BBK: Peter Lauwe über die Stärkung der Resilienz Kritischer Infrastrukturen

Peter Lauwe, Leiter der Referatsgruppe Infrastrukturschutz beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe

© BKK

GIT SICHERHEIT: Herr Lauwe, das BBK gibt es seit 2004 und dient seitdem als zentrale Stelle des Bundes für den Bevölkerungsschutz in Deutschland. Könnten Sie bitte zunächst einmal den Begriff der Zivilen Sicherheitsvorsorge eingrenzen, um den es hier geht?

Peter Lauwe: Im Kern geht es um den Schutz der Gesellschaft und ihrer Lebensgrundlagen. Wir im Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) arbeiten an nicht-militärischen Maßnahmen, die darauf abzielen, die Gesellschaft vor Krisen, Katastrophen und militärischen Bedrohungen zu schützen und sie gegenüber diesen resilienter zu machen. Darunter fällt beispielweise die Warnung der Bevölkerung vor Gefahrenlagen, die Förderung der Selbsthilfefähigkeit der Bürgerinnen und Bürger sowie die Stärkung eines effizienten Risiko- und Krisenmanagements von staatlichen und privaten Akteuren. Angesichts der vergangenen und aktuellen sicherheitspolitischen Veränderungen steht insbesondere die Zivile Verteidigung im Mittelpunkt unseres Handelns. All das gehört zu einer gesamtgesellschaftlichen Sicherheitsvorsorge, die den Schutz der Bevölkerung sowie die staatliche Handlungsfähigkeit gewährleisten muss. Einer meiner Arbeitsschwerpunkte ist dabei die Resilienz von Kritischen Infrastrukturen zu stärken.

Das passt in der Tat gut zusammen, denn die Bevölkerung braucht Wasser, Strom, Verkehrswege, etc. ...

Peter Lauwe: Richtig – Kritische Infrastrukturen sind die Lebensadern unserer modernen Gesellschaft. Die Energie- und Wasserversorgung, der Transport von Gütern oder z.B. auch die medizinische Versorgung sind lebensnotwendig für das Funktionieren des öffentlichen Lebens. Kommt es zu Störungen oder Ausfällen, kann das weitreichende Folgen für die Sicherheit der Bevölkerung haben. Der Schutz Kritischer Infrastrukturen ist insofern ein wichtiger Bestandteil des Bevölkerungsschutzes.

Ihre Zuständigkeit für Kritische Infrastruktur besteht demnach auch unabhängig davon, ob das KRITIS-Dachgesetz verabschiedet wird oder nicht?

Peter Lauwe: Grundsätzlich tragen viele Akteure zum Schutz Kritischer Infrastrukturen bei. Die gesetzliche Grundlage für unsere Arbeit in diesem Bereich ist das Zivilschutz- und Katastrophenhilfegesetz (ZSKG). Dort wird geregelt unter welchen Umständen das BBK Daten erheben und verarbeiten darf, unter anderem über Infrastrukturen, bei deren Ausfall die Versorgung der Bevölkerung erheblich beeinträchtigt wird. Darüber hinaus darf der Bund die Bundesländer beim Schutz Kritischer Infrastrukturen beraten und unterstützend tätig werden. Zudem wurde 2009 mit der Verabschiedung einer nationalen Strategie zum Schutz Kritischer Infrastrukturen eine gemeinsame Grundlage und strategische Zielvorstellung zum Schutz Kritischer Infrastrukturen in Deutschland geschaffen.

Die Umsetzung der dem KRITIS-Dachgesetz zugrundeliegenden EU-Richtlinie hat sich ja nun durch die vorgezogenen Neuwahlen des Deutschen Bundestags erst mal verschoben. Lassen Sie uns mal annehmen, dass es inhaltlich im Wesentlichen beim Referentenentwurf mit seinem All-Gefahren-Ansatz und der koordinierenden Rolle des BBK bleibt: Welche neuen Aufgaben kommen dann auf Ihre Behörde zu?  

Peter Lauwe: Bei Umsetzung der EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) ist viel in Bewegung und das Gesetzgebungsverfahren muss zunächst abgeschlossen werden, bevor wir uns näher dazu äußern können. Die Umsetzung der Richtlinie bleibt weiter vordringlich.

Könnten Sie dennoch anhand dieses Bereichs KRITIS einmal generell die ­Arbeitsweise des BBK skizzieren?

Peter Lauwe: Allgemein ist zu betonen, dass der Schutz von Kritischen Infrastrukturen nicht an „einer“ Stelle erfolgt, sondern eine gesamtgesellschaftliche Aufgabe mit vielen Schnittstellen ist. Zwischen Staat und Wirtschaft existieren enge Kooperationen, um die Versorgungssicherheit für die Bevölkerung zu gewährleisten. Grundsätzlich ist es Aufgabe der Betreiber Kritischer Infrastrukturen für einen sicheren und zuverlässigen Betrieb ihrer Anlagen zu sorgen. Das BBK berät, unterstützt, plant, schult und vernetzt zur Steigerung der Resilienz von Kritischen Infrastrukturen. Dabei arbeiten wir sowohl in den jeweiligen Sektoren (z.B. Ernährung, Gesundheit, Wasser etc.) als auch sektorübergreifend wie z.B. zu grundsätzlichen Fragestellungen des Risiko- und Krisenmanagements. Wir entwickeln Schutzkonzepte und methodische Grundlagen, arbeiten an der Erstellung von Regelwerken mit und begleiten Forschungsvorhaben. In unserer länderübergreifenden Krisenmanagementübung „LÜKEX“ proben wir auch regelmäßig den Ernstfall auf strategischer Ebene.  All das wird flankiert von einem intensiven Austausch mit Akteuren, die mit dem Schutz Kritischer Infrastrukturen betraut sind: Bund, Bundesländer, Kommunen und Unternehmen. Beispielsweise ist seit 2012 eine Bund-Länder Arbeitsgruppe etabliert: die Koordinierungsstelle für den Schutz Kritischer Infrastrukturen in Bund und Ländern (AG KOST KRITIS). Auch die Zusammenarbeit zwischen Betreibern Kritischer Infrastrukturen, deren Verbänden und den zuständigen staatlichen Stellen in der sogenannten UP KRITIS (Unabhängige Partnerschafft KRITIS) ist eine wichtige Schnittstelle für das BBK und seine Arbeit.

Ist die Aufsichtsfunktion Ihrer Behörde auch deshalb erforderlich, weil die Kritischen Infrastrukturen nicht isoliert zu sehen sind, sondern es Interdependenzen gibt? Probleme beim Strom etwa führen zu Problemen in Krankenhäusern und im Verkehr, etc...?

Peter Lauwe: Viele Kritische Infrastrukturen sind abhängig voneinander. Diese Interdependenzen zwischen Sektoren und Branchen können das Ausfallrisiko erhöhen. In besonderen Fällen kann das zu Domino- oder Kaskadeneffekten führen, das ist z.B. bei der Abhängigkeit von der Energieversorgung und von Informations- und Telekommunikationstechnik besonders relevant. Kein moderner KRITIS-Betreiber kann heute ohne Strom und Informationstechnik arbeiten. Auch hier gilt es, einen Überblick zu bewahren und diese Abhängigkeiten und Risiken im Vorfeld in den Blick zu nehmen. Das muss sowohl beim KRITIS-Betreiber selbst als auch durch staatliche Stellen, z.B. durch die Kommune passieren. Im BBK versuchen wir beispielweise über den Ansatz des Integrierten Risikomanagements die staatlichen Akteure mit Betreibern Kritischer Infrastrukturen zu vernetzen und einen strukturierten Austausch zu fördern.

Parallel zum KRITIS-Dachgesetz läuft ja die Umsetzung der NIS2-Richtlinie zur Gewährleistung von Mindeststandards in der Cybersicherheit – und hier übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Aufsicht. Das ist sicherlich eine naheliegende Aufgabenverteilung?

Peter Lauwe: Das BBK und das Bundesamt in der Sicherheit in der Informationstechnik (BSI) arbeiten seit Jahren beim Schutz Kritischer Infrastrukturen zusammen. Es bestehen institutionalisierte Schnittstellen über das Nationale Cyber-Abwehrzentrum und die UP KRITIS. Darüber hinaus gibt es regelmäßige Austauschformate auf Arbeitsebene in den jeweiligen Sektoren sowie sektorübergreifend.

Herr Lauwe, Kritische Infrastrukturen müssen resilient gemacht werden ­gegen Gefahren – das ist der Sinn des ganzen EU-weiten normativen Unterfangens. Wie schätzen Sie eigentlich die Gefahren ein? Nehmen sie tatsächlich zu?

Peter Lauwe: In den letzten Jahren erleben wir eine Häufung von Krisen, deren Auslöser oft vielfältig und komplex sind. Sie reichen von sicherheitspolitischen Entwicklungen wie dem Angriffskrieg Russlands gegen die Ukraine, über extreme Wetterereignisse als Folge des Klimawandels oder auch einer zunehmenden weltweiten Vernetzung, wie uns etwa während der Covid-19 Pandemie vor Augen geführt wurde. Kritische Infrastrukturen können gezielt angegriffen werden. In dieser Hinsicht ist ihr Schutz ein wichtiger Bestandteil der Verteidigungsfähigkeit eines Landes. Seit Beginn des Angriffskriegs von Russland gegen die Ukraine sehen wir besonders drastisch, dass Kritische Infrastrukturen häufig primäre militärische Ziele sind. Darüber hinaus sind sie im Fokus von Cyberangriffen oder Sabotageakten. Aber auch Gefahren wie Unfälle oder technische Störungen, können zu erheblichen Schäden und Beeinträchtigungen führen. Insofern gehen wir beim Schutz Kritischer Infrastrukturen von einem sehr breiten Gefahrenspektrum aus. Diese Herangehensweise bezeichnen wir als All-Gefahren-Ansatz. Einzelne, gefahrenspezifische Maßnahmen sollen sich diesem Ansatz folgend in ein übergreifendes Schutzkonzept einfügen. Die Herausforderung ist, dass Schutzmaßnahmen natürlich nie „abgeschlossen“ sind. Risikoanalysen und Übungen müssen regelmäßig durchgeführt und Notfallplanungen kontinuierlich angepasst werden.

Glauben Sie, dass wir auf dem richtigen Weg sind?

Peter Lauwe: In den letzten Jahren ist hier vieles auf den Weg gebracht worden wie z.B. höhere Standards oder eine stärkere Vernetzung zur frühzeitigen Erkennung von Bedrohungen. Für die Zukunft steht aber auch fest, dass wir uns noch resilienter aufstellen müssen – nicht nur Betreiber Kritischer Infrastrukturen wie Behörden und Unternehmen, sondern auch auf gesamtgesellschaftlicher Ebene.