Missing Link: Debatte über Kritische Infrastrukturen – alles wird Kritis
Seite 2: Ganz viel Behördenchaos
Die konkreteste Ableitung aus diesen Ideen ist dabei derzeit das BSI-Gesetz und die darauf aufbauende Kritis-Verordnung (KRITIS: Kritische Infrastrukturen). Denn mit dem Gesetz, mit dem die Bonner IT-Sicherheitsbehörde zumindest den digitalen Teilbereich schützen helfen soll, werden Unternehmen bestimmt, die so unverzichtbar sind, dass bei ihnen möglichst nichts Wichtiges ausfallen sollte. Schwellenwerte wie 500.000 Versorgte, bestimmte Mengen an hergestellten oder transportieren Gütern oder eine bestimmte Menge an Kunden sollen sicherstellen, dass nichts ausfällt, was nicht anderweitig kompensiert werden könnte, und ohne dass dabei ein relevanter Schaden entsteht. Doch wie lässt sich das überhaupt gewährleisten? Mit ganz viel Behördenchaos.
Schon bei den relativ konkreten Vorschriften zur IT-Sicherheit und dem Schutz der physischen Sicherheit kritischer Infrastrukturen ist die Debatte längst wieder im Luftschutzkeller-Niveau der frühen Adenauer-Jahre angekommen: Mehr Bundeskompetenzen werden von den meisten Bundesländern schon aus Prinzip abgelehnt, Doppelstrukturen werden geschaffen und mit den Problem-Dimensionen potenziert. In Bayern etwa schützt ein Landesamt für Sicherheit in der Informationstechnik Teile des Cyberbereichs, 96 Kreisverwaltungsbehörden schützen zusammen mit Landesinnenministerium und Regierungspräsidien im Katastrophenfall. Dazu kommen die jeweiligen Sicherheitsbehörden wie Polizeibehörden. Und eine EU-Koordination? Das bleibt die Ausnahme, denn Sicherheit bleibt Mitgliedstaatssache.
Kritis als politisches Hilfsargument
Und weil das alles einfach nicht kompliziert genug ist, kommt seit einigen Jahren eine weitere Dimension zum Tragen: die politische Nutzung der Kritis-Argumente. Die Politik in Deutschland stritt im vergangenen Jahr wochenlang um die geplante Beteiligung des chinesischen Logistikriesen Cosco am Hamburger Containerterminal Tollerort. Und plötzlich, mit einem halben Jahr Verzögerung, ist das Erstaunen im Fall des Hamburger Containerterminals groß. Denn das BSI hat mit einiger Verzögerung festgestellt: Das Terminal ist mit seinen Güterumschlägen doch schon kritische Infrastruktur im Sinne des BSI-Gesetzes.
Doch dahinter steht ein ganz anderes Problem: Wie vertrauenswürdig sind eigentlich Eigentümer oder Anteilseigner, die ihren Geschäftssitz in autoritären Staaten haben? Nicht zuletzt die Geschehnisse rund um Gazprom Germania, das anscheinend kurz nach dem Angriff auf die Ukraine über eine Spontanschließung ein Marktchaos auslösen sollte, haben hier das Sensorium der Politik im vergangenen Jahr massiv geschärft. Doch auch andere, weniger aggressive politisch relevante Übernahmen stellen das bisherige Kritis-Konzept in Frage. Wie viel Sinn ergibt es, Unternehmen Sorgfaltspflichten vorzuschreiben, wenn deren Eigentümer oder Geschäftsführer als potenziell feindlich gelten müssen?
Zur Verfügung stehendes Besteck ist unzureichend
Denn für die Frage, ob ausländische Investoren deutsche Firmen kaufen, schließen oder anderweitig behandeln dürfen, ist das zur Verfügung stehende Besteck an vielen Stellen unzureichend: Die Untersagung eines Verkaufs etwa ist oft nur aus sicherheitspolitischen Gründen möglich. Auch deshalb wird der Kritis-Schutz in immer weitere Dimensionen ausgedehnt. Die Katastrophe kommt heute auch auf marktwirtschaftlichem Wege, mit Kapital, Exportmärkten, teils auch mit freundlichem App-Antlitz, nützlicher Datensammlung und KI-Innovationsfreude. Da helfen Luftschutzkeller und Vorräte im Privathaushalt nur begrenzt, dafür ganz viel Gesetzgebung, Behörden und Zuständigkeiten mit Prüfkompetenzen und Strafandrohungen.
Wie gut, dass derzeit mit der Umsetzung der CER-Richtlinie in das Kritis-Dachgesetz, der Umsetzung der NIS-Richtlinie in eine IT-Sicherheitsgesetz-Überarbeitung und mit sehr vielen weiteren kleinen Vorhaben endlich klar wird, wer wirklich kritisch ist: Juristen, die da noch durchblicken.
(tkn)
