KRITIS steht für Kritische Infrastrukturen – Organisationen und Einrichtungen, deren Ausfall zu erheblichen Versorgungsengpässen, Störungen der öffentlichen Sicherheit oder anderen gravierenden Folgen für das Gemeinwesen führen würde. Dazu zählen unter anderem Energie- und Wasserversorgung, Gesundheitswesen, Ernährung, Transport und Telekommunikation. Betreiber kritischer Infrastrukturen unterliegen in Deutschland besonderen gesetzlichen Pflichten zu IT-Sicherheit, Nachweisführung und Störungsmeldung.
Was ist KRITIS?
KRITIS bezeichnet diejenigen Infrastrukturen, ohne die eine Gesellschaft nicht funktionsfähig bleibt. Der Begriff stammt aus der nationalen Strategie zum Schutz kritischer Infrastrukturen und beschreibt Einrichtungen, bei deren Ausfall oder Beeinträchtigung nachhaltige Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.
Der Kern des Konzepts ist die Betrachtung von Abhängigkeiten. Eine Kläranlage ist für sich genommen unauffällig – fällt sie aus, wird binnen weniger Tage die Trinkwasserversorgung berührt, und mit ihr Krankenhäuser, Lebensmittelproduktion und Brandschutz. Diese Kaskadenwirkung unterscheidet KRITIS von anderen Sicherheitsthemen: Bewertet wird nicht der Schaden beim Betreiber, sondern die Wirkung auf die Versorgung der Bevölkerung.
Zu unterscheiden ist der gesellschaftspolitische Begriff vom rechtlichen. Umgangssprachlich gilt vieles als kritisch, was für die Allgemeinheit wichtig ist. Rechtlich entscheidet dagegen, ob eine Anlage die in einer Rechtsverordnung festgelegten Kriterien und Schwellenwerte überschreitet. Erst dann greifen die besonderen Betreiberpflichten – ein Unterschied, der in der Praxis regelmäßig zu Fehleinschätzungen führt, in beide Richtungen.
Welche Sektoren zählen zu KRITIS?
Das nationale KRITIS-Konzept unterscheidet zehn Sektoren. Nicht alle davon sind allerdings in gleicher Weise reguliert – die IT-sicherheitsrechtlichen Betreiberpflichten gelten nur für einen Teil.
| Sektor | Beispiele | Regulierung nach BSI-Recht |
| Energie | Strom, Gas, Fernwärme, Kraftstoffversorgung | Ja |
| Wasser | Trinkwasserversorgung, Abwasserbeseitigung | Ja |
| Ernährung | Lebensmittelproduktion, Lebensmittelhandel | Ja |
| Informationstechnik und Telekommunikation | Sprach- und Datenübertragung, Rechenzentren, Housing | Ja |
| Gesundheit | Krankenhäuser, Labore, Arzneimittelversorgung | Ja |
| Finanz- und Versicherungswesen | Zahlungsverkehr, Bargeldversorgung, Börsen | Ja, ergänzt durch sektorspezifisches Recht |
| Transport und Verkehr | Luft-, See-, Schienen- und Straßenverkehr, Logistik | Ja |
| Siedlungsabfallentsorgung | Entsorgung von Siedlungsabfällen | Ja |
| Staat und Verwaltung | Regierung, Verwaltung, Justiz, Notfall- und Rettungswesen | Nein, eigene Regelungen |
| Medien und Kultur | Rundfunk, Presse, Kulturgut | Nein, eigene Regelungen |
Die letzten beiden Zeilen verdienen Beachtung, weil sie häufig missverstanden werden. Staat und Verwaltung einschließlich des Notfall- und Rettungswesens gelten im nationalen Konzept als kritischer Sektor, unterliegen aber nicht den auf das BSI-Gesetz gestützten Betreiberpflichten in derselben Form wie Energie oder Gesundheit. Für Behörden und Organisationen mit Sicherheitsaufgaben ergeben sich Anforderungen daher überwiegend aus anderen Rechtsgrundlagen.
Ab wann gilt eine Einrichtung als KRITIS-Betreiber?
Ob eine Einrichtung als KRITIS-Betreiber gilt, entscheidet sich anhand von zwei Kriterien: Sie muss eine in der Rechtsverordnung genannte Anlagenkategorie betreiben, und diese Anlage muss einen festgelegten Schwellenwert überschreiten.
Der Regelschwellenwert orientiert sich an der Versorgung von 500.000 Personen. Aus diesem Grundwert leitet die Verordnung für jede Anlagenkategorie einen konkreten, messbaren Wert ab – etwa eine jährliche Strommenge, eine Zahl von Anschlüssen, ein Transportvolumen oder eine Zahl vollstationärer Fälle. Die Berechnung erfolgt für die einzelne Anlage, nicht für das Unternehmen: Ein Konzern kann mehrere Anlagen betreiben, von denen nur eine die Schwelle überschreitet.
Zwei Punkte werden in der Praxis unterschätzt. Erstens ist die Einstufung dynamisch – wächst ein Versorgungsgebiet oder ändert sich das Volumen, kann eine Anlage in die Regulierung hineinwachsen, ohne dass sich betrieblich etwas ändert. Die Prüfung gehört deshalb in einen jährlichen Turnus. Zweitens gibt es keine Bescheiderteilung: Betreiber müssen selbst feststellen, ob sie erfasst sind, und sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Die Verantwortung für die richtige Einordnung liegt beim Unternehmen.
Neben den KRITIS-Betreibern im engeren Sinn kennt das deutsche Recht die Kategorie der Unternehmen im besonderen öffentlichen Interesse – etwa Rüstungshersteller, Unternehmen von erheblicher volkswirtschaftlicher Bedeutung und Betriebe, die der Störfall-Verordnung unterliegen. Für sie gelten abgestufte, geringere Pflichten.
Welche Pflichten haben KRITIS-Betreiber?
KRITIS-Betreiber müssen angemessene organisatorische und technische Vorkehrungen treffen, um Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme zu vermeiden. Maßstab ist der Stand der Technik – ein bewusst dynamischer Begriff, der sich mit der technischen Entwicklung fortschreibt und deshalb keine dauerhaft abhakbare Liste zulässt.
Konkret umfassen die Pflichten:
- Registrierung beim Bundesamt und Benennung einer jederzeit erreichbaren Kontaktstelle
- Umsetzung angemessener Vorkehrungen nach dem Stand der Technik für die kritische Dienstleistung
- Systeme zur Angriffserkennung, die den laufenden Betrieb kontinuierlich auf Auffälligkeiten prüfen und Störungen erkennen sowie Maßnahmen zu deren Behebung vorsehen
- Nachweisführung gegenüber dem Bundesamt in einem regelmäßigen Turnus, üblicherweise alle zwei Jahre, durch Prüfungen, Audits oder Zertifizierungen
- Meldung erheblicher Störungen an das Bundesamt
- Anzeige kritischer Komponenten vor deren Einsatz in bestimmten Bereichen, verbunden mit einer Vertrauenswürdigkeitserklärung des Herstellers
Die Systeme zur Angriffserkennung sind dabei die Anforderung mit dem größten Umsetzungsaufwand, weil sie mehr verlangen als ein eingekauftes Produkt: Protokollierung, Auswertung, definierte Reaktionswege und geschultes Personal müssen zusammenwirken. Ein Managementsystem nach ISO 27001 liefert für die Gesamtheit dieser Pflichten den methodischen Rahmen, ersetzt sie aber nicht.
Da die Paragraphenzählung des BSI-Gesetzes im Zuge der NIS-2-Umsetzung neu gefasst wird, sollten konkrete Fundstellen und Fristen anhand des aktuellen Gesetzesstands geprüft werden.
Welche Meldepflichten gelten für KRITIS-Betreiber?
KRITIS-Betreiber müssen erhebliche Störungen ihrer informationstechnischen Systeme unverzüglich an das Bundesamt melden. Erfasst sind nicht nur Vorfälle mit tatsächlichem Ausfall, sondern auch solche, die zu einem Ausfall oder einer Beeinträchtigung der kritischen Dienstleistung führen können – die Schwelle liegt damit bewusst unterhalb des eingetretenen Schadens.
Die Meldung erfolgt über die benannte Kontaktstelle und enthält Angaben zur Störung, zu betroffenen Systemen, zur vermuteten Ursache und zu ergriffenen Maßnahmen. In der Praxis folgt der Erstmeldung eine laufende Aktualisierung bis zum Abschluss der Bewältigung. Das Bundesamt kann seinerseits Informationen und Unterstützung bereitstellen und nutzt die Meldungen für das nationale Lagebild.
Wesentlich ist, dass diese Meldepflicht neben anderen besteht und nicht an deren Stelle tritt. Betroffen sein können gleichzeitig die Meldepflicht nach der DSGVO bei personenbezogenen Daten, sektorspezifische Anzeigepflichten etwa im Energie- oder Gesundheitsbereich, die Pflichten aus NIS-2 und – für Finanzunternehmen – die dreistufige Meldung nach DORA. Wer die Zuständigkeiten, Vorlagen und Portalzugänge erst im Ereignisfall klärt, verliert die Zeit, in der die Fristen laufen.
Was sind branchenspezifische Sicherheitsstandards?
Branchenspezifische Sicherheitsstandards – kurz B3S – sind von Branchenverbänden erarbeitete Konkretisierungen des Standes der Technik für einen bestimmten Sektor. Das Bundesamt kann sie auf Antrag als geeignet feststellen; Betreiber, die einen solchen Standard anwenden, haben damit einen anerkannten Weg zur Erfüllung ihrer Pflichten.
Der praktische Wert liegt in der Übersetzungsleistung. Der gesetzliche Maßstab „Stand der Technik“ ist für einen einzelnen Betreiber schwer zu operationalisieren; ein B3S beschreibt dagegen für Krankenhäuser, Wasserversorger oder Netzbetreiber konkret, welche Maßnahmen erwartet werden und wie der Nachweis auszusehen hat. Für die Prüfer schafft er einen einheitlichen Bewertungsmaßstab, was den Aufwand auf beiden Seiten senkt.
Verpflichtend ist die Anwendung nicht – Betreiber können ihre Vorkehrungen auch auf anderem Weg nachweisen. In der Praxis ist der Branchenstandard jedoch meist der wirtschaftlichste Weg, sofern für den eigenen Sektor einer vorliegt. Ergänzend besteht mit dem UP KRITIS eine öffentlich-private Kooperation, in der Betreiber, Verbände und Behörden Erkenntnisse und Praktiken austauschen.
Wie hängen KRITIS, NIS-2 und das KRITIS-Dachgesetz zusammen?
Der Rechtsrahmen für kritische Infrastrukturen ist derzeit im Umbau, angetrieben von zwei europäischen Rechtsakten, die unterschiedliche Schutzrichtungen verfolgen.
| Regelwerk | Schutzrichtung | Verhältnis zu KRITIS |
| BSI-Gesetz und BSI-Kritisverordnung | IT-Sicherheit kritischer Anlagen | Bisheriger nationaler Kern der KRITIS-Regulierung |
| NIS-2-Richtlinie | Cybersicherheit und Risikomanagement | Erweitert den Kreis erheblich; ersetzt die reine Schwellenwertlogik durch Größen- und Sektorkriterien |
| CER-Richtlinie und KRITIS-Dachgesetz | Physische Resilienz kritischer Einrichtungen | Ergänzt den IT-Fokus um baulichen Schutz, Personal, Ausfallvorsorge |
| DORA | Digitale operationale Resilienz im Finanzsektor | Speziellere Regelung für Finanzunternehmen |
| Cyber Resilience Act | Cybersicherheit von Produkten | Adressiert Hersteller; erleichtert Betreibern den Nachweis im Lieferantenmanagement |
Die wesentliche Veränderung liegt in der Ausweitung. Während die bisherige KRITIS-Regulierung über Schwellenwerte einen vergleichsweise kleinen Kreis großer Anlagen erfasste, knüpft NIS-2 an Sektorzugehörigkeit und Unternehmensgröße an und bezieht dadurch ein Vielfaches an Einrichtungen ein – darunter viele mittelständische Unternehmen ohne bisherige Erfahrung mit IT-Aufsicht. Parallel adressiert die CER-Richtlinie erstmals systematisch die physische Seite: Zutrittsschutz, Personalsicherheit, Ausfallvorsorge und Wiederanlauf.
Der Stand der nationalen Umsetzung beider Richtlinien sollte vor der Anwendung geprüft werden, da sich Zuständigkeiten, Fristen und Begriffe im Gesetzgebungsverfahren noch verändern können.
Welche Bedrohungen treffen KRITIS besonders?
KRITIS-Betreiber sind einem Bedrohungsbild ausgesetzt, das sich von dem gewöhnlicher Unternehmen in drei Punkten unterscheidet: der Angreifermotivation, der Verwundbarkeit der eingesetzten Technik und der Wirkung eines Ausfalls.
Angriffe mit Ransomware treffen Betreiber besonders hart, weil der Druck zur schnellen Wiederherstellung hoch ist und ein Ausfall unmittelbar Dritte betrifft. Hinzu kommen staatlich gesteuerte Angriffe zur Vorbereitung oder Begleitung politischer Konflikte, die weniger auf Erpressung als auf Sabotage und Vorbereitung zielen. Ein struktureller Faktor ist die Betriebstechnik: Steuerungs- und Automatisierungssysteme haben Laufzeiten von zwanzig Jahren und mehr, lassen sich nicht beliebig patchen und wurden ursprünglich für abgeschottete Netze entworfen, die es heute selten gibt.
Nicht zu unterschätzen sind schließlich die nicht-digitalen Ereignisse – Unwetter, Hochwasser, langanhaltende Stromausfälle, Sabotage an physischer Infrastruktur, Personalausfall. Genau diese Bandbreite ist der Grund, warum sich der Rechtsrahmen mit der CER-Richtlinie über die IT hinaus erweitert und warum ein belastbares Business Continuity Management für KRITIS-Betreiber keine Kür ist.
Welche Anforderungen stellt KRITIS an die Notfall- und Krisenkommunikation?
Die Kommunikationsanforderungen an KRITIS-Betreiber ergeben sich aus der Verpflichtung, die kritische Dienstleistung aufrechtzuerhalten oder zügig wiederherzustellen – und aus den Meldepflichten, die parallel dazu laufen. Im Ereignisfall müssen mehrere Adressatenkreise gleichzeitig bedient werden: die eigene Krisenorganisation, das Bundesamt und weitere Aufsichtsbehörden, die eingebundenen BOS, Dienstleister und Netzpartner sowie Kunden und Öffentlichkeit.
Erschwerend kommt hinzu, dass diese Kommunikation regelmäßig genau die Infrastruktur benötigt, die der Vorfall betrifft. Wird ein kompromittiertes Netzwerk isoliert oder das Mailsystem vorsorglich abgeschaltet, entfallen Verzeichnisdienst, E-Mail und Kollaborationsplattform als Koordinationswege – und mit ihnen die dort abgelegten Kontaktlisten, Alarmierungspläne und Notfalldokumente. Bei physischen Lagen wie großflächigen Stromausfällen tritt derselbe Effekt aus anderer Ursache ein.
Organisationen halten deshalb vorab freigegebene Kommunikationskanäle bereit, die unabhängig von der potenziell betroffenen Infrastruktur funktionieren, Entscheidungen nachvollziehbar dokumentieren und in Übungen zur Krisenkommunikation und Notfallkommunikation regelmäßig mitgeprüft werden. Fehlt ein solcher Kanal, weichen Beteiligte erfahrungsgemäß auf private Consumer-Messenger aus – mit Folgen für Vertraulichkeit, Nachweisfähigkeit gegenüber der Aufsicht und die spätere Aufarbeitung.
Wie sich ein von der regulären IT unabhängiger Kanal für Alarmierung, Krisenstabsarbeit und Meldeprozesse abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.
Welche Sanktionen drohen bei Verstößen gegen KRITIS-Pflichten?
Verstöße gegen die Betreiberpflichten sind bußgeldbewehrt. Der Rahmen ist gestaffelt und hängt davon ab, welche Pflicht verletzt wurde – fehlende Vorkehrungen, unterlassene Nachweise, versäumte Registrierung oder nicht erfolgte Meldung werden unterschiedlich gewichtet. Mit der NIS-2-Umsetzung steigen die Bußgeldrahmen deutlich; zusätzlich rückt die persönliche Verantwortung der Leitungsebene stärker in den Vordergrund.
Praktisch relevanter als das Bußgeld sind jedoch die aufsichtlichen Befugnisse. Das Bundesamt kann Auskünfte verlangen, Prüfungen anordnen und die Beseitigung von Mängeln durchsetzen. Für Betreiber wirkt sich das unmittelbar auf den laufenden Betrieb aus – unabhängig davon, ob am Ende eine Geldbuße verhängt wird. Da sich die Sanktionsrahmen im Zuge der Gesetzgebung verändern, sollten konkrete Beträge anhand des aktuellen Rechtsstands geprüft werden.
Zusammenfassung: Wichtige Punkte zu KRITIS
- KRITIS bezeichnet Infrastrukturen, deren Ausfall zu erheblichen Versorgungsengpässen oder Störungen der öffentlichen Sicherheit führen würde.
- Bewertet wird nicht der Schaden beim Betreiber, sondern die Kaskadenwirkung auf die Versorgung der Bevölkerung.
- Das nationale Konzept kennt zehn Sektoren; die IT-sicherheitsrechtlichen Betreiberpflichten gelten jedoch nicht für alle – Staat und Verwaltung sowie Medien und Kultur folgen eigenen Regelungen.
- Die Einstufung richtet sich nach Anlagenkategorie und Schwellenwert, orientiert am Regelwert von 500.000 versorgten Personen.
- Es gibt keine Bescheiderteilung: Betreiber müssen selbst prüfen, ob sie erfasst sind, und sich registrieren – die Einstufung ist zudem dynamisch.
- Kernpflichten sind Vorkehrungen nach dem Stand der Technik, Systeme zur Angriffserkennung, regelmäßige Nachweise und die Meldung erheblicher Störungen.
- Branchenspezifische Sicherheitsstandards (B3S) übersetzen den Stand der Technik für einzelne Sektoren und sind meist der wirtschaftlichste Nachweisweg.
- NIS-2 erweitert den Kreis der erfassten Einrichtungen erheblich, die CER-Richtlinie ergänzt den IT-Fokus um physische Resilienz.
- Besonders relevant sind Ransomware, staatlich gesteuerte Angriffe und die lange Lebensdauer von Betriebstechnik – daneben Unwetter, Stromausfälle und Sabotage.
- Melde- und Krisenkommunikation müssen unabhängig von der betroffenen Infrastruktur funktionieren, weil im Ereignisfall mehrere Adressatenkreise gleichzeitig zu bedienen sind.