IT-Sicherheit im Kontext von Gebäudeautomation und TGA (Teil 1)

• Was ist KRITIS?
• Neue Bedrohungslage: Gebäudeautomation im Fokus der Cybersicherheit
• IT-Sicherheit, OT-Sicherheit und Cybersicherheit – Begriffsklärung
• Regulatorische Einordnung von NIS2, BSIG und KRITIS-Dachgesetz
• Wer ist von NIS2 betroffen?
• Gesetzliche Pflichten aus der NIS2-Regulierung
• Verantwortung der Geschäftsleitung
• Meldepflichten bei Sicherheitsvorfällen
• Ausblick: Der neue BSI-Grundschutz
• Fazit
• Vorschau: Teile 2 bis 4 der Serie über IT-Sicherheit im Kontext von Gebäudeautomation und TGA

Teil 1: Gebäudeautomation und TGA in Kritischer Infrastruktur (KRITIS)

Die zunehmende Digitalisierung der Technischen Gebäudeausrüstung (TGA) verändert die Anforderungen an Planung, Betrieb und Instandhaltung von Gebäudeautomationssystemen grundlegend. Insbesondere in Kritischer Infrastruktur (KRITIS) wie Krankenhäusern, Energieversorgungsreinrichtungen oder Rechenzentren wird Gebäudeautomation zunehmend zu einem sicherheitskritischen Bestandteil der Gesamtinfrastruktur.

Vor diesem Hintergrund hat die Iconag-Leittechnik GmbH, Idar-Oberstein, am 12.05.2026 ein Online-Seminar zum Thema Planung und Betrieb von Gebäudeautomation im KRITIS-Umfeld veranstaltet. Im Fokus standen regulatorische Anforderungen, die Abgrenzung von IT-Sicherheit und OT-Sicherheit (Operational Technology) sowie praktische Auswirkungen auf Planung und Betrieb von Gebäudeautomationssystemen. Grundlage des folgenden Beitrags sind die Einführungsunterlagen zum Webinar sowie der Fachvortrag von Jens Kluge, Spezialist für OT-Security im Bundesamt für Sicherheit in der Informationstechnik (BSI), Bonn.

Was ist KRITIS?

KRITIS bezeichnet Kritische Infrastrukturen, also Einrichtungen und Anlagen mit besonderer Bedeutung für das staatliche Gemeinwesen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die Versorgungssicherheit, die öffentliche Ordnung oder die Gesundheit hätte.

In Deutschland bildet das am 17. März 2026 in Kraft getretene KRITIS-Dachgesetz den sektorübergreifenden Rechtsrahmen für den physischen und organisatorischen Schutz Kritischer Infrastrukturen. Es dient der Umsetzung der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) und nennt unter anderem folgende Sektoren:

• Energie
• Transport und Verkehr
• Finanzwesen
• Gesundheitswesen
• Wasser
• Ernährung
• Informationstechnik und Telekommunikation
• Weltraum
• Siedlungsabfallentsorgung

Betroffen sind typischerweise Betreiber kritischer Anlagen mit einer Versorgungsschwelle von mindestens 500.000 Personen. Zusätzlich können Bundesländer weitere Einrichtungen unterhalb dieser Schwellenwerte als KRITIS einstufen. Über die Gebäudeautomation wird auch die TGA zunehmend Teil sicherheitskritischer Infrastrukturen und unterliegt damit höheren Anforderungen an Resilienz, Dokumentation und Cybersecurity.

Vorschau: Teile 2 bis 4 der Serie über IT-Sicherheit im Kontext von Gebäudeautomation und TGA

• Teil 2: Das Zusammenspiel von IT- und OT-Sicherheit bei Planung und Betrieb von GA-Systemen in KRITIS-Einrichtungen (voraussichtlich 3.9.2026)
  Autor: Prof. Dr. Dirk Loomans, Hochschule Mainz
• Teil 3: Praktische Ableitungen für die Planung von GA-Systemen am Beispiel eines Krankenhauses (voraussichtlich 1.10.2026)
  Autor: Georg Potthoff, Potthoff-Ingenieure, Erkrath
• Teil 4: Notwendige Anforderungen an die Gebäudeautomation im Lastenheft für KRITIS-Einrichtungen (voraussichtlich 5.11.2026)
  Autor: Christian Wild, Iconag-Leittechnik GmbH, Idar-Oberstein

 cci327648