KRITIS (Allemagne)

Définition

KRITIS (Kritische Infrastrukturen, Infrastructures Critiques) est le terme allemand désignant les infrastructures dont la défaillance ou la dégradation aurait des conséquences graves sur la sécurité publique, l'approvisionnement ou l'ordre public. Le cadre réglementaire KRITIS pour la cybersécurité est établi par la loi BSI-Gesetz (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik) et ses modifications successives, notamment IT-Sicherheitsgesetz 1.0 (2015) et IT-Sicherheitsgesetz 2.0 (2021), ainsi que par la transposition de NIS2 (KRITIS-Dachgesetz, attendu fin 2024). Les secteurs KRITIS définis par le BSI (Bundesamt für Sicherheit in der Informationstechnik, équivalent allemand de l'ANSSI) sont : Énergie (électricité, gaz, pétrole, chauffage urbain), Eau (eau potable, eaux usées), Transport (aérien, maritime, ferroviaire, routier), Santé, Finance (banques, bourses, assurances), Technologies de l'information et communications, Alimentation, et depuis IT-Sicherheitsgesetz 2.0, Espace et Administration publique. Les exploitants d'infrastructures critiques (KRITIS-Betreiber) répondant à des seuils définis par secteur (ex: > 500 000 personnes alimentées pour l'énergie, ou > 250 000 clients pour l'eau) sont soumis à des obligations renforcées. Les obligations KRITIS pour les secteurs industriels OT incluent : mise en place de systèmes de détection d'attaques (Angriffserkennungssysteme, AES) depuis l'IT-SiG 2.0, déclaration des incidents significatifs au BSI dans les 72h, respect des "Stand der Technik" (état de l'art technique en matière de sécurité), réalisation d'audits de sécurité tous les deux ans, et enregistrement auprès du BSI. L'Allemagne est particulièrement active dans la cybersécurité industrielle en raison de son tissu industriel dense (Industrie 4.0, nombreux opérateurs d'infrastructures critiques) et de sa position géostratégique au cœur de l'Europe.