KRITIS

Q: Welche Pflichten haben Betreiber kritischer Infrastrukturen?

Zu den wesentlichen Pflichten gehören technische und organisatorische Sicherheitsmaßnahmen, Systeme zur Angriffserkennung, eine 24/7 erreichbare Kontaktstelle sowie feste Meldepflichten bei erheblichen Sicherheitsvorfällen. Hinzu kommen regelmäßige Nachweise gegenüber dem BSI und eine nachvollziehbare Dokumentation der Informationssicherheit.

Q: Was ist der Unterschied zwischen KRITIS und NIS2?

KRITIS ist anlagenbezogen und erfasst konkrete Infrastrukturen, deren Ausfall die Versorgung oder das Gemeinwesen erheblich beeinträchtigen könnte. NIS2 ist breiter angelegt und reguliert Unternehmen und Organisationen aus festgelegten Sektoren nach Größe, Tätigkeit und Bedeutung; Betreiber kritischer Anlagen gelten dabei zugleich als besonders wichtige Einrichtungen.

KRITIS betrifft Unternehmen, die zentrale Versorgungsleistungen für Bevölkerung und Wirtschaft absichern. Der Artikel zeigt Betreibern und Verantwortlichen, welche gesetzlichen Vorgaben gelten und wie sich Schutz, Nachweise und Meldewege praxisnah organisieren lassen.

KRITIS – Auf einen Blick

Was bedeutet KRITIS?

KRITIS steht für kritische Infrastrukturen, deren Ausfall die Versorgung der Bevölkerung oder die öffentliche Sicherheit erheblich beeinträchtigen kann.

Wer zählt zu KRITIS?

Erfasst werden Betreiber kritischer Anlagen aus Bereichen wie Energie, Wasser, Gesundheit, Verkehr oder Telekommunikation, wenn die jeweiligen Schwellenwerte erreicht werden.

Wie lassen sich KRITIS-Anforderungen umsetzen?

Betreiber verbinden Risikomanagement, technische Schutzmaßnahmen, Angriffserkennung und Notfallvorsorge zu einem belastbaren Sicherheitskonzept.

Warum ist der Schutz kritischer Infrastrukturen wichtig?

Strom, Wasser, Kommunikation und andere lebenswichtige Versorgungsleistungen müssen auch bei Cyberangriffen, technischen Störungen oder physischen Bedrohungen möglichst verfügbar bleiben.

Was sind kritische Infrastrukturen (KRITIS)?

Kritische Infrastrukturen (KRITIS) erfüllen essenzielle Funktionen, auf die Staat, Wirtschaft und Bevölkerung dauerhaft angewiesen sind. Ihre Aufrechterhaltung ist besonders relevant, weil deren Ausfall oder Beeinträchtigung weitreichende Folgen haben kann.

Seit dem 6. Dezember 2025 gilt in Deutschland das novellierte BSI-Gesetz (BSIG). Rechtlich spricht das BSIG heute vor allem von kritischen Anlagen und deren Betreibern. Eine Anlage gilt als kritisch, wenn sie für eine kritische Dienstleistung erheblich ist, ihr Ausfall schwerwiegende Folgen für die Gesellschaft hätte oder sie Störungen der öffentlichen Sicherheit verursachen könnte.

Der Begriff KRITIS bleibt im täglichen Gebrauch und bezeichnet weiterhin besonders versorgungsrelevante Infrastrukturen etwa aus Energie, Wasser, Gesundheit, Verkehr oder Informationstechnik. Der Schutz kritischer Infrastrukturen umfasst dabei weit mehr als reine IT‑Sicherheit. Auch physische Schäden, technische Störungen und andere Bedrohungen können die Versorgung empfindlich treffen.

Welche Unternehmen und Sektoren zählen zu KRITIS?

Für die Einstufung als KRITIS zählen die konkrete Anlage, ihre Versorgungsleistung sowie sektorspezifische Schwellenwerte. Die BSI-Kritisverordnung (BSI-KritisV) konkretisiert dafür die maßgeblichen Kriterien, Versorgungskennzahlen und Schwellenwerte. Die Verordnung beruht auf den gesetzlichen Vorgaben und wird durch das zuständige Bundesministerium erlassen.

Zu den erfassten KRITIS-Sektoren gehören unter anderem:

Energie
Transport und Verkehr
Finanzwesen
Gesundheitswesen
Wasserversorgung
Ernährung
Informationstechnik und Telekommunikation
Sozialversicherung und Grundsicherung
Weltraum
Siedlungsabfallentsorgung

Bereiche wie Versicherungswesen, Verwaltung, Medien oder Kultur sind dabei gesondert von den klassischen KRITIS-Sektoren und ihren jeweiligen gesetzlichen Regelungen zu betrachten.

KRITIS sicher aufstellen

CSM Consulting unterstützt Sie dabei, Ihre KRITIS-Anforderungen klar zu strukturieren, Risiken gezielt zu reduzieren und belastbare Sicherheits- und Nachweisprozesse im Unternehmen aufzubauen.

IT-Sicherheitsgesetz, NIS2 und KRITIS-Dachgesetz

Für Betreiber kritischer Infrastrukturen greifen heute mehrere Regelwerke ineinander. Das deutsche IT-Sicherheitsgesetz hat bereits früh besondere Anforderungen an IT-Sicherheit, Meldungen und Nachweise im BSI-Gesetz verankert.

Die europäische NIS-2-Richtlinie wurde Ende 2025 mit dem NIS-2-Umsetzungsgesetz in deutsches Recht übertragen und hat das BSIG umfassend verändert. Betreiber kritischer Anlagen gelten seitdem als Teilmenge der besonders wichtigen Einrichtungen.

Eine zweite europäische Grundlage ist die CER-Richtlinie zum Schutz kritischer Einrichtungen. In Deutschland wurde sie mit dem KRITIS-Dachgesetz (KRITIS-DachG) umgesetzt, das seit dem 17. März 2026 gilt. Das Gesetz schafft dafür einen bundeseinheitlichen und sektorübergreifenden Rahmen für die Resilienz kritischer Infrastrukturen.

Seit dem 17. Juli 2026 greift zudem die Melde- und Registrierungspflicht nach dem KRITIS-Dachgesetz. Betroffene Betreiber haben anschließend drei Monate Zeit, ihre kritischen Anlagen digital zu registrieren. Darüber hinaus verpflichtet das Gesetz die Betreiber, ihre Risikoanalysen im Abstand von zwei Jahren zu aktualisieren. Hier rücken stärker physische Gefahren wie Sabotage, Naturereignisse oder andere schwere Störungen in den Fokus.

Das gesetzliche Gesamtbild im Überblick:

IT-Sicherheitsgesetz / BSIG: deutsche Grundlage für die IT-Sicherheit von KRITIS
NIS2: EU-Richtlinie zur Cybersicherheit, umgesetzt über das NIS-2-Umsetzungsgesetz und das novellierte BSIG
CER-Richtlinie / KRITIS-Dachgesetz: europäische und deutsche Regeln für Resilienz und physischen Schutz kritischer Anlagen

IT-Sicherheit und Schutz kritischer Infrastrukturen

Der Schutz kritischer Infrastrukturen muss Ausfälle möglichst verhindern und ihre Folgen begrenzen. Dafür brauchen Betreiber ein Zusammenspiel aus Risikomanagement, technischen Sicherheitsmaßnahmen, Angriffserkennung und einer belastbaren Vorsorge für den Ernstfall.

Wie weit die Maßnahmen gehen müssen, hängt von der kritischen Dienstleistung und den möglichen Auswirkungen einer Störung ab. Bei Strom, Wasser oder Telekommunikation kann schließlich schon ein kurzer Ausfall große Teile der Versorgung treffen. Entsprechend hoch sind die Anforderungen an Sicherheit und Resilienz der eingesetzten IT-Systeme.

Risikomanagement und technische Schutzmaßnahmen

Betreiber kritischer Anlagen müssen nach dem BSIG geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen ergreifen. Ausgangspunkt sind die tatsächlichen Risiken der Anlage und die Frage, welche IT-Systeme und Prozesse für die Versorgung besonders relevant sind.

Eine Schutzbedarfsanalyse hilft dabei, diese Bereiche zu priorisieren. Daraus lassen sich beispielsweise folgende Maßnahmen ableiten:

Trennung besonders kritischer Netze und Systeme
rollenbasierte Zugriffs- und Berechtigungskonzepte
Verschlüsselung sensibler Daten und Kommunikationswege
sichere Konfiguration und regelmäßige Aktualisierung von Systemen
Redundanzen für besonders wichtige Komponenten
geregeltes Backup und Wiederherstellung

Dabei geht es um die zentralen Schutzziele Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit.

Systeme zur Angriffserkennung und Notfallvorsorge

Bei kritischen Anlagen reicht Prävention allein nicht aus. Systeme zur Angriffserkennung (SzA) sollen verdächtige Aktivitäten früh sichtbar machen und gehören zu den zusätzlichen Anforderungen für KRITIS-Betreiber.

Dafür werden beispielsweise Netzwerkverkehr, Systemereignisse und Protokolldaten kontinuierlich ausgewertet und auf Auffälligkeiten geprüft. Ein funktionierendes Incident-Management regelt Bewertung, Eskalation und erste Gegenmaßnahmen, während ein ISO-27001-Schwachstellenmanagement erkannte Sicherheitslücken anschließend systematisch behandelt.

Auch ein erfolgreicher Angriff oder technischer Ausfall muss eingeplant werden. Redundanzen, Wiederanlaufpläne und ein erprobtes Business-Continuity-Management helfen dabei, kritische Leistungen weiterzuführen oder möglichst schnell wiederherzustellen. Für konkrete Krisensituationen ergänzt ein Notfallmanagement diese Strukturen.

Pflichten für Betreiber kritischer Anlagen

Für Betreiber kritischer Anlagen endet die gesetzliche Verantwortung nicht bei technischen Schutzmaßnahmen. Hinzu kommen feste Melde-, Nachweis- und Organisationspflichten gegenüber dem BSI.

Besonders relevant sind:

Erreichbare Kontaktstelle: Betreiber müssen eine jederzeit erreichbare Kontaktstelle benennen, über die das BSI Warnungen und wichtige Informationen direkt übermitteln kann.
Meldung von Sicherheitsvorfällen: Erhebliche Sicherheitsvorfälle mit Auswirkungen auf die kritische Dienstleistung müssen innerhalb der gesetzlichen Fristen gemeldet werden. Die Meldungen müssen dabei auch Informationen über betroffene Nutzer enthalten.
Regelmäßige Nachweise: Die Umsetzung der geforderten Schutzmaßnahmen und Systeme zur Angriffserkennung muss gegenüber dem BSI belegt werden. Der Nachweiszyklus beträgt inzwischen drei Jahre.
Dokumentation: Sicherheitsmaßnahmen, Zuständigkeiten und eingesetzte Systeme müssen nachvollziehbar dokumentiert sein, damit Prüfer die Umsetzung und Wirksamkeit der Vorgaben bewerten können.
Daten aktualisieren: Änderungen an relevanten Betreiber- und Anlagendaten sind dem BSI zeitnah mitzuteilen. Für bestimmte Angaben gelten dabei feste Aktualisierungsfristen.

Neue KRITIS-Betreiber müssen ihren ersten Nachweis spätestens drei Jahre nach der erstmaligen Einstufung als Betreiber einer kritischen Anlage erbringen.

Registrierung und Kommunikation mit dem BSI

Für Betreiber kritischer Infrastrukturen gibt es aktuell zwei relevante Zugänge zum BSI. Die eigentliche KRITIS-Registrierung läuft weiterhin über das Melde- und Informationsportal (MIP). Zusätzlich ist die Registrierung als besonders wichtige Einrichtung im BSI-Portal erforderlich.

Registrierung: Die Registrierung als besonders wichtige Einrichtung ist im BSI-Portal seit dem 6. Januar 2026 möglich. Bereits registrierte KRITIS-Betreiber müssen sich dort zusätzlich anmelden. Neue Betreiber registrieren ihre kritische Anlage im MIP und anschließend die Einrichtung im BSI‑Portal. Dafür wird ein Mein Unternehmenskonto (MUK) benötigt.
Kontakt und Daten: Betreiber müssen eine jederzeit erreichbare Kontaktstelle benennen. Änderungen an den hinterlegten Daten sind spätestens innerhalb von zwei Wochen zu melden, bestimmte Versorgungskennzahlen und Angaben zu kritischen Komponenten werden jährlich aktualisiert.
Sicherheitsvorfälle: Betroffene Organisationen können erhebliche Sicherheitsvorfälle voraussichtlich noch bis zum 31. Dezember 2026 über das MIP melden. Danach soll das BSI-Portal den regulären Meldeweg übernehmen. Eine bereits über das MIP abgegebene Meldung muss in dieser Übergangszeit nicht zusätzlich im BSI-Portal wiederholt werden.

KRITIS und ISO 27001

Ein bestehendes ISMS nach ISO 27001 nimmt KRITIS-Betreibern viel Aufbauarbeit ab. Die ISO-Norm liefert bereits feste Prozesse für Informationssicherheit, Risikomanagement, Verantwortlichkeiten, Dokumentation und die regelmäßige Prüfung von Sicherheitsmaßnahmen.

Assets werden erfasst, Risiken bewertet, Zugriffe gesteuert und Sicherheitsvorfälle systematisch behandelt. Auch das Schwachstellenmanagement, interne Audits und die Managementbewertung passen direkt zu Aufgaben, die Betreiber kritischer Anlagen ohnehin organisieren müssen.

Eine weitere Orientierung bieten branchenspezifische Sicherheitsstandards (B3S). Sie konkretisieren für einzelne KRITIS-Branchen, wie ein angemessenes Sicherheitsniveau aussehen kann, und greifen dabei vielfach Methoden auf, die auch aus etablierten Managementsystemen wie ISO 27001 bekannt sind.

Eine ISO-27001-Zertifizierung erfüllt die KRITIS-Pflichten jedoch nicht automatisch. Systeme zur Angriffserkennung, besondere BSI-Meldewege, Nachweise sowie die zusätzlichen Anforderungen des KRITIS-Dachgesetzes müssen separat betrachtet werden.

KRITIS umsetzen – erste Schritte

Die Umsetzung der KRITIS beginnt mit der Anlage und ihrem realistischen Versorgungsbeitrag. Erst wenn Scope und Betroffenheit sauber feststehen, lassen sich organisatorische und technische Maßnahmen festlegen.

Ein praktikabler Ablauf sieht so aus:

Betroffenheit bestimmen: Anlagen, kritische Dienstleistungen und Versorgungskennzahlen anhand der BSI-KritisV prüfen. Dabei wird festgelegt, welcher Teil des Unternehmens tatsächlich in den KRITIS-Geltungsbereich fällt.
Lücken erfassen: Bestehende Sicherheitsprozesse mit den Anforderungen aus BSIG, NIS2 und gegebenenfalls KRITIS-Dachgesetz abgleichen. Die bewährte GAP-Analyse verhindert, dass funktionierende Strukturen unnötig neu aufgebaut werden.
Risiken priorisieren: Kritische Systeme, Komponenten und Abhängigkeiten erfassen und ihre Gefährdung bewerten. Eine Schutzbedarfsanalyse hilft dabei, besonders versorgungsrelevante Bereiche zuerst abzusichern.
Schutz und Notfallvorsorge aufbauen: Technische Härtung, Systeme zur Angriffserkennung, Meldewege und Verantwortlichkeiten zusammenführen. Für größere Störungen sollten Incident-Management, Business-Continuity-Management und Wiederanlaufplanung ineinandergreifen.
Wirksamkeit nachweisen: Maßnahmen dokumentieren und ihre Wirksamkeit regelmäßig prüfen. Erkannte Schwachstellen müssen anschließend nachgearbeitet und die Ergebnisse für spätere Nachweise nachvollziehbar festgehalten werden.

Häufige Fragen und Antworten

Welche Pflichten haben Betreiber kritischer Infrastrukturen?

Zu den wesentlichen Pflichten gehören technische und organisatorische Sicherheitsmaßnahmen, Systeme zur Angriffserkennung, eine 24/7 erreichbare Kontaktstelle sowie feste Meldepflichten bei erheblichen Sicherheitsvorfällen. Hinzu kommen regelmäßige Nachweise gegenüber dem BSI und eine nachvollziehbare Dokumentation der Informationssicherheit.

Was passiert bei Verstößen gegen die KRITIS-Vorgaben?

Bei Verstößen können je nach Rechtsgrundlage erhebliche Bußgelder drohen. Für besonders wichtige Einrichtungen sieht das BSIG Sanktionen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, während bei Verstößen gegen Vorgaben des KRITIS-Dachgesetzes Bußgelder von bis zu 20 Millionen Euro möglich sein können. Die entsprechenden Bußgeldvorschriften des KRITIS-Dachgesetzes gelten seit dem 17. Juli 2026.

Was ist der Unterschied zwischen KRITIS und NIS2?

KRITIS ist anlagenbezogen und erfasst konkrete Infrastrukturen, deren Ausfall die Versorgung oder das Gemeinwesen erheblich beeinträchtigen könnte. NIS2 ist breiter angelegt und reguliert Unternehmen und Organisationen aus festgelegten Sektoren nach Größe, Tätigkeit und Bedeutung; Betreiber kritischer Anlagen gelten dabei zugleich als besonders wichtige Einrichtungen.