KRITIS-Umsetzung scheitert selten an den großen Pflichten. Sie scheitert an den Schnittstellen: dort, wo das BSIG auf der IT-Sicherheitsseite auf das KRITIS-Dachgesetz trifft, und wo eine Abkürzung, die im März eine Woche gespart hat, drei Jahre später eine Nachweisprüfung kostet. Die teuersten KRITIS-Fehler entstehen an den Schnittstellen: eine versäumte Schwellenwert-Prüfung zum 31. März, eine vergessene zweite Registrierung und ein Sicherheitskonzept ohne den Personalsicherheitsteil, den § 30 Abs. 2 Nr. 9 BSIG verlangt.
Zwei Regime, ein Umsetzungsprojekt
Seit dem 17. März 2026 unterstehen registrierte Betreiber zwei Regimen. Das BSIG, neu gefasst als NIS-2-Umsetzung, verlangt Registrierung nach § 33, Risikomanagement-Maßnahmen nach § 30, Systeme zur Angriffserkennung nach § 31, Meldungen nach § 32 und Nachweise nach § 39. Das KRITIS-Dachgesetz ergänzt die Registrierung beim BBK, eine Risikoanalyse, einen Resilienzplan und eigene Audits, mit Bußgeldern bis zu einer Million Euro nach § 24. Welche Sektoren und Schwellenwerte KRITIS überhaupt definieren, behandelt der Artikel Was ist KRITIS? Sektoren, Schwellenwerte und Pflichten.
Die acht Fehler
1. Registrierung in nur einem der beiden Kanäle
Der Fehler: Die Registrierung als einzelne Meldung ans BSI behandeln. Die MIP-Bestätigung wirkt endgültig, doch die BSI-Seite ist selbst zweigeteilt: die Registrierung der kritischen Anlage über das Melde- und Informationsportal MIP plus die Registrierung als besonders wichtige Einrichtung im BSI-Portal. Sobald die Identifizierungsverordnung in Kraft tritt, folgt eine weitere Registrierung beim BBK nach § 8 Abs. 1 KRITISDachG, fällig binnen drei Monaten. Die Kosten: Bußgelder nach § 24 KRITISDachG erreichen 200.000 Euro bei Registrierungsverstößen. Details beschreibt KRITIS-Registrierung: von der Vorabprüfung zur BSI-Nachweisprüfung.
2. Die jährliche Schwellenwert-Selbstprüfung auslassen
Der Fehler: Kritizität als einmal beantwortete Frage behandeln. Die Abkürzung: Die Anlage läuft seit Jahren, die Einordnung wirkt abgeschlossen. Rechtlich ist sie das nicht: Betreiber müssen jährlich bis zum 31. März prüfen, ob eine Anlage im Vorjahr ihren Schwellenwert nach BSI-KritisV überschritten hat; die Kritizität gilt dann rückwirkend ab dem 1. April des Folgejahres. Die Kosten kommen vor dem Bußgeld: Die Einrichtung war faktisch KRITIS-Betreiber, während niemand sie so behandelte, sodass Registrierung, Sicherheitsmaßnahmen und Nachweispflichten versäumt wurden.
3. Den Nachweis- und Wiederholungszyklus verpassen
Der Fehler: Den Nachweis nach § 39 BSIG einmal einreichen und das Konzept dann ablegen. Die Annahme: Ein geprüftes Sicherheitskonzept bleibt gültig. Bis Dezember 2025 galt ein zweijähriger Nachweisrhythmus; seit der Neufassung des BSIG ist der erste Nachweis frühestens drei Jahre nach Betrieberstellung fällig, danach alle drei Jahre, und die Prüfung darf bei Einreichung höchstens zwölf Monate zurückliegen. Dasselbe gilt für Personen: Eine Prüfung beim Hiring ist ein Schnappschuss, deshalb brauchen Wiederholungsprüfungen definierte Zyklen und Trigger wie Rollenwechsel. Die Kosten: Ein überzogener Zyklus ist ein Prüfmangel, bevor überhaupt eine technische Frage gestellt wurde.
4. BSIG- und DachG-Pflichten verwechseln
Der Fehler: Davon auszugehen, dass eine Registrierung oder ein Audit beide Regime abdeckt. Die Abkürzung: alle Pflichten auf die Behörde mappen, die man schon kennt. Das BSIG regelt IT-Sicherheit, §§ 30 bis 39, Nachweis alle drei Jahre. Das Dachgesetz regelt physische und organisatorische Resilienz: Risikoanalyse binnen neun Monaten nach Registrierung, Resilienzplan und Meldepflichten binnen zehn Monaten, Audits durch die zuständige Behörde nach § 16, die Teile des § 39-Nachweises über das BBK anfordern kann. Die Kosten: Welcher Katalog auf das falsche Regime gemappt wurde, bleibt unbearbeitet und taucht genau in dem Audit auf, auf das sich niemand vorbereitet hat. Die Pflichtenkaskade fasst KRITIS-Dachgesetz 2026: Pflichten, Fristen und Sektoren zusammen.
5. Personalsicherheit als Fußnote behandeln
Der Fehler: Personalsicherheit auf eine Kennwortrichtlinie und eine NDA reduzieren. Das passiert, weil der gesetzliche Wortlaut abstrakt klingt, während technische Kontrollen konkret wirken. Die Gesetzestexte sind eindeutig: § 30 Abs. 2 Nr. 9 BSIG verlangt Konzepte zur Sicherheit des Personals und der Zugriffskontrolle, § 13 Abs. 3 Nr. 5 KRITISDachG verlangt ein Sicherheitsmanagement für das Personal einschließlich externer Dienstleister, und die Kommissions-Leitlinien zu Art. 13 Abs. 5 CER fordern ein System von Zuverlässigkeitsprüfungen: Identitätsprüfung, Führungszeugnis, Lebenslauf. Die Kosten: Personalsicherheit sitzt innerhalb des § 39-Nachweises, wo schwache Nachweise ein Prüfmangel sind. Die Überprüfung von Mitarbeitenden ist die prüfbare Erfüllung beider Anker; der Umsetzungsleitfaden für Hintergrundüberprüfungen zeigt die operative Struktur.
6. Eine schwache Meldekette betreiben
Der Fehler: Die Meldung der Person überlassen, die gerade Dienst hat, ohne dass ein geprobter Weg zur Meldestelle existiert. Die Abkürzung: annehmen, der Kanal lasse sich unter Druck improvisieren. Nach § 32 BSIG sind die Fristen fix: Erstmitteilung binnen 24 Stunden, ausführliche Mitteilung binnen 72 Stunden, Schlussbericht binnen einem Monat, eingereicht über MIP. Sobald das DachG-Regime läuft, ergänzt § 18 eine separate 24-Stunden-Meldung an die gemeinsame Meldestelle von BSI und BBK. Die Kosten: Eine ungeprobte Kette verpasst die erste Frist, und die Bußgelder nach dem BSIG folgen dem umsatzbezogenen NIS-2-Schema.
7. Lieferkettendokumentation auslassen
Der Fehler: Sich auf Anbieter-Zertifikate und Vertragsklauseln verlassen und keine eigene Dokumentation führen. Das passiert, weil Auslagerung sich anfühlt wie eine Weitergabe der Pflicht mit der Aufgabe. Die Gesetzestexte sehen das anders: § 30 Abs. 2 BSIG nennt Lieferkettensicherheit als eigene Pflichtenkategorie, die Scope-Dokumentation muss fremdbetriebene Teile der kritischen Dienstleistung abbilden, und § 13 Abs. 3 Nr. 5 KRITISDachG zieht externes Dienstleisterpersonal in dasselbe Sicherheitsraster wie eigenes Personal.
8. Führungsverantwortung implizit lassen
Der Fehler: Die KRITIS-Umsetzung an den Sicherheitsbeauftragten delegieren, ohne eine dokumentierte Führungsentscheidung. Die Abkürzung: Die Leitung setzt voraus, dass Delegation die Pflicht abdeckt. § 38 BSIG sieht das anders: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und Schulungen sicherstellen, als persönliche Pflicht, die sich nicht vollständig delegieren lässt. Die Kosten zeigen sich spät: Wenn ein Vorfall von innen kommt und eine Prüfung nie stattfand, lautet die Frage, was die Leitung gebilligt und dokumentiert hat. Eine Genehmigung, die nur als Gespräch existiert, lässt sich schwer rekonstruieren.
Welche Fehler bemängeln Prüfinstanzen zuerst?
Dokumentationsmängel tauchen früher auf als technische. Eine Scope-Beschreibung, die die kritische Dienstleistung nicht vollständig abbildet, scheitert an den GAiN-Kriterien, bevor eine Kontrolle getestet wird. Angriffserkennung ist nach § 31 BSIG verpflichtend und muss im Netzstrukturplan sichtbar sein. Eine Prüfende Stelle mit fragwürdiger Unabhängigkeit scheitert an der Schwelle, Zertifikate gelten nur als Bausteine, und die Mängelliste der Vorprüfung ist in das Folgeaudit zu übernehmen.
Wo die Personenüberprüfung einsetzt
Die Gesetzestexte behandeln Menschen als Risikovektor, weil die meisten gravierenden Vorfälle an kritischen Anlagen jemanden betreffen, der berechtigt vor Ort war. Operativ heißt das: Prüfung vor Zugangsgewährung, dokumentiert je Trigger, bei Einstellung, bei Rollenwechseln und in Wiederholungszyklen für Schlüsselrollen. Eine nachvollziehbare Prüfung deckt Identität und Lebenslauf ab, Sanktions- und Watchlisten, Adverse Media mit datierten Quellen und wirtschaftliche Verflechtungen, mit menschlicher Endprüfung. Indicium liefert solche Berichte als strukturierte, prüfbare Verifikation von Schlüsselpersonal.
Was zuerst fixen
Arbeiten Sie die Liste in der Reihenfolge der Umkehrbarkeit. Klären Sie den Registrierungsstatus in beiden Kanälen und terminieren Sie die BBK-Registrierung für den Tag, an dem die Identifizierungsverordnung in Kraft tritt. Prüfen Sie Ihre letzte § 39-Prüfung gegen die Zwölf-Monats-Regel. Probieren Sie die § 32-Meldekette einmal komplett durch. Dann legen Sie das Personalsicherheit-Work-Package der Geschäftsleitung zur dokumentierten Genehmigung nach § 38 BSIG vor.
Häufige Fragen
Welche KRITIS-Fehler bemängeln Prüfinstanzen am häufigsten?
Dokumentationsmängel führen: unvollständige Scope-Beschreibungen, Angriffserkennung, die im Netzstrukturplan fehlt, nicht weitergeführte Mängellisten, Personalsicherheitskonzepte ohne Nachweise. Technische Lücken treten später auf; Aktenlücken zuerst.
Wie hoch sind die Bußgelder für KRITIS-Betreiber?
Nach § 24 KRITISDachG: bis zu 200.000 Euro bei Verstößen gegen Registrierungs- und Informationspflichten, bis zu 500.000 Euro bei Verstößen rund um die Einreichung von Prüfergebnissen, eine Million Euro für die Missachtung vollziehbarer Anordnungen. Nach dem BSIG folgen die Bußgelder dem umsatzbezogenen NIS-2-Schema nach § 65 BSIG.
Wird ein Unternehmen automatisch KRITIS-Betreiber?
Nein. Kritizität haftet an einer Anlage, nicht am Unternehmen, und erst, wenn der Schwellenwert der BSI-KritisV überschritten wird. Deshalb zählt die jährliche Prüfung zum 31. März.
Haftet die Geschäftsleitung bei KRITIS-Verstößen?
§ 38 BSIG macht das Billigen und Überwachen der Risikomanagement-Maßnahmen zur persönlichen Pflicht der Geschäftsleitung, die sich nicht vollständig delegieren lässt. Eine undokumentierte Genehmigung gilt als fehlende Genehmigung.
Dieser Artikel ersetzt keine Rechtsberatung.