BSI-KRITIS-V: Transport und Verkehr gilt als kritische und daher besonders schutzwürdige Infrastruktur

​veröffentlicht am 21. Februar 2018

Die Bundesregierung hat am 21. Juni 2017 die bestehende „Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz” (BSI-KritisV) in ihrem Anwendungsbereich ausgeweitet. Mit § 8 BSI-KritisV sind nun auch Transport und Verkehr eine kritische Infrastruktur mit besonderen Anforderungen an deren Betreiber.

Zweck der BSI-KritisV ist es die Sicherheit der Informationstechnik in besonders wichtigen Sektoren für den Staat und des öffentlichen und wirtschaftlichen Lebens zu gewährleisten. Diese Sektoren sind Energie, Informationstechnik selber und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung sowie Finanz- und Versicherungswesen. Bislang waren die Sektoren Gesundheit, Transport und Verkehr sowie Finanz- und Versicherungswesen nicht von der BSI-KritisV umfasst.

Der Betreiber kritischer Infrastruktur, also wer die nach den rechtlichen, wirtschaftlichen und tatsächlichen Umständen den bestimmenden Einfluss auf Beschaffenheit und Betrieb der Infrastruktur hat, ist zentraler Adressat der BSI-KritisV.

Die Betreiber kritischer Infrastruktur trifft etwa die Pflicht eine jederzeit erreichbare Kontaktstelle für die von ihnen betriebene kritische Infrastruktur zu benennen. (§ 8b Abs. 3 BSI-Gesetz). Ferner müssen die Betreiber alle zwei Jahre den Nachweis führen (Sicherheitsaudits, Prüfungen, Zertifizierungen, usw.), dass sie angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind (§ 8a Abs. 1 BSI-Gesetz). Hierbei können dem Bundesamt für Sicherheit in der Informationstechnik branchenspezifische Sicherheitsstandards vorgeschlagen werden.

Die Bundesregierung betont bei der Begründung der Ausweitung der BSI-KritisV die herausragende Bedeutung von Gütertransport und Personenbeförderung für Staat, Gesellschaft und Wirtschaft. Nicht jede verkehrliche Anlage ist eine Kritische Infrastruktur i.S.d. BSI-KritisV. Die einzelnen Verkehrseinrichtungen müssen bestimmte Schwellenwerte überschreiten, um als kritisch zu gelten. So sind etwa die Verkehrssteuerungs- und Leitsysteme der Bundesautobahnen insgesamt, für den kommunalen Straßenverkehr erst in Städten ab 500.000 Einwohner als kritisch einzustufen. Schienennetze und Stellwerke im öffentlichen Schienenpersonennahverkehr sowie Verkehrssteuerungs- und Leitsysteme des ÖPNV gelten erst ab 125 Millionen Fahrgästen im Jahr als kritisch.

Bewertung für die Praxis

Die Bundesregierung weitet die Schutzanforderung für die Informationstechnik im Transport- und Verkehrssektor aus. Dies ist grundsätzlich zu begrüßen, um diesen Sektor vor „Cyberangriffen” effektiv zu schützen. Abzuwarten bleibt, ob die bislang sehr eingeschränkte Definition Kritischer Infrastruktur im Verkehrssektor dadurch ausgeweitet wird, dass die Schwellenwerte abgesenkt werden.