligen Anhang aufgeführten Schwellenwert nach § 10 Abs. 1 Satz 2 BSI-Gesetz erreichen oder überschreiten. Anhand des Schwellenwerts ist zu bestimmen, ob ein Versorgungsgrad als bedeutend anzusehen ist. Nach Begründung soll im Sinne der Verordnung der Versorgungsgrad in der Regel als bedeutend gelten, wenn 500.000 oder mehr Personen durch die jeweilige Infrastruktur mit einer kritischen Dienstleistung versorgt werden.

Anlässlich der Anhörung der Verbände begrüßt der BDEW, dass mit der Verordnung erstmals definiert wird, was eine kritische Infrastruktur ist. Nachbesserungsbedarf sieht der BDEW allerdings noch mit Blick auf die Energiewirtschaft. Zum einem sollte, wie für andere Wirtschaftsbereiche auch, eine Übergangsfrist von sechs Monaten gelten, bis die Meldepflichten für IT-Sicherheitsvorfälle greifen. Zum anderen sollten die Schwellenwerte, ab wann eine Anlage als kritische Infrastruktur gilt, insbesondere im Sektor Gas für Förderanlagen und Netze auf Grundlage des tatsächlichen Gasverbrauchs auf 5.750 GWh erhöht werden. Auch die Schwellenwerte für Gasspeicher sollten aufgrund der saisonalen Schwankungen der Speichernutzung erhöht werden. Angemessen wäre hier ein Schwellenwert für die Kapazität von 11.500 GWh.

Am 25.07.2015 ist das IT-Sicherheitsgesetz, das u.a. die Änderung des BSI-Gesetzes nach sich zog, in Kraft getreten. Es regelt unter anderem, dass Betreiber Kritischer Infrastrukturen zur Umsetzung von Mindeststandards verpflichtet werden, zudem werden Meldepflichten von IT-Sicherheitsvorfällen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) vorgeschrieben. Betroffen sind im Energiesektor Betreiber von Strom-/Gasnetzen, Kraftwerken, Gasspeichern und auch Direktvermarkter. Im Wassersektor sind hauptsächlich Betreiber von großen Trinkwassergewinnungsanlagen und Wassernetzen betroffen. In der Begründung zur Verordnung werden als Kritische Infrastruktur geltende Anlagen im Bereich Energie auf 320 Anlagen und im Bereich Wasser auf 230 Anlagen geschätzt Bis Ende 2016 sollen per Änderungsverordnung auch die Sektoren Transport und Verkehr, Gesundheit sowie Finanz- und Versicherungswesen geregelt werden.

- fb -