KRITIS Sektor-Steckbrief: Transport und Verkehr

Luftverkehr

Der Regelschwellenwert: Die Versorgung von mindestens 500.000 Personen.

Berechnungsbeispiele (laut BSI-KritisV):

Luftverkehr: Flughäfen ab 1,85 Millionen Passagieren/Jahr oder Flugsicherungen ab 17.500 Flugbewegungen/Jahr.
Schienen- & Straßenverkehr: Schienennetze ab 8,2 Millionen Zugkilometern/Jahr bzw. Verkehrsleitsysteme der Straße mit signifikantem regionalem Verkehrsaufkommen.
See-/Binnenschifffahrt: Umschlaganlagen in Häfen ab 3,27 Millionen Tonnen Fracht pro Jahr.
Logistik: Logistikzentren ab einem Umschlagvolumen von 53,2 Millionen Tonnen Güter/Jahr.

EBA (Eisenbahn-Bundesamt): Zuständig für den Schienenverkehr.
LBA (Luftfahrt-Bundesamt): Zuständig für den Luftverkehr.
BMDV (Bundesministerium für Digitales und Verkehr): Sektorspezifische Oberbehörde für Straße, Schifffahrt und Logistik (oft in Abstimmung mit den Straßenbaubehörden der Länder).
BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe): Zentrale Anlaufstelle für die physische Resilienz (Vorgaben durch das KRITIS-Dachgesetz, z. B. Schutz von Bahnhöfen, Stellwerken, Brücken).
BSI (Bundesamt für Sicherheit in der Informationstechnik): Zuständig für IT-/Cyber-Sicherheit (z. B. Schutz digitaler Stellwerke, Buchungs- und Leitsysteme) und das Meldewesen.

Informationssicherheit (§ 30/31 BSIG): Absicherung digitaler Kontroll- und Stellwerkssysteme, Fahrgastinformationssysteme und logistischer Dispositionssysteme nach dem “Stand der Technik” (z. B. Umsetzung der ISO 27001 oder branchenspezifischer Standards). Pflicht zum Einsatz von Systemen zur Angriffserkennung (SZA) und Nachweis-Audits alle 2 Jahre.
Physische Resilienz (§ 13 KRITIS-DachG): All-Gefahren-Ansatz: Schutz der Verkehrsinfrastruktur vor Sabotage (z. B. gezieltes Kappen von Kabelschächten), Extremwetter (Gleisbettschäden durch Hitze, Überflutung von Tunneln/Häfen) und Unfällen. Konkrete Schutzmaßnahmen: Umfassender Perimeterschutz (Zäune, Videoüberwachung) für Betriebszentralen, Stellwerke und Tower-Infrastruktur. Strenge Zugangskontrollen zu Sicherheitsbereichen (Airside/Landside an Flughäfen) und Implementierung von Business Continuity Management (BCM) inklusive Notstromversorgung für kritische Signal- und Weichensysteme.

Registrierung: Spätestens 3 Monate nach Erreichen des Status als kritische Anlage über das gemeinsame Meldeportal von BSI und BBK.
Risikoanalysen: Turnusmäßige Durchführung von Risikoanalysen und Erstellung eines physischen Resilienzplans alle 4 Jahre.
Strafen: Bußgelder bis zu 500.000 € bei rein physischen Verstößen gegen das KRITIS-Dachgesetz (z. B. fehlende Registrierung oder unterlassene Risikoanalyse). Bei schwerwiegenden IT-Verstößen (NIS-2-Regime) drohen Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes.
Haftung: Die Geschäftsleitung (z. B. Vorstände der DB-Sparten, Flughafengeschäftsführer, Logistik-CEOs) haftet bei schuldhafter Verletzung ihrer Risikoüberwachungspflichten persönlich und uneingeschränkt mit dem Privatvermögen.