Kritische Infrastrukturen gelten als der am stärksten regulierte Teil der digitalen Welt. Energie, Wasser, Verkehr, Gesundheit, Logistik und staatliche Kernfunktionen unterliegen detaillierten Sicherheitsvorgaben, Prüfregimen und Meldepflichten. Diese Ordnung erzeugt den Eindruck, Sicherheit sei vor allem eine Frage korrekter Planung, vollständiger Dokumentation und formaler Compliance.
Doch genau dieser Eindruck beginnt zu trügen.Unterhalb der normierten Oberfläche verändert sich die technische Realität schneller, als bestehende Sicherheitslogiken Schritt halten können. Automatisierung, Cloud-Infrastrukturen, softwaredefinierte Netze und zunehmend KI-gestützte Entscheidungs- und Steuerungssysteme haben grundlegend verändert, wie Systeme entstehen, sich verändern und wirken. Veränderung ist nicht mehr Ausnahme, sondern Dauerzustand. Entscheidungen werden vorbereitet, vorstrukturiert oder teilweise automatisiert, lange bevor ein Mensch bewusst eingreift.
Damit verschiebt sich der Kern der Sicherheitsfrage: Nicht mehr allein, ob Maßnahmen korrekt umgesetzt sind, sondern ob Organisationen in der Lage sind, Abweichungen von ihren Annahmen rechtzeitig zu erkennen – und in diesem Moment handlungsfähig zu bleiben.
Diese Frage ist nicht theoretisch. Sie entscheidet darüber, ob Sicherheit in hochdynamischen Systemen steuerbar bleibt – oder ob sie zur formalen Eigenschaft ohne reale Eingriffsfähigkeit verkommt.
Die klassische Sicherheitslogik: Stabilität durch Ordnung
Die bisher dominante Sicherheitslogik kritischer Infrastrukturen folgt einem klaren und lange erfolgreichen Muster. Sicherheit entsteht durch Ordnung. Risiken werden identifiziert, Maßnahmen definiert, Zuständigkeiten festgelegt und deren Umsetzung regelmäßig überprüft. Der IT-Grundschutz des Bundesamt für Sicherheit in der Informationstechnik steht exemplarisch für diesen Ansatz. Er übersetzt abstrakte Schutzziele in strukturierte Anforderungskataloge, unterstützt systematische Risikoanalysen und schafft Vergleichbarkeit über Organisationen und Sektoren hinweg.
Dieses Modell ist eng mit ISO-27001-basierten Managementsystemen verwoben und hat sich über viele Jahre bewährt. Es ermöglicht Rechenschaftsfähigkeit, Nachvollziehbarkeit und eine klare Trennung von Verantwortung. Seine implizite Grundannahme lautet jedoch: Systeme sind im Kern stabil, Änderungen sind planbar, Abweichungen beherrschbar. Sicherheit kann deshalb weitgehend vor dem Betrieb organisiert werden – durch richtige Planung, saubere Umsetzung und konsequente Kontrolle.
Diese Logik war nicht falsch. Sie war kontextabhängig. Sie funktionierte zuverlässig in einer Welt, in der Erzeugung, Änderung und Betrieb zeitlich und organisatorisch klar voneinander getrennt waren – und in der Systemverhalten überwiegend aus dem Design ableitbar blieb.
Der Verlust der Knappheit: Warum diese Annahme nicht mehr trägt
Diese Voraussetzungen existieren nicht mehr. In heutigen KRITIS-Umgebungen entstehen Systeme nicht mehr punktuell, sondern kontinuierlich. Infrastruktur wird als Code definiert, Konfigurationen automatisiert ausgerollt, Updates in kurzen Zyklen eingespielt. Zunehmend beeinflussen KI-gestützte Komponenten Erkennung, Priorisierung und Reaktion – häufig in Echtzeit und ohne expliziten menschlichen Entscheidungsmoment.
Damit geht eine zentrale Knappheit verloren, auf der die klassische Sicherheitslogik beruhte: die Knappheit von Veränderung. Wo Änderungen früher selten, planbar und organisatorisch kontrollierbar waren, sind sie heute permanent, parallel und technisch vorstrukturiert.
Der eigentliche Engpass ist daher nicht mehr die Fähigkeit, Systeme zu bauen oder abzusichern, sondern die Fähigkeit, ihre reale Wirkung unter Störung, Angriff oder Fehlkonfiguration richtig einzuordnen – und daraus rechtzeitig handlungsfähige Entscheidungen abzuleiten. Dass diese Diskrepanz real ist, zeigen mehrere konkrete Vorfälle der letzten Jahre, insbesondere im KRITIS-Umfeld.
In den Jahren 2025 und 2026 wurden kritische Schwachstellen in Netzwerk- und Sicherheitsprodukten von Fortinet aktiv ausgenutzt. Dazu zählten unter anderem Authentifizierungs-Bypässe und Remote-Code-Execution-Lücken wie CVE-2025-59718 / CVE-2025-59719 sowie CVE-2026-24858, die gezielt in produktiven Umgebungen ausgenutzt wurden. In vielen betroffenen Organisationen waren Patches verfügbar, Schwachstellen bekannt und Prozesse formal definiert. Verzögert wurde jedoch die operative Entscheidung, automatisierte Update- und Freigaberoutinen bewusst zu unterbrechen, Systeme temporär zu isolieren oder gezielt vom Standardbetrieb abzuweichen. Die technische Behebbarkeit war gegeben – die Entscheidungshoheit im kritischen Moment jedoch nicht eindeutig geregelt.
Ein vergleichbares Muster zeigte sich 2025 bei der Ausnutzung mehrerer Zero-Day-Schwachstellen in Kollaborations- und Plattformdiensten von Microsoft, unter anderem in SharePoint- und Exchange-Umgebungen staatlicher und kritischer Organisationen. Zu den betroffenen Lücken zählten unter anderem CVE-2025-53770 / CVE-2025-53771, die aktiv ausgenutzt wurden und seitliche Bewegung sowie persistente Zugriffe ermöglichten. Monitoring, Logging und Security Operations funktionierten. Kritisch war jedoch der Zeitpunkt, an dem klar wurde, dass sich kompromittierte Dienste bereits in kaskadierende Wirkungen übersetzt hatten – etwa durch die Integration in Botnet-Strukturen oder die Beeinflussung abhängiger Fachverfahren. Die Neubewertung dieser Wirkung erfolgte verzögert, weil formale Entscheidungswege nicht für diese Dynamik ausgelegt waren.
Besonders sichtbar wurde diese Problematik im Lieferketten-Kontext. Der Ransomware-Angriff auf den US-Lebensmittelgroßhändler UNFI im Juni 2025 führte trotz bestehender Sicherheitsprogramme, regelmäßiger Audits und formaler Compliance zu massiven Versorgungsunterbrechungen. Der zentrale Schaden entstand weniger durch den initialen Angriff als durch die Unsicherheit darüber, welche Systeme, Daten und Schnittstellen noch als vertrauenswürdig gelten konnten – und wer die Autorität besaß, operative Entscheidungen jenseits vorbereiteter Playbooks zu treffen, etwa das vollständige Abschalten zentraler Distributionssysteme.
Ein ähnliches strukturelles Muster zeigte sich auch in der globalen Hafen- und Logistikinfrastruktur. Cyberangriffe auf Hafenbetreiber und Terminalsysteme in Australien, Asien und dem Nahen Osten zwischen 2023 und 2025 – häufig über kompromittierte IT-Systeme mit direkter OT-Anbindung – offenbarten wiederholt dieselbe Schwachstelle: IT- und OT-Systeme waren einzeln abgesichert, Krisenpläne existierten, doch die enge Kopplung der Systeme führte dazu, dass formale Zuständigkeiten der tatsächlichen Wirkungsdynamik hinterherliefen. Technische Störungen eskalierten zu operativen Krisen, weil Entscheidungspfade nicht mit der Geschwindigkeit der Wirkung mithielten.
Allen diesen Fällen ist gemeinsam: Regeln, Maßnahmen und Audits existierten. Gescheitert ist nicht die Prävention, sondern die Entscheidungsfähigkeit im Moment der Wirkung.
Die Verlagerung des Sicherheitsortes: Von der Erzeugung zur Wirkung
In der klassischen Sicherheitslogik lag Sicherheit dort, wo Systeme entworfen, konfiguriert und abgesichert wurden. Planung, Architektur und Maßnahmen galten als primärer Ort der Risikoreduktion. In der heutigen Realität verschiebt sich dieser Ort. Sicherheit entsteht zunehmend dort, wo Wirkung erkannt, interpretiert und verantwortet wird.
Automatisierte Änderungen, KI-gestützte Priorisierungen und hochvernetzte technische Abhängigkeiten erzeugen Situationen, in denen formale Korrektheit nicht mehr mit realer Sicherheit gleichzusetzen ist. Systeme können regelkonform betrieben werden und dennoch Wirkungen entfalten, die sicherheitsrelevant oder sogar kritisch sind. Sicherheit wird damit situativ: Sie entscheidet sich im laufenden Betrieb, unter Zeitdruck und unvollständiger Information.
Der Sicherheitsort verlagert sich folglich von der Erzeugung zur Wirkung. Nicht mehr allein das Wie ein System gebaut wurde ist entscheidend, sondern das Wie es sich verhält – und ob Organisationen in der Lage sind, dieses Verhalten rechtzeitig als sicherheitsrelevant zu erkennen und darauf zu reagieren.
Damit wird Sicherheit zunehmend zu einer organisatorischen Fähigkeit. Sie beruht weniger auf der Vollständigkeit technischer Maßnahmen als auf der Fähigkeit, Wirkung zu bewerten, Verantwortung zu übernehmen und Entscheidungen auch jenseits formaler Routinen zu treffen.
Der Judgement-Layer: Entscheidungskompetenz als Sicherheitsressource
Der Begriff Judgement-Layer bezeichnet kein neues Framework und keinen normativen Standard, sondern eine analytische Verdichtung eines international beobachtbaren Musters: der Notwendigkeit, sicherheitsrelevante Entscheidungen unter Unsicherheit bewusst zu verorten, abzusichern und verantwortbar zu machen.
Gemeint ist jene Ebene, auf der entschieden wird, wann formale Regeln, automatisierte Prozesse oder vordefinierte Playbooks nicht mehr ausreichen, um Schaden zu begrenzen. Der Judgement-Layer liegt damit zwischen Governance, Betrieb und Automatisierung – dort, wo technische Korrektheit auf reale Wirkung trifft und eine Neubewertung erforderlich wird.
In der internationalen Diskussion finden sich dafür verwandte Konzepte wie Human-in-Command, AI Decision Governance, Mission Assurance oder Crisis Decision Authority. Trotz unterschiedlicher Begriffe beschreiben sie dieselbe Funktion: die Fähigkeit, regel- oder KI-gestützte Abläufe bewusst zu unterbrechen, zu übersteuern oder neu zu priorisieren, wenn ihre Wirkung sicherheitsrelevant wird.
Der Judgement-Layer ist keine Technologie. Er ist eine institutionalisierte Urteilskraft. Als solche stellt er eine eigenständige Sicherheitsressource dar: Er entscheidet darüber, ob Organisationen auch dann handlungsfähig bleiben, wenn Annahmen brechen, Signale widersprüchlich sind oder automatisierte Systeme formal korrekt, aber faktisch riskant agieren.
Dort, wo diese Urteilskraft nur implizit existiert, bleibt sie personengebunden, situativ und schwer skalierbar. Entscheidungen hängen dann von individueller Erfahrung, persönlichem Mut oder informellen Eskalationen ab. Im Ernstfall führt das zu Überlastung, Verzögerung – oder zu Entscheidungen, die zwar getroffen werden, aber nicht mehr nachvollziehbar, überprüfbar oder lernfähig sind.
Regulierung: Das Ziel ist klar, die Struktur nicht
Moderne Regulierungsansätze zeigen deutlich, dass das zugrunde liegende Problem erkannt ist. Der EU AI Act fordert für Hochrisiko-KI ausdrücklich menschliche Aufsicht, Eingriffsfähigkeit und die Möglichkeit, automatisierte Entscheidungen zu übersteuern. Die NIS2-Richtlinie verschiebt den Fokus von bloßer Maßnahmenerfüllung hin zu Wirksamkeit, Kontinuität und Krisenfähigkeit – und damit weg von einer rein formalen Compliance-Logik.
Diese Entwicklung steht nicht im Gegensatz zu bestehenden Sicherheitsstandards, sondern baut auf ihnen auf. Der IT-Grundschutz des Bundesamt für Sicherheit in der Informationstechnik sowie ISO/IEC 27001-basierte Managementsysteme schaffen Ordnung, Nachvollziehbarkeit und Vergleichbarkeit. Sie strukturieren Verantwortlichkeiten, definieren Mindestanforderungen und machen Sicherheit prüf- und auditierbar. Ihre Stärke liegt in der systematischen Beherrschung stabiler oder zumindest hinreichend planbarer Systemzustände.
Gleichzeitig adressieren diese Standards nur begrenzt die Frage, wie Organisationen entscheiden sollen, wenn formale Annahmen nicht mehr tragen – etwa bei emergentem Systemverhalten, kaskadierenden Abhängigkeiten oder KI-gestützten Entscheidungen im laufenden Betrieb. Sie definieren was organisiert und kontrolliert werden muss, nicht jedoch wie Urteilskraft unter Unsicherheit institutionell abzusichern ist.
Genau an dieser Stelle setzen die neueren Regelwerke an. Sie verlangen nicht nur Ordnung, sondern Wirkung – nicht nur Prozesse, sondern Reaktions- und Eingriffsfähigkeit. Gleichzeitig lassen sie bewusst offen, wie diese Entscheidungsfähigkeit organisatorisch zu verankern ist. Regulierung benennt damit das Ziel, nicht die Struktur.
Diese Offenheit ist kein Versäumnis, sondern Ausdruck einer Grenze. Entscheidungsfähigkeit unter Unsicherheit lässt sich nicht vollständig normieren, ohne ihren Kern zu verlieren. Sie beruht auf Kontextverständnis, Abwägung und situativer Verantwortung – Eigenschaften, die sich nur begrenzt in Standards oder Prüfkataloge übersetzen lassen.
Auch außerhalb Europas zeigt sich ein vergleichbares Bild. In den USA betonen nationale Cyber- und Sicherheitsstrategien Resilienz und mission assurance, in Israel steht die Fähigkeit zur schnellen, verantwortlichen Intervention im Zentrum sicherheitsrelevanter Architekturen. Doch auch dort bleibt die systematische Integration dieser Prinzipien in klassische, auditierbare Sicherheitsmodelle eine offene Aufgabe.
Über alle Rechtsräume hinweg zeigt sich damit ein konsistentes Muster:Standards wie BSI-Grundschutz und ISO schaffen Ordnung. Regulierung wie NIS2 und EU AI Act benennt Wirkung. Die verbindende organisatorische Struktur zwischen beiden Ebenen muss von den Betreibern selbst geschaffen werden.
Verantwortung: Wer handeln muss – und warum Delegation nicht reicht
Die primäre Verantwortung liegt bei den Betreibern kritischer Infrastrukturen. Sie sind der Ort, an dem Wirkung real wird. Sicherheit darf hier nicht länger ausschließlich als Erfüllung externer Anforderungen verstanden werden, sondern muss als eigene organisatorische Fähigkeit zur verantwortlichen Entscheidung begriffen werden. Entscheidungsautorität unter Unsicherheit ist kein Randthema, sondern eine sicherheitsrelevante Kernfunktion. Sie muss klar benannt, eingeübt und vor organisatorischer Erosion geschützt werden.
Aufsichts- und Prüfstellen tragen eine zweite, ebenso entscheidende Verantwortung. Ihre Aufgabe endet nicht bei der Überprüfung formaler Maßnahmen. Sie müssen lernen, auch Entscheidungsstrukturen, Eskalationsfähigkeit und tatsächliche Eingriffsmöglichkeiten zu bewerten. Wer ausschließlich prüft, was leicht messbar und dokumentierbar ist, verstärkt genau jene Scheinsicherheit, die in dynamischen Lagen versagt.
Politik und Gesetzgeber wiederum stehen vor der Aufgabe, Verantwortungsräume zu definieren, statt jede Entscheidung im Detail vorzugeben. Sicherheit entsteht nicht durch maximale Regelungsdichte, sondern durch klare Zuordnung von Haftung und Entscheidungsbefugnis. Wo Verantwortung unklar bleibt oder durch Überregulierung verwischt wird, entsteht operative Lähmung statt Schutz.
Auch Technologieanbieter tragen eine nicht delegierbare Verantwortung. Automatisierung und KI sind keine neutralen Werkzeuge. Sie formen Entscheidungsräume. Systeme müssen so gestaltet sein, dass Eingriffe möglich bleiben, Wirkungen nachvollziehbar sind und menschliches Urteil nicht systematisch entwertet oder umgangen wird. Vollautomatisierung ist in kritischen Kontexten keine Effizienzfrage, sondern eine sicherheitsrelevante Designentscheidung.
Über alle Ebenen hinweg gilt: Verantwortung lässt sich nicht auslagern. Sie kann geteilt, abgestimmt und kontrolliert werden – aber sie muss dort verbleiben, wo Wirkung entsteht und Entscheidungen tatsächlich getroffen werden.
Fazit: Sicherheit entscheidet sich an der Fähigkeit zu entscheiden
Dieser Text ist kein Handbuch. Er klärt eine strategische Vorfrage: Wo entsteht Sicherheit unter Bedingungen permanenter Veränderung – und wer trägt sie?
Kritische Infrastrukturen stehen an einem Kipppunkt. Entweder Sicherheit bleibt an der Erzeugung verhaftet, wird über Planung, Maßnahmen und Nachweise definiert – und verliert im laufenden Betrieb zunehmend an Steuerbarkeit. Oder sie wird als organisatorische Fähigkeit neu gedacht, die Wirkung, Verantwortung und Urteil ins Zentrum stellt.
Der Ernstfall beginnt nicht mit dem Angriff. Er beginnt in dem Moment, in dem niemand mehr sicher sagen kann, warum ein System so reagiert – und wer die Autorität besitzt, dieses Verhalten zu bewerten, zu übersteuern oder zu stoppen. Genau an diesem Punkt entscheidet sich Sicherheit. Nicht im Regelwerk, nicht im Audit, sondern in der Fähigkeit, unter Unsicherheit Verantwortung zu übernehmen.
Jetzt ist der Zeitpunkt, diese Frage nicht länger implizit mitzuschleppen, sondern explizit zu beantworten – organisatorisch, operativ und auf Führungsebene.
Anmelden zu unserem Newsletter:
Schreibe einen Kommentar