Немецкая система KRITIS для защиты критической инфраструктуры только что прошла самую значительную реформу за десятилетие. Закон о реализации NIS2 — Gesetz zur Umsetzung der NIS-2-Richtlinie, или NIS2UmsG — вступил в силу 6 декабря 2025 года, существенно пересмотрев Закон о BSI (BSIG), который регулировал обязательства по ИТ-безопасности для операторов критической инфраструктуры с 2009 года.
Для организаций, работающих в таких секторах, как энергетика, водоснабжение, здравоохранение, транспорт или ИТ и телекоммуникации, это не незначительное обновление. Сфера регулирования, требуемые действия и способы их подтверждения изменились конкретным образом. В этой статье объясняется, что изменилось, что осталось прежним и что это означает на практике при выборе облачной платформы.
Что такое KRITIS и что это теперь означает согласно новому закону
KRITIS — сокращение от Kritische Infrastrukturen — это федеральное обозначение критической инфраструктуры в Германии. Операторы объектов, относящихся к KRITIS, давно подпадают под специальные обязательства по ИТ-безопасности согласно BSIG, под надзором BSI (Bundesamt für Sicherheit in der Informationstechnik).
Согласно новому закону терминология изменилась. Пересмотренный BSIG больше не использует «Kritische Infrastrukturen» в качестве основной категории. Вместо этого он регулирует besonders wichtige Einrichtungen (особо важные организации) и wichtige Einrichtungen (важные организации). Операторы того, что теперь называется kritische Anlagen (критические объекты), являются подмножеством первой группы и по-прежнему сталкиваются с наиболее строгими требованиями. Обязательства, которые они имели согласно предыдущему BSIG, в основном сохранены, но реструктурированы и в некоторых областях ужесточены.
Охватываемые секторы остаются в целом теми же: энергетика, транспорт, финансы, здравоохранение, водоснабжение, продовольствие, ИТ и телекоммуникации, космос и управление отходами. Изменилась пороговая логика, некоторые отраслевые правила и общий охват тех, кто попадает под действие системы — не только операторы KRITIS, но и десятки тысяч организаций в более широких категориях NIS2.
Одно заметное структурное изменение: финансовый сектор был разделён на два — Finanzwesen (Финансы) и Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende (Услуги социального страхования и базовое обеспечение для ищущих работу). Частные страховые компании больше не включены. Организации, подпадающие под действие регламента DORA ЕС, освобождены от некоторых обязательств BSIG по отчётности и аудиту, поскольку эти две системы значительно пересекаются.
Что теперь должны делать операторы критических объектов
Для операторов kritische Anlagen основные обязательства — регистрация, сообщение об инцидентах, внедрение соответствующих технических и организационных мер и регулярное предоставление доказательств соответствия — остаются в силе. Но несколько деталей изменились.
Регистрация теперь двухуровневая. Существующие операторы KRITIS должны зарегистрироваться не только на существующем портале MIP (Melde- und Informationsportal), которым они пользовались до сих пор, но и как besonders wichtige Einrichtung на новом портале BSI. Крайний срок для уже зарегистрированных — три месяца с 6 декабря 2025 года, то есть 6 марта 2026 года. Новые операторы должны выполнить обе регистрации с самого начала.
Цикл аудита увеличился. Ранее операторы должны были предоставлять доказательства соответствия каждые два года. Согласно новому BSIG цикл составляет каждые три года. BSI напрямую уведомил существующих операторов об их новых индивидуальных сроках.
Сообщение об инцидентах следует структуре NIS2. Предыдущее обязательство KRITIS по отчётности теперь полностью поглощено системой NIS2. Операторы, которые отчитываются через MIP, не должны дублировать отчёт на портале BSI — BSI подтвердил, что эта переходная договорённость останется в силе по крайней мере до 31 июля 2026 года.
Системы обнаружения атак остаются обязательными. Требование развёртывания систем, способных обнаруживать события, связанные с безопасностью, — введённое IT-SiG 2.0 в 2021 году, — сохраняется согласно §31 BSIG специально для операторов критических объектов. BSI опубликовал руководство о том, что эти системы должны уметь делать (Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung), доступное на странице загрузок BSI.
Общие контактные пункты (GÜAS) упразднены. Операторы, которые ранее использовали общую контактную структуру с коллегами в том же секторе, теперь должны каждый поддерживать свои собственные прямые контактные договорённости с BSI.
Почему выбор облачной платформы является решением о соответствии KRITIS
Пересмотренный BSIG явно требует от операторов оценки надёжности их технологических поставщиков — включая платформы, на которых работают их критические рабочие нагрузки. Это не ново, но теперь более формально встроено в систему. Для облачной инфраструктуры в частности это поднимает вопросы, выходящие за рамки сертификаций и SLA.
Гипермасштабируемые публичные облачные платформы — AWS, Azure, GCP — обладают структурными характеристиками, которые трудно согласовать с требованиями KRITIS. Решения о маршрутизации данных принимаются динамически, что технически затрудняет гарантию того, что данные никогда не покидают Германию или ЕС. Их внутренние системы — гипервизоры, сетевые стеки — не могут быть независимо проверены, что создаёт трения с требованиями оценки цепочки поставок. А поставщики со штаб-квартирой в США остаются подпадающими под действие CLOUD Act (18 U.S.C. § 2713), который может принудить к раскрытию данных независимо от того, где они хранятся, — прямой конфликт с обязательствами по суверенитету данных согласно системе BSIG.
Всё это не означает, что гипермасштабируемая платформа не может быть частью инфраструктуры оператора. Но это означает, что для рабочих нагрузок, классифицированных как критические, вопрос платформы несёт регуляторный вес, а не только операционный.
На что обращать внимание в соответствующей облачной платформе
На основе требований, изложенных в пересмотренном BSIG и руководстве BSI, облачная платформа, поддерживающая рабочие нагрузки, регулируемые KRITIS, должна демонстрируемо решать несколько областей:
Высокая доступность по архитектуре — не просто договорно обещанное время безотказной работы, а избыточность, встроенная в уровни вычислений, хранения и сети, без единых точек отказа.
Локальное или частное развёртывание с полным контролем резидентности данных — оператор должен иметь возможность проверить, где обрабатываются и хранятся данные, без нераскрытой внешней маршрутизации.
Шифрование в состоянии покоя и при передаче, управление ключами под контролем оператора и строгая сегментация сети между арендаторами.
Возможность обнаружения атак, соответствующая руководству BSI — мониторинг в реальном времени, обнаружение аномалий и интеграция с инструментами SIEM.
Полное журналирование аудита — каждый вызов API, каждое изменение конфигурации, каждое административное действие, экспортируемое для проверки BSI и трёхлетнего предоставления доказательств соответствия.
Проверяемая цепочка поставок программного обеспечения — основы с открытым исходным кодом с опубликованным перечнем компонентов программного обеспечения (SBOM), чтобы операторы могли провести оценку надёжности, требуемую законом.
Как FishOS решает требования KRITIS
FishOS, разработанная Sardina Systems, — это платформа управления облаком, которая интегрирует OpenStack, Kubernetes и Ceph в единый автоматизированный стек. Она предназначена для локального и частного облачного развёртывания, что означает, что операторы сохраняют прямой контроль над тем, где находятся и обрабатываются их данные, — без зависимости от внешней облачной инфраструктуры или иностранной юрисдикции.
Со стороны доступности FishOS включает проприетарный компонент мониторинга работоспособности, который непрерывно анализирует метрики в реальном времени и данные журналов. По данным Sardina Systems, он использует то, что они описывают как подход «компьютерной иммунологии» — выявляя не только состояния отказа, но и деградированные «больные» состояния до того, как они вызовут сбои. Это отличается от обычных инструментов мониторинга.
Со стороны безопасности и аудита FishOS обеспечивает централизованное журналирование аудита, охватывающее действия пользователей и системного уровня во всей инфраструктуре, и поддерживает интеграцию с SIEM. Согласно сторонним обзорам платформы, FishOS включает интегрированную возможность SIEM для обнаружения и реагирования на угрозы безопасности в среде.
Что касается прозрачности цепочки поставок, FishOS построена на компонентах с открытым исходным кодом — OpenStack, Ceph, Kubernetes — с публично проверяемыми кодовыми базами. Sardina Systems предоставляет документацию SBOM, что напрямую поддерживает оценку надёжности цепочки поставок, требуемую согласно пересмотренному BSIG.
FishOS поддерживает миграцию с VMware и других устаревших платформ через своё устройство FishOS Move It, используя либо подход с минимальным временем простоя, либо отслеживание изменённых блоков (CBT) для работающих сред. Оба метода имеют проверенную репутацию на производственных площадках.
FishOS обеспечивает архитектурную основу — локальный суверенитет, проверяемость открытого исходного кода, высокую доступность и операционные инструменты, — которые необходимы операторам для построения и демонстрации соответствующей инфраструктуры.
С чего начать с KRITIS
Если ваша организация потенциально попадает в сферу действия пересмотренного BSIG — либо как существующий оператор KRITIS, либо как вновь регулируемая организация в категориях NIS2, — непосредственными приоритетами являются:
Во-первых, проверьте, квалифицируетесь ли вы как Betreiber kritischer Anlagen согласно обновлённому BSI-KritisV, или как besonders wichtige или wichtige Einrichtung согласно более широкой системе NIS2. BSI опубликовал инструмент самооценки для этой цели.
Во-вторых, если вы уже зарегистрированы в MIP как оператор KRITIS, инициируйте регистрацию на новом портале BSI как besonders wichtige Einrichtung до 6 марта 2026 года.
В-третьих, оцените вашу текущую инфраструктуру на соответствие техническим требованиям §30 и 31 BSIG — особенно в отношении обнаружения атак, журналирования аудита и документации цепочки поставок.
