Regulierung
KRITIS und NIS2, ohne Zertifikate
Zwei Regime bestimmen die Sicherheit eines deutschen Rechenzentrums: die nationalen KRITIS-Regeln und die europäische Richtlinie NIS2 in ihrer deutschen Umsetzung. Meist wird darüber gesprochen, als ginge es um Zertifikate. Es sind keine Zertifikate, und diese Seite sagt, was es tatsächlich ist.
Was deutsches KRITIS-Recht und die europäische Richtlinie einem Betreiber wirklich abverlangen, und warum hier niemand zertifiziert ist.
KRITIS ist ein Schwellenwert, kein Siegel
Die deutsche KRITIS-Regulierung gilt für Betreiber oberhalb definierter Schwellen in definierten Sektoren, darunter Informationstechnik und Telekommunikation. Erfasst zu sein ist eine Frage der gemessenen Versorgungsleistung, nicht der Antragstellung. Wer erfasst ist, schuldet dem Bundesamt den Nachweis angemessener organisatorischer und technischer Massnahmen, im Turnus, und die Meldung, wenn etwas passiert.
NIS2 zieht das Netz weiter
Die europäische Richtlinie zur Netz- und Informationssicherheit erhöht die Pflichten und erweitert den Kreis deutlich, auch auf Betreiber, die bisher unter jeder Schwelle lagen. Die deutsche Umsetzung trägt sie ins nationale Recht. Ihr Schwerpunkt liegt auf Risikomanagement, Lieferkettensicherheit, Meldung in kurzer Frist und – der Teil, der Verhalten ändert – Haftung der Geschäftsleitung.
Warum wir nie «konform» schreiben
Keines der beiden Regime stellt ein Zertifikat aus, das ein Gebäude hochhalten könnte. Es gibt einen Prüfpfad, es gibt Nachweise gegen Normen wie ISO 27001, und es gibt ein Aufsichtsverhältnis. Ein Rechenzentrum im Bau befindet sich auf dem Weg zu Pflichten, die mit dem Betrieb beginnen. «KRITIS-konform» auf einem Standort, der noch nicht in Betrieb ist, beschreibt einen Zustand, den es noch nicht geben kann – und jeder Prüfer, der das Regime kennt, liest das als Hinweis.
Was es mit der Zeichnung macht
Sicherheitsregulierung ist am günstigsten zu erfüllen, wenn sie eingeplant ist, und am teuersten, wenn sie nachgerüstet wird. Zonen vom öffentlichen Rand bis zur Maschinenhalle, bauliche Grenzen vor elektronischen, Zutritt je Zone protokolliert, und ein gemeinsamer Sicherheits- und Netzleitstand. Das sind Linien im Lageplan, und sie kosten am Tag der ersten Zeichnung am wenigsten.
