Thread by @JvondenBerken

#Schulen und #KRITIS
Ein Rant. Was sind kritische Infrastrukturen und was nicht?
Spoiler: Schulen sind keine KRITIS. Die Argumentation "Schule=KRITIS" ist für die Tonne, weil fadenscheinig.

https://twitter.com/starkwatzinger/status/1481581558649827333

„Kritische Infrastrukturen (KRITIS) sind Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit

oder andere dramatische Folgen eintreten würden.“ ist die Definition von KRITIS. Näheres regelt die Kritis-Verordnung: gesetze-im-internet.de/bsi-kritisv/BJ…

Zu jeder kritischen Infrastruktur gehört auch eine Größenordnung, ab wann man als KRITIS gilt. Beispiele:
- Krankenhaus mit 19.500 Patienten: ❌KRITIS
- Energieversorger für 220.000 Bewohner: ❌KRITIS
- Abwasserdienstleister für 440.000 Menschen: ❌KRITIS

Erst wenn eine gewisse Größe überschritten ist, wird man KRITIS, Beispiele:
✅KRITIS: Telekommunikationsunternehmen mit 104.500 Anschlüssen
✅KRITIS: Uniklinik mit 56.021 Patienten
✅KRITIS: Geldinstitut mit 21 Mio Transaktionen/Jahr

Wir können gerne darüber diskutieren, dass
- die bisherigen Schwellwerte zu hoch sind
- die Sektoren erweitert werden müssen
- Sektor "Medien und Kultur" und "Staat und Verwaltung" ausgestaltet werden müssen.

Das Attribut "KRITIS" ist aber nicht nur eine nette Beschreibung, die man sich an die Wand hängt, sondern ist mit umfangreichen Pflichten verbunden:
- Informationssicherheitsmanagement
- Meldepflichten
- Notfallpläne, Notfallvorsorge
- betriebliches Notfallmanagement
[...]

Ich habe aber ein Problem damit, dass jetzt jede Dorfschule KRITIS sein soll.
1) Schulen gehen jedes Jahr für 6 Wochen am Stück in Ferien. Eine Unterbrechung der angeblichen 'kritischen' Dienstleistung ist also möglich, verhältnismäßig und regelhaft. Probiert das mal mit Strom!

2) Sollten wir uns erstmal über Größenordnungen unterhalten. Ab welcher Größe sind Schulen KRITIS? Ab 50? 250? 1500 Schülerinnen / Schülern? Auf welcher Grundlage erfolgt diese Einschätzung?

3) Wir sollten KRITIS-Attribute nicht leichtfertig vergeben. Wenn jede Schule KRITIS wird, was bedeutet dies für den Energieversorger mit 210.000 Einwohnern? Ist der dann auch KRITIS? In meinen Augen mindert die Generaldeklaration erheblich die Zielrichtung der KRITIS.

4) Es geht ausschließlich darum, das KRITIS-Attribut zu missbrauchen, um die Vorteile einzuheimsen, aber nicht die Pflichten zu erfüllen. Dazu zählen vor allem Vorsorgemaßnahmen (Luftfilter, Hygiene, Notfallpläne etc)

5) Wo sind denn Notfallpläne für Schulen? Die müssten als KRITIS ja z.B. Pandemiepläne beschreiben. In diesen sollte das Szenario beschrieben sein mit möglichen Reaktionsmechanismen, z.B. Homeoffice, Telearbeit, Kohortenbildung. Also alles, was richtige KRITIS grade machen!

6) Informationssicherheitsmanagement. Da fallen mir so spontan einige Pflichten ein, die bei Schulen eher problematisch aufgefallen sind, z.B. Ausstattung auf dem Stand der Technik...
Mit dem aktuellen Stand würden 99% aller Schulen bei einer KRITIS Prüfung durchfallen!

7) Meldepflichten. In einem Land, wo in schöner Regelmäßigkeit bei Feiertagen massive Verzögerungen in der Corona-Fallzahl haben, sollen Schulen als 'kritische Infrastruktur' sehr enge Meldepflichten bezüglich IS erfüllen. Ja klar doch!

Hier wird erkennbar die KRITIS-Regelung missbraucht und dadurch für andere verwässert. Ein besserer Weg wäre es:
- einen Sektor Bildung zu etablieren
- diesen mit Schwellwerten zu hinterlegen
- eine Umsetzung in mehreren Körben zu planen

Natürlich sind Schulen wichtig, systemrelevant und gesellschaftlich unabdingbar - aber keine KRITIS. Einfach auf alles das Modewort KRITIS zu klatschen, weil man es mangels Alternativen offenhalten will, ist ein Armutszeugnis. Rant Ende.

Dazugehöriger Thread zum Thema Kindern von Mitarbeitenden in KRITIS in Schulen:

https://twitter.com/JvondenBerken/status/1479359501811732482?s=20