Drohnenvorfälle an Flughäfen in Leipzig und Wunstorf, Sabotageversuche an Umspannwerken in Brandenburg und Nordrhein-Westfalen: Es vergeht kaum eine Woche, in der nicht von Attacken und Anschlagsversuchen auf zentrale Infrastrukturen in Deutschland berichtet wird. Auch im Gesundheitssektor wurde Anfang dieses Jahres eine wachsende Zahl ungewöhnlicher Sicherheitsvorfälle vermeldet.
Die zunehmende Anzahl von Vorfällen zeigt, wie wichtig und dringlich die Aufgabe ist, unsere kritischen Infrastrukturen zu schützen. Dies gilt ganz besonders für den Gesundheitssektor: Man möchte sich nicht ausmalen, welche schwerwiegenden (unmittelbaren) Folgen der Zusammenbruch einer Intensivversorgung eines großen Klinikums oder die fehlende Verfügbarkeit lebenswichtiger Medikamente haben kann.
Infrastruktur-Betreiber in der Pflicht
Aus regulatorischer Sicht ist das Thema eigentlich nicht neu. Die am 16. Januar 2023 in Kraft getretene CER-Richtlinie (Richtlinie (EU) 2022/2557) normiert Mindestanforderungen für den physischen Schutz kritischer Infrastrukturen. Sie fordert von den Mitgliedstaaten der Europäischen Union, bis zum 17. Oktober 2024 nationale Regelwerke in Kraft zu setzen, um die geforderten Vorgaben umzusetzen.
Die Pflicht zur Gewährleistung eines hinreichenden Maßes an physischer Resilienz verortet die CER-Richtlinie primär bei den Betreibern der jeweiligen Infrastrukturen selbst: Diese sind es, die auf Grundlage einer durchzuführenden Risikobewertung geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Gewährleistung ihrer Resilienz ergreifen und Sicherheitsvorfälle an zuständige nationale Behörden melden müssen. Indirekt werden solche Anforderungen zunehmend auch Eingang in Beschaffungs- und Kooperationsverträge haben, so dass auch nachgeschaltete Anbieter entsprechende Verpflichtungen werden umsetzen müssen.
Verzögerte gesetzgeberische Umsetzung
Trotz Ablaufs der Umsetzungsfrist am 17. Oktober 2024 wurde die CER-Richtlinie bis heute nicht in allen Mitgliedstaaten der Europäischen Union umgesetzt. So stehen beispielsweise die Umsetzungen in Frankreich und Spanien noch aus.
In Deutschland erfolgte die nationale Umsetzung mit ungefähr eineinhalb Jahren Verspätung durch das am 17. März 2026 in Kraft getretene KRITIS-Dachgesetz. Ein Gesetz ist also nun da. Aber es fehlen die für die Operationalisierung nötigen Details. Das ist zuvorderst darauf zurückzuführen, dass das Bundesministerium des Inneren die notwendige KRITIS-Verordnung, über die der Anwendungsbereich des KRITIS-Dachgesetzes definiert wird (einschließlich erfasster Anlagenkategorien und sektorspezifischer Schwellenwerte), noch nicht erlassen hat.
Geplanter Anwendungsbereich im Gesundheitssektor Die gegenwärtig als Referentenentwurf vorliegende KRITIS-Verordnung definiert den Anwendungsbereich im Gesundheitssektor in Teilen weiter als dies unter der Vorgängerverordnung unter dem BSI-Gesetz – der sog. BSI-KRITIS-Verordnung, der Fall ist: Zusätzlich zu den in Anhang 5 zur BSI-KRITIS-Verordnung gelisteten Anlagenkategorien finden sich im Entwurf der KRITIS-Verordnung des BMI auch Produktionsstätten für pharmazeutische Grundstoffe, EU-Referenzlaboratorien und Forschungs- und Entwicklungseinrichtungen.
Während für Forschungs- und Entwicklungseinrichtungen ein Schwellenwert von ca. 61 Mio. EUR an Investitionen in Forschung und Entwicklung pro Jahr vorgesehen ist, findet sich zu der Anlagenkategorie der Produktionsstätte pharmazeutischer Grundstoffe weder ein Bemessungskriterium noch ein konkreter Schwellenwert. Zugleich ersetzt der Entwurf – und dies ist besonders für pharmazeutische Anlagenkategorien relevant – den bisherigen Begriff „verschreibungspflichtig“ durch das Erfordernis der Versorgungsrelevanz. Für die entsprechenden Kategorien dürfte damit künftig die Liste versorgungsrelevanter Arzneimittel nach § 52b Abs. 3c AMG leitend sein.
Gewiss ist dies alles gleichwohl noch nicht. Dementsprechend aufmerksam wird nach zwischenzeitlich abgeschlossener Länder- und Verbändeanhörung nun die Veröffentlichung der finalen Fassung der KRITIS-Verordnung durch das BMI abgewartet.
Konkretisierung fehlt bislang
Sobald die finale KRITIS-Verordnung vorliegt, können Unternehmen im Einzelnen prüfen, ob sie den Registrierungs-, Resilienz- und Meldepflichten des KRITIS-Dachgesetzes unterliegen.
In puncto Umsetzung der gesetzlichen Anforderungen treten dann aber die nächsten offenen Fragen auf: Auch insoweit macht sich das Fehlen erforderlicher untergesetzlicher Spezifizierungen und Operationalisierungen bemerkbar. So mangelt es bis dato beispielsweise an inhaltlichen und methodischen Vorgaben einschließlich Vorlagen und Mustern für die Risikoanalyse und Risikobewertung. Auch die im Gesetzursprünglich bis zum 17. Januar 2026 angekündigten Muster und Vorlagen für Resilienzpläne liegen noch nicht vor. Entsprechendes gilt für sektorübergreifende und branchenspezifische Mindestanforderungen und Resilienzstandards.
Angesichts der hohen Bedeutung des Themas – für die Betriebsfähigkeit jedes Unternehmens, die Verantwortung des unternehmensinternen Managements und die gesellschaftliche Resilienz – bleibt zu hoffen, dass diese Spezifizierungen rechtzeitig vor Anwendungsbeginn der jeweiligen Pflichten – d.h. mit einer hinreichenden und realistischen Vorlaufzeit – verfügbar sind, damit unternehmensseitig vielerorts bereits seit geraumer Zeit initiierte Umsetzungsprojekte den erforderlichen regulatorischen Input erhalten und nicht weiter verzögert werden, was zu Lasten der Resilienz unserer kritischen Infrastrukturen und unser aller Sicherheit und Versorgung ginge.