Definition und Abgrenzung
Kritische Infrastrukturen sind Organisationen und Einrichtungen mit wesentlicher Bedeutung für das Gemeinwesen: Ihr Ausfall oder ihre Beeinträchtigung würde zu nachhaltigen Versorgungsengpässen, erheblichen Störungen der öffentlichen Sicherheit oder anderen einschneidenden Folgen führen. Rechtlich relevant ist im BSI-Recht nicht das Unternehmen als Ganzes, sondern die einzelne kritische Anlage.
Die Sektoren
Der KRITIS-Begriff des BSI-Rechts umfasst unter anderem die Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr sowie die Siedlungsabfallentsorgung. Verbindlich sind die Zuordnungen der BSI-Kritisverordnung, nicht allgemeine Sektorbeschreibungen.
Wann eine Anlage als kritisch gilt
Die BSI-Kritisverordnung konkretisiert je Sektor Anlagenkategorien und Schwellenwerte. Als Bezugsgröße dient der Regelschwellenwert von 500.000 versorgten Personen. Er ist kein unmittelbar anwendbarer Test: Welche Anlagen als kritische Anlagen gelten, ergibt sich aus den Anlagenkategorien und den Berechnungsvorgaben der Rechtsverordnung, für die dieser Regelwert die Bemessungsgrundlage bildet. Die Berechnung erfolgt anhand anlagenspezifischer Kennzahlen wie erzeugter Energiemenge, abgegebener Wassermenge oder Zahl der Transaktionen.
Betreiber müssen selbst ermitteln, ob ihre Anlagen die Schwellen überschreiten. Wer sie erreicht, ist Betreiber einer kritischen Anlage und muss dies dem BSI anzeigen.
Die Schwellenwerte werden regelmäßig überprüft und durch Novellen der Verordnung angepasst. Für Betreiber heißt das: Die Einstufung ist keine einmalige Feststellung, sondern bei Kapazitätsänderungen, Zukäufen oder Verordnungsnovellen erneut zu bewerten. Auch wer heute knapp unter einem Schwellenwert liegt, sollte die Berechnung nachvollziehbar dokumentieren.
KRITIS und NIS2
Mit dem NIS-2-Umsetzungsgesetz ist KRITIS in ein größeres Regelungssystem eingebettet worden.
| Merkmal | Betreiber kritischer Anlagen | Besonders wichtige und wichtige Einrichtungen |
|---|---|---|
| Auslöser | Schwellenwert der BSI-Kritisverordnung | Sektor nach Anlage 1 oder 2 BSIG plus Größenschwelle |
| Größenbezug | keiner | Beschäftigte, Umsatz, Bilanzsumme |
| Pflichtenumfang | NIS2-Pflichten zuzüglich anlagenbezogener Anforderungen | Registrierung, Risikomanagement, Meldung |
| Nachweise | wiederkehrender Nachweis gegenüber dem BSI | Dokumentation, Nachweise auf Anforderung |
Betreiber kritischer Anlagen zählen zugleich zu den besonders wichtigen Einrichtungen. Umgekehrt gilt das nicht: Die meisten NIS2-betroffenen Unternehmen betreiben keine kritische Anlage. KRITIS ist damit heute eine Teilmenge des NIS2-Anwendungsbereichs mit zusätzlichen Anforderungen. Bestehende Nachweisprozesse werden dadurch nicht ersetzt, sondern um die NIS2-Pflichten ergänzt.
Physische Resilienz: das KRITIS-Dachgesetz
Während NIS2 die Cybersicherheit adressiert, richtet sich die Richtlinie (EU) 2022/2557 auf die physische Widerstandsfähigkeit kritischer Einrichtungen, von Naturereignissen über Sabotage bis zu Personalausfall. Umgesetzt wird sie in Deutschland durch das KRITIS-Dachgesetz, das der Bundestag am 29. Januar 2026 beschlossen hat, dem der Bundesrat am 6. März 2026 zugestimmt hat, das im Bundesgesetzblatt verkündet wurde und das seit dem 17. März 2026 in Kraft ist. Es begründet unter anderem Resilienzpläne sowie Registrierungs- und Meldepflichten und erweitert die Aufsicht um das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.
Für Betreiber bedeutet das zwei ineinandergreifende Regelwerke: das BSIG für die digitale, das KRITIS-Dachgesetz für die physische Resilienz derselben Anlagen. Eine gemeinsame Risikobetrachtung ist der praktikablere Weg, da sich Schutzziele, Kritikalitätsbewertung und Notfallplanung weitgehend überschneiden.