Prof. Arne Schönbohm lehrt am Institut für Sicherheitsforschung der Hochschule Bonn-Rhein-Siegen im Fachbereich „Sicherheit in der Digitalisierung für Staat, Wirtschaft und Gesellschaft". Im Gespräch beleuchtet er das KRITIS-Dachgesetz und seine praktische Umsetzung.
Wie wird das KRITIS-Dachgesetz in der Praxis greifen?
Manche Vorgaben würden bewusst allgemein gehalten, sagt Schönbohm. Konkretisiert werde vieles über NIS-2 und die nachgelagerten Verordnungen – etwa durch Unterscheidung zwischen „besonders wichtigen" und „wichtigen" Einrichtungen.
Warum der hohe Zeitdruck?
Deutschland sei verpflichtet, NIS-2 in nationales Recht umzusetzen. Verzögerungen würden Strafzahlungen riskieren und das Vertrauen in die Handlungsfähigkeit beschädigen.
Drohen ständige Nachbesserungen?
Schönbohm hält Anpassungen für einen normalen Prozess. Sicherheitsregulierung müsse iterativ funktionieren, weil sich Bedrohungslage und Technologie kontinuierlich ändern.
Was bedeutet das für Unternehmen?
Vor allem für mittelständische Betreiber werde es anspruchsvoll, die Anforderungen an Risikomanagement, Meldepflichten, Lieferkettensicherheit und Vorstandshaftung sauber umzusetzen. Hier brauche es pragmatische Hilfestellungen, sonst drohten manche Akteure zu kapitulieren.
Wie umgeht man Software-Schwachstellen und Innentäter?
Patchdisziplin, klare Zugriffskonzepte, sichere Lieferketten – und nicht zuletzt eine Sicherheitskultur, die Awareness, Personalprozesse und technische Kontrollen verbindet. Innentäter blieben einer der unterschätzten Risikofaktoren.
