SAP-Wiki

KRITIS

KRITIS steht für kritische Infrastrukturen, deren Ausfall die Versorgung der Bevölkerung gefährden würde, etwa Energie-, Wasser- und Gesundheitsversorger. Der Gesetzgeber verpflichtet Betreiber solcher Anlagen zu besonderen Sicherheits- und Nachweispflichten. Für die IT bedeutet das erhöhte Anforderungen an Verfügbarkeit, Dokumentation und den Nachweis funktionierender Prozesse gegenüber Aufsichtsbehörden.

Definition

Was ist KRITIS?

Der Begriff KRITIS geht auf das BSI-Gesetz und die KRITIS-Verordnung zurück, die festlegen, welche Sektoren als kritische Infrastruktur gelten: Energie, Wasser, Ernährung, Gesundheit, Finanzen, Transport und weitere. Betroffen sind Betreiber ab bestimmten Schwellenwerten, etwa nach versorgter Bevölkerungszahl oder Produktionsmenge. Ziel der Regulierung ist, die Versorgungssicherheit der Bevölkerung auch bei Cyberangriffen, Naturereignissen oder technischen Störungen aufrechtzuerhalten. Daraus leiten sich konkrete Pflichten für die IT-Sicherheit und den Nachweis gegenüber dem BSI ab.

Relevant ist der KRITIS-Status für Betreiber von Strom- und Gasnetzen, Wasserversorgern, Krankenhäusern ab bestimmter Bettenzahl und weiteren Einrichtungen der Daseinsvorsorge. Im SAP-Umfeld betrifft das vor allem Systeme mit Netz- und Anlagenbezug, etwa SAP IS-U für die Abrechnung oder Instandhaltungslösungen für die Netzinfrastruktur, aber auch das ERP-Kernsystem, weil dort Stammdaten, Bestellprozesse und Meldewege zusammenlaufen. Wer nicht unter die gesetzlichen Schwellenwerte fällt, ist von den KRITIS-Pflichten nicht betroffen, kann sich aber an vergleichbaren Standards orientieren.

In der Projektpraxis verlangt der KRITIS-Status vor allem drei Dinge: ein dokumentiertes Informationssicherheits-Managementsystem, regelmäßige Nachweise gegenüber dem BSI und eine belastbare Verfügbarkeit der Kernsysteme. Für SAP-Landschaften heißt das, Wartungsfenster präzise zu planen, Notfallkonzepte zu testen und Änderungen an produktiven Systemen über einen geordneten Change-Prozess laufen zu lassen. Häufige Stolperstelle ist die Testabdeckung: Wer Support Packages oder Releasewechsel ohne strukturierte Regressionstests einspielt, riskiert genau die Ausfälle, die der Gesetzgeber verhindern will. Ein dokumentiertes Testmanagement gehört deshalb zur Grundausstattung.

Funktionen

Wie funktioniert KRITIS?

Technisch stützt sich der Betrieb einer KRITIS-Umgebung in SAP auf drei Säulen: kontrolliertes Patchen über Support Packages und SAP Notes, ein strukturiertes Testmanagement für jede Änderung und eine lückenlose Nachweisführung. SAP Cloud ALM oder vergleichbare Werkzeuge dokumentieren, welche Änderung wann getestet und freigegeben wurde, und liefern damit die Grundlage für Audits. Kritische Prozesse laufen in georedundanten Rechenzentren oder mit definierten Wiederanlaufzeiten, damit ein Systemausfall die Versorgungssicherheit nicht gefährdet. Berechtigungskonzepte trennen dabei strikt, wer produktive Änderungen einspielen darf und wer sie nur beantragen kann.

KRITIS-Anforderungen wirken über das Kernsystem hinaus in mehrere angrenzende Bereiche. Prozessdokumentationen in SAP Signavio zeigen Prüfern, wie Kernprozesse tatsächlich ablaufen und wo Kontrollen greifen. Focused Build strukturiert das Anforderungs- und Änderungsmanagement über den gesamten Projektzyklus, damit jede Anpassung nachvollziehbar bleibt. Monitoring-Werkzeuge für Netzleitsysteme und Prozessleittechnik liefern zusätzlich die betriebliche Sicht auf Anlagenverfügbarkeit, die parallel zur IT-Sicht im SAP-System dokumentiert werden muss. Ohne dieses Zusammenspiel bleibt der Nachweis gegenüber dem BSI lückenhaft.

Vorteile

Nachvollziehbare Nachweisführung

SAP Cloud ALM und dokumentierte Testzyklen liefern im Auditfall genau die Belege, die das BSI von Betreibern kritischer Infrastrukturen verlangt.

Strukturiertes Change-Management

Focused Build bündelt Anforderungen, Tests und Freigaben in einem Werkzeug, statt sie über E-Mails und Tabellen zu verteilen.

Geplante Wartungsfenster

Verfügbarkeitsanforderungen zwingen Betreiber, Patches und Releasewechsel vorab zu testen und in klar kommunizierten Fenstern einzuspielen.

Prüfbare Prozessdokumentation

SAP Signavio macht Kernprozesse für Prüfer sichtbar und zeigt, wo Kontrollen im Alltag tatsächlich greifen.

Belastbare Betriebsprozesse

Ein geordnetes Incident- und Eskalationsmanagement reduziert die Zeit bis zur Wiederherstellung, wenn eine Störung die Versorgung gefährdet.

Grenzen

Hoher Dokumentationsaufwand

Jede Änderung an einem KRITIS-relevanten System verlangt einen dokumentierten Test- und Freigabeprozess. Wer das unterschätzt, verzögert Releasewechsel spürbar.

Nur für Betreiber ab Schwellenwert

Kleinere Versorger unterhalb der gesetzlichen Schwellenwerte müssen die vollen KRITIS-Pflichten nicht erfüllen, profitieren aber oft von denselben Standards.

Kein Ersatz für Fachrecht

SAP-Werkzeuge unterstützen Nachweis und Testmanagement, ersetzen aber keine juristische Bewertung der eigenen Meldepflichten gegenüber dem BSI.

Verfügbarkeit kostet Redundanz

Georedundante Rechenzentren und getrennte Wiederanlaufsysteme erhöhen die Betriebskosten deutlich. Wer das nicht einplant, unterschätzt das Budget für den laufenden Betrieb.

FAQ

Häufige Fragen zu KRITIS

Wer gilt als Betreiber kritischer Infrastruktur?

Maßgeblich sind die Schwellenwerte der KRITIS-Verordnung, meist nach versorgter Bevölkerungszahl oder Produktionsmenge in Sektoren wie Energie, Wasser, Ernährung oder Gesundheit. Die konkrete Einstufung prüft im Zweifel die zuständige Aufsichtsbehörde oder ein spezialisierter Rechtsberater, eine Selbsteinschätzung reicht dafür nicht aus.

Was unterscheidet KRITIS von NIS-2?

KRITIS betrifft nach dem BSI-Gesetz einen engeren Kreis großer Betreiber, NIS-2 erweitert vergleichbare Pflichten auf deutlich mehr Unternehmen und Sektoren. Viele KRITIS-Betreiber fallen zusätzlich unter NIS-2, die Pflichten ergänzen sich in der Praxis meist, statt sich zu widersprechen.

Muss ein KRITIS-Betreiber S/4HANA einsetzen?

Nein, KRITIS schreibt keine bestimmte Software vor. Verlangt wird Verfügbarkeit und Nachweisfähigkeit der eingesetzten Systeme. SAP S/4HANA bietet dafür mit Cloud ALM, Testmanagement und dokumentierten Change-Prozessen passende Werkzeuge, ist aber keine gesetzliche Pflicht und ersetzt keine eigene Risikobewertung.

Wie oft muss ein KRITIS-System auditiert werden?

Die genaue Prüffrequenz legt die Aufsichtsbehörde je nach Sektor fest, meist in mehrjährigen Zyklen ergänzt um anlassbezogene Prüfungen nach Vorfällen. Ein durchgängiges Testmanagement erleichtert jede dieser Prüfungen, unabhängig vom konkreten Termin, weil Nachweise laufend statt erst kurz vorher entstehen.

Was kostet die Umsetzung der KRITIS-Pflichten im SAP-Umfeld?

Das hängt stark von Systemlandschaft, Sektor und bestehendem Reifegrad der Prozesse ab. Pauschale Zahlen nennt seriös niemand. Eine Bestandsaufnahme der aktuellen Prozesse und Systeme liefert die Grundlage für eine belastbare Schätzung, bevor ein konkretes Budget geplant wird.

Ihr Kontakt

Gabriele Görtz

Head of Sales & Growth

Sprechen Sie mit uns.

Ein Erstgespräch dauert 30 Minuten. Sie können auch direkt mit einem konkreten Thema kommen. Rufen Sie an oder schreiben Sie uns.

+49 40 69 658 50-0

Anwender-Helpdesk für Bestandskunden:

0800 52388 55 (kostenfrei)