Die Registrierung ist der Moment, in dem ein KRITIS-Pflichtenkreis zu laufen beginnt, und seit 2026 findet sie an zwei Stellen statt. Ein Betreiber registriert sich zweifach: als besonders wichtige Einrichtung im BSI-Portal nach § 33 BSIG und, sobald die Identifizierungsverordnung des KRITIS-Dachgesetzes in Kraft tritt, seine kritischen Anlagen beim BBK binnen drei Monaten (§ 8 KRITISDachG). Alle drei Jahre weist er gegenüber dem BSI nach, dass seine Risikomanagement- und Angriffserkennungsmaßnahmen umgesetzt sind (§ 39 BSIG).
Ist meine Anlage kritisch? Die Selbstprüfung hinter der Meldung
Ob all das gilt, entscheidet ein Schwellenwerttest, und den führt der Betreiber selbst durch. Die BSI-Kritisverordnung setzt je Anlagenkategorie einen Versorgungsgrad als Schwellenwert fest, und jedes Jahr bis zum 31. März muss der Betreiber prüfen, ob eine Anlage diesen Schwellenwert im Vorjahr überschritten hat. Die Kritikalität gilt dann ab dem 1. April des Folgejahres. Diese Verzögerung ist praktisch relevant: Eine Anlage, die 2026 über ihren Schwellenwert hinauswächst, zieht den betreibenden Unternehmer erst ab dem 1. April 2027 in den Pflichtenkreis, und genau hier beginnen die ungeplanten Registrierungsnotfälle.
Der Schwellenwert gilt je Anlage, nicht je Unternehmen: Größe, Umsatz und Personalstand spielen keine Rolle, erst das Konstrukt der gemeinsamen Anlage bündelt Anlagen. Dokumentieren Sie das Ergebnis in jedem Fall, auch wenn es negativ ausfällt. Eine schriftlich vorliegende negative Selbstprüfung ist die verteidigungsfähige Basis, wenn später eine Aufsicht, ein Versicherer oder ein Großkunde fragt, warum keine Meldung erfolgt ist, und der Tag des Betreiberwerdens startet die Registrierungsuhr für alles Weitere.
Die Registrierung beim BSI: § 33 BSIG, MIP und die Zweitregistrierung
Die Registrierung beim BSI ist zweistufig. Betreiber kritischer Anlagen melden sich nach § 33 BSIG über das Melde- und Informationsportal (MIP), den Meldekanal unter mip2.bsi.bund.de. In einem zweiten Schritt registriert sich der Betreiber als besonders wichtige Einrichtung im BSI-Portal, möglich seit dem 6. Januar 2026 und authentifiziert mit einem Mein Unternehmenskonto oder einem ELSTER-Organisationszertifikat.
Das alte Recht kannte diese Pflicht als Betriebsaufnahme-Meldung nach § 8b Abs. 3 BSIG, abgegeben spätestens am ersten Werktag nach dem Betreiberwerden. Das neue Recht führt sie in § 33 fort; Ankerdatum bleibt der Tag, an dem die Anlage kritisch wurde.
Aus den Mechaniken folgen zwei Governance-Punkte. Das Organisationszertifikat bindet die Meldung an das Unternehmen und nicht an ein privates Postfach; der Portalzugang gehört zu den privilegierten Konten. Und das MIP bleibt bis mindestens 31. Juli 2026 der vorrangige Kanal für Störfallmeldungen nach § 32 BSIG: Das bei der Registrierung angelegte Konto ist jenes, über das eine 24-Stunden-Meldeuhr läuft.
Die Zweitregistrierung beim BBK: § 8 KRITIS-Dachgesetz
Das Dachgesetz fügt eine parallele Registrierung bei einem anderen Regulator hinzu. Das Gesetz ist seit dem 17. März 2026 in Kraft, doch die Identifizierungsverordnung, die die Betreiberpflichten auslöst, war zum Zeitpunkt der Recherche noch in Vorbereitung; die BBK-Registrierungspflichten laufen daher noch nicht. Sobald die Verordnung in Kraft tritt, verlangt § 8 Abs. 1 die Registrierung binnen drei Monaten, nachdem eine Anlage kritisch geworden ist.
Die Meldung muss acht Datenfelder enthalten, darunter Sektor, Versorgungsgrad, öffentliche IP-Bereiche, kritische Komponenten und die Kontaktstelle. Das BBK bestätigt binnen vier Wochen und kann eine Anlage von Amts wegen registrieren, wenn ein Betreiber nicht handelt.
Zwei Kanäle, zwei Regulatoren, eine Anlage: Das BSI verlangt Cyber-Nachweise, das BBK physische und organisatorische Resilienz. Wer sich nur in einem der beiden Kanäle registriert, lässt die häufigste strukturelle Lücke in Doppelfällen offen. Was nach einer BBK-Registrierung folgt, die Risikoanalyse nach neun Monaten und die Resilienzpflichten nach zehn, behandelt der Beitrag zu den Fristen des KRITIS-Dachgesetzes.
Was muss die Nachweisprüfung dokumentieren?
Die Nachweisprüfung ist der periodische Nachweis gegenüber dem BSI, dass die geforderten Maßnahmen existieren und wirken. Nach § 39 Abs. 1 BSIG ist der erste Nachweis frühestens drei Jahre nach dem Betreiberwerden fällig, anschließend alle drei Jahre. Der Rhythmus ist neu: Bis Dezember 2025 galt ein Zweijahresrhythmus nach dem alten § 8a. Das BSI hat die neuen Termine einzeln gesetzt, mit einer Übergangsoption für Nachweistermine innerhalb von zwölf Monaten nach dem 6. Dezember 2025.
Die Prüfung folgt der Orientierungshilfe des BSI (GAiN 22) und mündet in das Nachweisdokument P, gegliedert in die Abschnitte PD, PE und PS. Die Geltungsbereichs-Dokumentation in Anlage PD.A muss die kritische Dienstleistung vollständig abbilden: Prozesse, Systeme, drittbetriebene Teile und Schnittstellen, erfasst in einem Netzstrukturplan, der auch markiert, wo Systeme zur Angriffserkennung das Netz abdecken. Diese Systeme sind seit dem 1. Mai 2023 nach § 31 BSIG verpflichtend. Die Ergebnisse enthalten eine Mängelliste (PE.A) mit Sanierungsplan; das Vier-Augen-Prinzip gilt für Geltungsbereich, Zertifikate, Risikozugang, Mängelliste und Vor-Ort-Prüfungen; und die Prüfung darf bei Einreichung höchstens zwölf Monate zurückliegen.
Auch wer prüfen darf, ist geregelt: Die Prüfende Stelle muss unternehmensfremd sowie rechtlich und wirtschaftlich unabhängig sein. Die interne Revision qualifiziert sich nur, wenn ihre Qualitätssicherung nach IIA-Standard nicht älter als fünf Jahre ist. Zertifikate helfen, aber nur als Bausteine: ISO-27001-, C5- oder IT-Grundschutz-Zertifikate erfordern eine KRITIS-spezifische Zusatzprüfung nach GAiN N.BG.01–06, mit einem Zertifikatsaudit von höchstens zwölf Monaten. Eingereicht wird über das MIP.
Wie schwache Nachweise in einer Prüfung aussehen
Schwache Nachweise folgen erkennbaren Mustern, alle vermeidbar, bevor der Prüfer kommt. Ein Geltungsbereich, der die kritische Dienstleistung nicht vollständig abbildet, weil drittbetriebene Segmente fehlen, scheitert an den GAiN-Kriterien (N.DG.01/02), bevor eine einzelne Maßnahme diskutiert wird. Ein Netzstrukturplan ohne Markierung der Angriffserkennung dokumentiert eine § 31-Pflicht nur auf dem Papier. Und im Folgelauf muss die vorige Mängelliste mit dokumentiertem Sanierungsstand übergeben werden (GAiN D.AM.02/03); wer ohne sie erscheint, beginnt die Unterhaltung bei null.
Das Dachgesetz fügt ein zweites Publikum hinzu. Die zuständige Behörde prüft Resilienzpflichten risikobasiert stichprobenartig und kann Teile des § 39-Nachweises über das BBK anfordern sowie den Resilienzplan verlangen (§ 16 KRITISDachG). Eine Lücke aus dem einen Verfahren bleibt also nicht dort.
Wer registriert, wer ist Kontaktstelle, und wen muss man prüfen?
Die Registrierung bindet den Betreiber als Rechtsträger: Das ELSTER-Organisationszertifikat oder das Mein Unternehmenskonto gehört zum Unternehmen, nicht zu einer Einzelperson. Die Meldung benennt eine Kontaktstelle, eine Rolle, die die BBK-Datenfelder fortführen. Portaladministration und Kontaktstelle sind selbst sicherheitsrelevante Positionen.
Der Personalanker sitzt in den Maßnahmenkatalogen. § 30 Abs. 2 Nr. 9 BSIG macht Konzepte zur Sicherheit des Personals und zur Zugangskontrolle zu verpflichtenden Mindestmaßnahmen, und die RUN-Orientierung des BSI stuft sie als personenbezogene Maßnahmen ein, was sie in den § 39-Nachweis zieht. Das Dachgesetz verlangt in § 13 Abs. 3 Nr. 5 ein angemessenes Sicherheitsmanagement für das Personal, ausdrücklich einschließlich des Personals externer Dienstleister, und in Nr. 6 Schulungen. Die EU-Ebene zeigt in dieselbe Richtung: Artikel 13 Abs. 5 der CER-Richtlinie führt das Sicherheitsmanagement für Personal als Resilienzmaßnahme, und die Kommissionsleitlinien von 2026 fordern Zuverlässigkeitsprüfungen mit Identitätsfeststellung, Führungszeugnis und Prüfung des Berufswerdegangs.
Betrieblich ist das die Zuverlässigkeitsprüfung: eine dokumentierte Überprüfung, bevor eine Person Zugang zu kritischen Systemen oder Standorten erhält. Sie umfasst Identitäts- und Registerdaten, Sanktions- und Negativsignal-Recherche sowie den Berufswerdegang und schließt mit einer menschlichen Endbewertung. Die Ergebnisse fließen in die Berechtigungsreview, mit Widerruf bei Rollenwechsel oder Ausstieg, und landen in der Sicherheitskonzept-Akte, die der Prüfer verlangt. Strukturierte, dokumentierte, nachvollziehbare Überprüfung zentraler Personen ist die Leistungsklasse, die Indicium in diesem Kontext bereitstellt. Wie sich diese Akte Schritt für Schritt aufbauen lässt, zeigt der Umsetzungsleitfaden für KRITIS-Hintergrundprüfungen; die Grenze zur staatlichen Sicherheitsüberprüfung zieht der Vergleich von staatlicher Überprüfung und eigenem Screening.
Häufige Fragen
Wo melde ich KRITIS an?
Betreiber kritischer Anlagen melden sich über das Melde- und Informationsportal (MIP); die Registrierung als besonders wichtige Einrichtung läuft über das BSI-Portal. Die BBK-Registrierung folgt, sobald die Identifizierungsverordnung in Kraft ist.
Wie oft muss der Nachweis gegenüber dem BSI erbracht werden?
Alle drei Jahre nach § 39 BSIG, der erste Nachweis frühestens drei Jahre nach dem Betreiberwerden. Bis Dezember 2025 galt ein Zweijahresrhythmus; das BSI hat die neuen Termine einzeln gesetzt.
Kann ISO 27001 die KRITIS-Prüfung ersetzen?
Nein. Zertifikate zählen als Bausteine und erfordern eine KRITIS-spezifische Zusatzprüfung (GAiN N.BG.01–06). Das Zertifikatsaudit muss zudem aktuell sein, höchstens zwölf Monate alt.
Wer darf die Nachweisprüfung durchführen?
Eine unabhängige Prüfende Stelle, unternehmensfremd sowie rechtlich und wirtschaftlich unabhängig. Die interne Revision wird nur akzeptiert, wenn ihre Qualitätssicherung nach IIA-Standard nicht älter als fünf Jahre ist.
Dieser Beitrag gibt allgemeine Informationen und ersetzt keine Rechtsberatung.