Was ist eine kritische Infrastruktur?
Eine kritische Infrastruktur ist im deutschen Recht kein Unternehmen, sondern eine einzelne kritische Anlage. § 2 Nr. 3 KRITISDachG definiert sie als Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist. Kritisch ist nach § 2 Nr. 4 eine Dienstleistung zur Versorgung der Allgemeinheit, deren Ausfall zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde.
§ 2 Nr. 22 BSIG verweist für den Begriff auf diese Definition, sodass eine Einstufung für beide Gesetze gilt. Wie KRITIS in die NIS2-Pflichten eingebettet ist, beschreibt der NIS2-Leitfaden.
Welche Sektoren zählen zu KRITIS?
Zehn Sektoren zählen zu KRITIS. § 4 Abs. 1 KRITISDachG nennt sie:
- Energie
- Transport und Verkehr
- Finanzwesen
- Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
- Gesundheitswesen
- Wasser
- Ernährung
- Informationstechnik und Telekommunikation
- Weltraum
- Siedlungsabfallentsorgung
Die BSI-Kritisverordnung, nach der Anlagen bis zur Rechtsverordnung nach § 5 Abs. 1 KRITISDachG eingestuft werden, regelt in ihren §§ 2 bis 10 neun dieser Sektoren. Für den Sektor Weltraum enthält sie keine Anlagenkategorien.
Wann gilt eine Anlage als kritisch?
Eine Anlage gilt als kritisch, wenn sie einer Anlagenkategorie angehört und deren Schwellenwert zum Versorgungsgrad erreicht. Kategorien, Schwellenwerte und Stichtage bestimmt das Bundesministerium des Innern nach § 5 Abs. 1 KRITISDachG durch Rechtsverordnung, dazu Kategorien, die ohne Schwellenwert als erheblich gelten.
Stand: Oktober 2026 ist diese Rechtsverordnung nicht in Kraft. Bis dahin gilt die BSI-Kritisverordnung fort, die nach ihrem § 12 erst mit dieser Verordnung außer Kraft tritt.
Den Maßstab setzt § 5 Abs. 2 Satz 2 KRITISDachG: Der Regelwert für die Schwellenwerte beträgt grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Dieser Regelwert ist kein direkt anwendbarer Test, sondern die Rechengröße hinter den Schwellenwerten.
Wie wird aus 500.000 Einwohnern ein Schwellenwert?
Teil 2 jedes Anhangs der BSI-Kritisverordnung rechnet den Regelwert über einen Pro-Kopf-Wert in eine Messgröße der Anlage um. Drei Beispiele:
| Sektor | Anlagenkategorie | Bemessungskriterium | Herleitung | Schwellenwert |
|---|---|---|---|---|
| Energie (Anhang 1) | Erzeugungsanlage | installierte Nettonennleistung | 1.815 kWh je Person und Jahr × 500.000 ≈ 908 GWh pro Jahr, geteilt durch 8.760 Stunden | 104 MW |
| Wasser (Anhang 2) | Gewinnungsanlage | gewonnene Wassermenge | 44 m³ je Person und Jahr × 500.000 | 22 Mio. m³ pro Jahr |
| Finanzwesen (Anhang 6) | Autorisierungssystem für Abhebungen an Geldautomaten (Bargeldversorgung) | Transaktionen pro Jahr | 30 Transaktionen je Person und Jahr × 500.000 | 15 Mio. Transaktionen |
Für die Einstufung zählt allein die rechte Spalte. Eine Erzeugungsanlage ab 104 MW installierter Nettonennleistung ist kritisch, gleich wie viele Haushalte sie beliefert.
Teil 1 der Anhänge regelt die Stichtage. Der Betreiber ermittelt den Versorgungsgrad des Vorjahres bis zum 31. März. Erreicht eine Anlage den Schwellenwert erstmals, gilt sie ab dem 1. April des Folgejahres als kritisch. Mehrere Anlagen derselben Art in engem betrieblichem Zusammenhang werden als gemeinsame Anlage zusammengerechnet.
Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen
Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG als besonders wichtige Einrichtungen und tragen damit die NIS2-Pflichten des BSIG. Die übrigen besonders wichtigen und wichtigen Einrichtungen fallen über ihre Einrichtungsart unter das Gesetz, ohne eine kritische Anlage zu betreiben.
Hinzu kommt eine Größenschwelle. Ohne sie erfasst § 28 BSIG Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter (Abs. 1 Nr. 2, Abs. 2 Nr. 1). Dasselbe gilt für Anbieter öffentlicher Telekommunikationsnetze und -dienste, die in jeder Größe unter Abs. 1 Nr. 3 oder Abs. 2 Nr. 2 fallen.
| Merkmal | Betreiber kritischer Anlagen | Übrige Einrichtungen nach § 28 BSIG |
|---|---|---|
| Auslöser | Schwellenwert einer einzelnen Anlage | Einrichtungsart nach § 28 Abs. 1 Nr. 2 bis 4 oder Abs. 2 BSIG |
| Größenschwelle | keine | ab 50 Beschäftigten oder je über 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme (§ 28 Abs. 2 Nr. 3); keine für Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und Anbieter öffentlicher Telekommunikationsnetze und -dienste (§ 28 Abs. 1 Nr. 2 und 3, Abs. 2 Nr. 1 und 2) |
| Registrierung | Einrichtung nach § 33 Abs. 1 BSIG, jede kritische Anlage nach § 8 KRITISDachG (§ 33 Abs. 2 BSIG) | Einrichtung nach § 33 Abs. 1 BSIG |
| Nachweis gegenüber dem BSI | erster Termin durch das BSI, frühestens nach drei Jahren, dann alle drei Jahre (§ 39 BSIG) | keine Pflicht nach § 39 BSIG |
| Physische Resilienzpflichten | §§ 12, 13, 18 und 20 KRITISDachG | keine |
Für eine Unternehmensgruppe heißt das: Einrichtungsart und Größe entscheiden, ob NIS2-Pflichten greifen; die Anlagenprüfung entscheidet, ob zusätzlich das KRITIS-Regime gilt.
Den ersten BSI-Nachweis terminiert das BSI
Betreiber kritischer Anlagen weisen dem BSI nach § 39 Abs. 1 BSIG nach, dass ihre Maßnahmen umgesetzt sind. Gemeint sind die Maßnahmen nach § 30 Abs. 1 Satz 1 in Verbindung mit § 31 Abs. 1 und 2 Satz 1 BSIG.
Den ersten Termin legt das BSI im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) fest. Er liegt frühestens drei Jahre nach dem Zeitpunkt, ab dem der Betreiber erstmals als Betreiber einer kritischen Anlage gilt; danach folgt der Nachweis alle drei Jahre.
Als Nachweisformen nennt das Gesetz Sicherheitsaudits, Prüfungen oder Zertifizierungen. Eine Zertifizierung ist damit eine von drei Formen der Nachweispflicht, keine eigene KRITIS-Pflicht. Die Ergebnisse gehen samt der aufgedeckten Sicherheitsmängel an das BSI, das einen Mängelbeseitigungsplan verlangen kann.
Zwei Sonderfälle regelt § 39 BSIG selbst. Für frühere Betreiber Kritischer Infrastrukturen liegt der nächste Termin frühestens drei Jahre nach dem letzten Nachweis nach dem früheren § 8a Abs. 3 BSIG (Abs. 3). Für Betreiber, die ein Land nach § 5 Abs. 7 KRITISDachG bestimmt hat, gilt die Nachweispflicht nicht (Abs. 4).
Physische Resilienz: Pflichten ab der Registrierung
Das KRITIS-Dachgesetz setzt die Richtlinie (EU) 2022/2557 um und regelt die physische Widerstandsfähigkeit kritischer Anlagen. Es ist seit dem 17. März 2026 in Kraft; § 14 Abs. 3 bis 5 gilt ab dem 1. Januar 2030. Seine Pflichten beginnen gestaffelt nach der Registrierung beim BBK:
| Pflicht | Frist | Fundstelle |
|---|---|---|
| Registrierung beim BBK | spätestens drei Monate, nachdem die Anlage als kritisch gilt | § 8 Abs. 1 KRITISDachG |
| Risikoanalyse und Risikobewertung | erstmals neun Monate nach der Registrierung, danach mindestens alle vier Jahre | § 8 Abs. 7, § 12 Abs. 1 |
| Resilienzmaßnahmen und Resilienzplan | erstmals zehn Monate nach der Registrierung | § 8 Abs. 7, § 13 |
| Meldung von Vorfällen | erstmals zehn Monate nach der Registrierung | § 8 Abs. 7, § 18 |
| Umsetzungs- und Überwachungspflicht der Geschäftsleitung | erstmals zehn Monate nach der Registrierung | § 8 Abs. 7, § 20 |
Registriert wird über dieselbe Stelle. § 33 Abs. 2 BSIG verweist für die Registrierung kritischer Anlagen auf § 8 KRITISDachG. § 8 Abs. 1 KRITISDachG und § 33 Abs. 1 BSIG nennen beide die Registrierungsmöglichkeit, die BSI und BBK gemeinsam eingerichtet haben.
Die Einzelheiten des Verfahrens legt das BBK nach § 8 Abs. 8 fest. Die Frist dafür beträgt vier Wochen ab Inkrafttreten der Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1.
Vorfälle melden Betreiber nach § 18 KRITISDachG und zusätzlich nach § 32 BSIG an die gemeinsame Meldestelle von BSI und BBK. Die Fristen des BSIG erläutert die Seite zur NIS2-Meldepflicht.
§ 4 Abs. 2 KRITISDachG nimmt vier Gruppen von den Pflichten nach §§ 12 bis 16, 18 und 20 aus. Finanzunternehmen im Anwendungsbereich der Verordnung (EU) 2022/2554 (DORA) und Betreiber im Sektor Informationstechnik und Telekommunikation sind vollständig ausgenommen. Für Betreiber in den Sektoren Siedlungsabfallentsorgung und Sozialversicherung gilt davon nur die Risikoanalyse nach § 12. Die Registrierung nach § 8 bleibt für alle vier Gruppen Pflicht.