KRITIS: Was Betreiber kritischer Infrastrukturen wissen müssen

Was ist KRITIS?

KRITIS steht für „kritische Infrastrukturen“. Dazu zählen Einrichtungen aus zehn Sektoren, die für das Gemeinwesen von hoher Bedeutung sind.

Anforderungen für KRITIS-Betreiber nach BSI-Gesetz

Betreiber müssen angemessene technische und organisatorische Maßnahmen umsetzen, Vorfälle an das BSI melden und regelmäßig Nachweise erbringen.

KRITIS-Sektoren im Überblick

Zu KRITIS zählen Energie, Wasser, Ernährung, IT und TK, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung, Staat sowie Medien und Kultur.

Wer gilt als Betreiber kritischer Infrastrukturen?

Betreiber sind Unternehmen oder Einrichtungen, die bestimmte KRITIS-Schwellenwerte der BSI-Kritisverordnung erreichen und damit unter die Regulierung fallen.

KRITIS ist die Abkürzung für „Kritische Infrastrukturen“. Gemeint sind Einrichtungen, Anlagen oder Teile davon, die für das Funktionieren des Gemeinwesens von hoher Bedeutung sind. Fällt eine solche Anlage aus, entstehen erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit.

Die gesetzliche Grundlage bildet das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG). Es wird durch die KRITIS-Verordnung (BSI-KritisV) konkretisiert, die sektorspezifisch festlegt, welche Anlagentypen und Schwellenwerte zur Einstufung als kritische Infrastruktur führen. Die Schwellenwerte orientieren sich in der Praxis häufig an der Versorgung von mindestens 500.000 Personen – etwa bei Trinkwasseranlagen oder Stromerzeugungsanlagen.

Wichtig für die Praxis: Die Einstufung als KRITIS-Betreiber erfolgt nicht auf Antrag, sondern ergibt sich unmittelbar aus dem Überschreiten der gesetzlichen Schwellenwerte. Betreiber sind verpflichtet, ihren Versorgungsgrad selbst zu ermitteln und zu überwachen.

Das KRITIS-Dachgesetz ist seit März 2026 in Kraft. Es ergänzt die bestehenden BSI-Gesetzesanforderungen um physische Resilienzpflichten, ein umfassendes Risikomanagement sowie erweiterte Aufsichts- und Sanktionsmechanismen. Bei Verstößen drohen Bußgelder von bis zu 1 Million Euro. Betreiber sollten ihren Umsetzungsstand daher dringend prüfen.

Das BSIG definiert in § 2 Nr. 24 insgesamt zehn KRITIS-Sektoren. Maßgeblich ist, ob die jeweilige Dienstleistung der Versorgung der Allgemeinheit dient und ihr Ausfall zu erheblichen Störungen führen würde:

• Energie: Strom-, Gas- und Kraftstoffversorgung sowie Heizöl, Fernwärme und Fernkälte
• Informationstechnik und Telekommunikation: Internet, Mobilfunk, Rechenzentren
• Transport und Verkehr: Straße, Schiene, Luft- und Schifffahrt
• Gesundheit – Krankenhäuser, Labore, Pharmaunternehmen
• Wasser: Trinkwasserversorgung und Abwasserentsorgung
• Ernährung: Lebensmittelproduktion und -verteilung
• Finanz- und Versicherungswesen: Banken, Börsen, Versicherungen
• Siedlungsabfallentsorgung: Abfallwirtschaft
• Weltraum: Satellitenbetrieb und weltraumgestützte Dienste mit Bodeninfrastrukturen
• Leistungen der Sozialversicherung sowie der Grundsicherung: gesetzliche Kranken-, Pflege-, Renten- und Arbeitslosenversicherung

Die konkreten Anlagenkategorien und Schwellenwerte sind in den Anhängen der KRITIS-Verordnung sektorspezifisch geregelt. Entscheidend ist immer die Frage: Welchen Versorgungsbeitrag leistet die konkrete Anlage und überschreitet dieser den gesetzlichen Schwellenwert?

Als KRITIS-Betreiber gilt, wer eine Anlage betreibt, die einer der gesetzlich definierten Anlagenkategorien zuzuordnen ist und den jeweiligen sektorspezifischen Schwellenwert erreicht oder überschreitet (§ 1 Abs. 1 BSI-KritisV i.V.m. § 2 Abs. 10 BSIG). Betreiber kann ein privates Unternehmen, ein kommunales Unternehmen oder eine öffentliche Institution sein – die Rechtsform ist nicht entscheidend.

Welche Kriterien sind maßgeblich?

Die Schwellenwerte basieren auf quantitativen Parametern: z. B. die jährliche Energieabgabe in Gigawattstunden, die Anzahl versorgter Personen im Wassersektor oder die Produktionskapazität im Lebensmittelbereich. Betreiber müssen diese Werte für das zurückliegende Kalenderjahr eigenständig ermitteln – spätestens bis zum 31. März des Folgejahres.

Stehen mehrere Anlagen desselben Betreibers in einem engen räumlichen und betrieblichen Zusammenhang, werden sie als gemeinsame Anlage betrachtet. Ihre Versorgungsgrade werden dann zusammengerechnet. Das kann dazu führen, dass ein Unternehmen überraschend in den KRITIS-Anwendungsbereich fällt – etwa nach einer Unternehmensfusion oder Erweiterung bestehender Anlagen.

Neue Registrierungspflicht seit Januar 2026: KRITIS-Betreiber müssen sich seit dem 6. Januar 2026 zusätzlich zur bisherigen Registrierung als besonders wichtige Einrichtung im neuen BSI-Portal anmelden. Dazu ist ein Mein-Unternehmenskonto (MUK) erforderlich. Wer dieser Pflicht nicht nachkommt, riskiert Sanktionen. Bei Änderungen – z. B. durch neue Standorte oder Unternehmenszusammenschlüsse – muss die Registrierung aktualisiert werden.

Das BSI-Gesetz verpflichtet KRITIS-Betreiber zu einem klar definierten Pflichtenprogramm. Die zentralen Anforderungen im Überblick:

1. Registrierung beim BSI
   Innerhalb von sechs Monaten nach Erreichen des Schwellenwerts müssen Betreiber ihre Anlage, Kontaktdaten und eine rund um die Uhr erreichbare Kontaktstelle (24/7) beim BSI registrieren – über das BSI-Meldeportal.
2. Technisch-organisatorische Maßnahmen (TOM)
   Betreiber sind verpflichtet, angemessene Maßnahmen nach dem „Stand der Technik“ zu ergreifen, um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer IT-Systeme zu verhindern. In der Praxis bedeutet das: Aufbau eines Informationssicherheitsmanagementsystems (ISMS), Risikomanagement, Zugangskontrollen und Incident-Response-Prozesse. Seit dem 1. Mai 2023 sind KRITIS-Betreiber zusätzlich verpflichtet, Systeme zur Angriffserkennung (SzA) einzusetzen. Diese müssen geeignete Parameter aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten – je nach Sektor ergänzt durch die Implementierung von Branchenstandards (B3S).
3. Meldepflicht bei IT-Sicherheitsvorfällen
   Erhebliche Störungen der IT-Systeme sind unverzüglich dem BSI zu melden. Auch der Verdacht auf eine erhebliche Störung löst bereits die Meldepflicht aus. Für Betreiber, die personenbezogene Daten verarbeiten, besteht zudem eine parallele Meldepflicht gegenüber der Datenschutzaufsichtsbehörde nach Art. 33 DSGVO.
4. Nachweis gegenüber dem BSI
   Alle drei Jahre müssen KRITIS-Betreiber nachweisen, dass ihre Sicherheitsvorkehrungen dem Stand der Technik entsprechen. Der Nachweis erfolgt durch unabhängige Prüfstellen – z. B. durch ein Audit nach ISO 27001 oder IT-Grundschutz. Das BSI kann Rückfragen stellen und Nachbesserungsfristen setzen.
5. Benennung eines Informationssicherheitsbeauftragten (ISB)
   Die Bestellung eines Informationssicherheitsbeauftragten ist für KRITIS-Betreiber gesetzlich verpflichtend (§ 8a BSIG / BSI-KritisV), da diese einer Berichtspflicht unterliegen, die nur durch einen qualifizierten ISB erfüllt werden kann. Der ISB muss Fachkunde und Zuverlässigkeit mitbringen und über fundierte Kenntnisse der ISO 27000-Normenreihe verfügen. Unternehmen, denen intern die Ressourcen fehlen, können diese Funktion an externe Spezialisten auslagern – intersoft consulting stellt erfahrene externe Informationssicherheitsbeauftragte. 
   
   Wichtig: Die direkte Kommunikation mit dem BSI sowie die fristgerechte Einreichung von Nachweisen verbleiben dabei stets in der Verantwortung des Betreibers selbst.

Das NIS-2-Umsetzungsgesetz ist seit Dezember 2025 in Kraft und hat das BSI-Gesetz grundlegend aktualisiert. Für KRITIS-Betreiber ergeben sich daraus erweiterte Pflichten: Sie gelten automatisch als „besonders wichtige Einrichtungen“ und unterliegen damit sowohl den allgemeinen NIS-2-Anforderungen als auch den spezifischen KRITIS-Verpflichtungen.

Neu ist insbesondere, dass der Nachweiszyklus von zwei auf drei Jahre verlängert wurde. Betreiber, die bereits vor Inkrafttreten des NIS-2-Umsetzungsgesetzes registriert waren, haben vom BSI neue Nachweisfristen mitgeteilt bekommen. Parallel dazu ist seit März 2026 das KRITIS-Dachgesetz in Kraft – es ergänzt die Cybersicherheitsanforderungen des BSIG um umfassende physische Resilienzpflichten: Betreiber müssen nun auch Risikomanagement für physische Bedrohungen, Krisenmanagement, Business Continuity Management (BCM) und Personalsicherheit nachweisen. Die Aufsicht wurde auf das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) ausgeweitet.

Was bedeutet das konkret? Unternehmen, die bisher nur ihre IT-Sicherheit im Blick hatten, müssen jetzt auch physische Schutzmaßnahmen dokumentieren und Resilienzpläne entwickeln. Eine frühzeitige Gap-Analyse schafft Klarheit über den eigenen Handlungsbedarf.

Ralf Lüneburg

Consultant Informationssicherheit

Ich berate Sie gerne

Rufen Sie uns an oder schreiben Sie uns über das Kontaktformular.

+49 40 790 235 0

sales@intersoft-consulting.de

Termin vereinbaren