KRITIS steht für Kritische Infrastrukturen: Anlagen und Betreiber in zehn Sektoren, deren Ausfall erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit auslösen würde. Der Katalog umfasst Energie, Wasser, Ernährung, IT und Telekommunikation, Gesundheit, Finanzen, Transport und Verkehr, Siedlungsabfallentsorgung, Sozialversicherung und Grundsicherung sowie seit März 2026 Weltraum. Ob eine einzelne Anlage dazugehört, entscheidet der Schwellenwert der BSI-Kritisverordnung, nicht die Unternehmensgröße. Für diese Betreiber gelten jetzt zwei Gesetze: das BSIG für die IT-Sicherheit und das KRITIS-Dachgesetz für die physische Resilienz.
Was ist eine kritische Dienstleistung, was eine kritische Anlage?
Die geltende Definition vermeidet den älteren Sammelbegriff. § 2 Nr. 24 BSIG n.F. definiert die kritische Dienstleistung als eine Leistung der Daseinsvorsorge in den genannten Sektoren, deren Ausfall erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit zur Folge hätte. Eine kritische Anlage ist nach § 2 Nr. 3 KRITIS-DachG eine Anlage, die für die Erbringung einer solchen Dienstleistung wesentlich ist. Das neue BSIG kennt keinen eigenständigen Rechtsbegriff der Kritischen Infrastrukturen mehr; es adressiert Betreiber kritischer Anlagen und ordnet sie den besonders wichtigen Einrichtungen nach § 28 Abs. 2 zu.
Wer ältere Erläuterungen liest, braucht den historischen Anker: Das BSIG von 2009 definierte in § 2 Abs. 10 KRITIS noch über acht Sektoren. Listen mit Medien und Kultur oder Staat und Verwaltung kursieren im Netz, stammen aber aus anderen Rechtsebenen, nicht aus dem geltenden Katalog. Die praktische Folge: Die Kritikalität wird je Anlage und je Dienstleistung geprüft. Die Analyse beginnt daher bei dem, was die Anlage liefert und an wen, nicht bei Rechtsform oder Belegschaftsgröße.
Welche Sektoren gehören zu KRITIS?
Die BSI-Kritisverordnung bestimmt kritische Anlagen in neun Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung sowie Sozialversicherung und Grundsicherung für Arbeitsuchende. Das KRITIS-Dachgesetz fügt in § 4 Abs. 1 Weltraum als zehnten Sektor hinzu. Für Unternehmen der Raumfahrtwirtschaft ist das Neuland: Sie unterliegen nun einem bundeseinheitlichen Resilienzregime, das ihre Branche zuvor nicht kannte.
Die öffentliche Verwaltung hingegen ist kein Sektor im geltenden Katalog, obwohl Glossare das häufig behaupten. Behörden können indirekt betroffen sein, als Kunden oder Lieferanten kritischer Anlagen, aber der Sektor-Test selbst erfasst den Staat nicht.
Ab wann ist eine Anlage kritisch?
Die BSI-KritisV beantwortet das je Anlagenkategorie über einen Versorgungsgrad. Der Regelschwellenwert liegt bei 500.000 versorgten Personen, daraus leitet das BSI kategoriespezifische Werte ab, etwa 104 Megawatt für die Stromerzeugung oder 0,869 Tonnen Lebensmittel pro Person und Jahr. Begründet wird der Basiswert über Grenzen der Notfall-Kompensationsfähigkeit: wie viel Ausfall das Gesamtsystem im Ernstfall noch ausgleichen kann.
Drei Konsequenzen folgen daraus. Erstens gelten die Schwellenwerte streng je Anlage; Unternehmen, Standorte oder Konzerngruppen sind nicht selbst KRITIS, nur der Konstrukt der gemeinsamen Anlage kann Anlagen bündeln. Zweitens prüfen Betreiber jährlich, spätestens zum 31. März, ob eine Anlage im Vorjahr ihren Schwellenwert überschritten hat. Drittens wird die Kritikalität erst ab dem 1. April des Folgejahres wirksam; Wachstum über einen Schwellenwert hinweg erzeugt Pflichten also mit zeitlicher Verzögerung, und genau dort beginnen die ungeplanten Registrierungsnotfälle.
Zwei Rechtsregime: BSIG für IT-Sicherheit, Dachgesetz für Resilienz
Das erste Regime ist das BSIG in der Fassung seit dem 6. Dezember 2025, der deutschen NIS-2-Umsetzung. Es regelt die IT-Sicherheit der Betreiber kritischer Anlagen über Registrierung, Risikomanagement-Maßnahmen (§ 30), Systeme zur Angriffserkennung (§ 31), Meldepflichten (§ 32) und periodische Nachweise (§ 39).
Das zweite Regime ist das KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026 (verkündet am 11. März 2026 in BGBl. 2026 I Nr. 66, geändert am 21. Juli 2026). Es setzt die CER-Richtlinie (EU) 2022/2557 um und zielt auf die physische und organisatorische Widerstandsfähigkeit der Anlage selbst. Ein Statushinweis: Nach dem FAQ des BBK war die Identifizierungsverordnung, die die Betreiberpflichten auslöst, zum Zeitpunkt der Recherche noch in Vorbereitung; die DachG-Pflichten aus Registrierung, Risikoanalyse, Resilienz und Meldung laufen für Betreiber daher noch nicht. Sobald die Verordnung in Kraft ist, folgt die Registrierung binnen drei Monaten, sobald eine Anlage kritisch wird, die Risikoanalyse neun Monate nach der Registrierung, die Resilienz- und Meldepflichten ab zehn Monaten nach Registrierung. Die Fristenkaskade erklärt der Beitrag zum KRITIS-Dachgesetz 2026.
Beide Regime treffen dieselben Anlagen, verlangen aber unterschiedliche Nachweise: Cyber-Maßnahmen gegenüber dem BSI, physische und organisatorische Resilienz gegenüber den Landesbehörden und dem BBK.
Wer ist Betreiber, und welche Pflichten folgen?
Betreiber ist, wer die Anlage betreibt, die die kritische Dienstleistung erbringt. Weil die Schwellenwerte an Anlagen hängen, kann ein Unternehmen mehrere Anlagen betreiben, von denen nur einige kritisch sind; eine neu kritische Anlage zieht den Betreiber in den Pflichtenkreis.
Nach dem neuen BSIG läuft die Kaskade in fünf Schritten. Erstens die Registrierung über das Melde- und Informationsportal des BSI (MIP); das Registrierungsverfahren einschließlich der zweiten Registrierung als besonders wichtige Einrichtung ist ein eigenes Thema, behandelt im Beitrag zur KRITIS-Registrierung beim BSI. Zweitens Risikomanagement-Maßnahmen nach § 30, einschließlich Personalsicherheit und Zutrittskontrolle. Drittens Systeme zur Angriffserkennung nach § 31, für KRITIS seit dem 1. Mai 2023 verpflichtend. Viertens die Meldung wesentlicher Störungen nach § 32: Vorabprüfung binnen 24 Stunden, detaillierte Meldung binnen 72 Stunden, Abschlussbericht binnen einem Monat, über MIP als bevorzugten Kanal mindestens bis zum 31. Juli 2026. Fünftens der Nachweis nach § 39, dass die Maßnahmen wirksam sind; der Turnus wechselte im Dezember 2025 von zwei auf drei Jahre, der erste Nachweis ist frühestens drei Jahre nach Betreibereigenschaft fällig. § 38 ergänzt die Pflicht der Geschäftsleitung zu Zustimmung, Überwachung und Schulung.
Das Dachgesetz legt, sobald es anwendbar ist, eine eigene Kaskade darüber: Registrierung beim BBK, Risikoanalyse, Resilienzmaßnahmen und eine Meldung binnen 24 Stunden an die gemeinsame Meldestelle von BSI und BBK mit vollständigem Bericht binnen eines Monats (§ 18).
Personalsicherheit: die Pflicht, die durch beide Regime läuft
Beide Regime behandeln Menschen als eigenständigen Risikovektor. Nach dem BSIG macht § 30 Abs. 2 Nr. 9 Konzepte für die Sicherheit des Personals und für die Zutrittskontrolle zu verpflichtenden Mindestmaßnahmen; Personalsicherheit liegt damit im Prüfungsumfang des § 39, die RUN-Orientierungshilfe des BSI führt diese Punkte als personenbezogene Maßnahmen. Nach dem DachG verlangt § 13 Abs. 3 Nr. 5 ein angemessenes Sicherheitsmanagement für das Personal, ausdrücklich einschließlich des Personals externer Dienstleister, und Nr. 6 ergänzt Schulungen.
Die EU-Ebene erklärt, warum. Art. 13 Abs. 5 der CER-Richtlinie nennt das Sicherheitsmanagement für Personal als Resilienzmaßnahme, und die Leitlinien der Kommission von 2026 rufen zu einem System der Zuverlässigkeitsprüfung auf: Identitätsprüfung, Führungszeugnis, Beschäftigungsverlauf, ergänzt um Need-to-know-Zutrittsrechte und ein Schlüssel- und Berechtigungsverzeichnis mit Ausgabe- und Widerrufsdatum.
Operativ ist das die Zuverlässigkeitsprüfung: eine dokumentierte Überprüfung von Beschäftigten, bevor sie Zugang zu kritischen Systemen oder Anlagen erhalten, mit Identitäts- und Registerdaten, Sanktions- und Negativmedien-Signalen sowie Beschäftigungshistorie, abgeschlossen durch eine menschliche Letztprüfung. Die Ergebnisse fließen in die Zutrittsrechte-Prüfung mit Widerruf bei Rollenwechsel oder Austritt und landen in der Sicherheitskonzept-Mappe, die Prüfer einsehen. Den Schritt-für-Schritt-Aufbau dieser Mappe zeigt der Umsetzungsleitfaden für Hintergrundüberprüfungen in KRITIS; wie sich betriebliche Überprüfung von der staatlichen Sicherheitsüberprüfung unterscheidet, erläutert der Vergleich staatliche Sicherheitsüberprüfung vs. eigenes Screening. Indicium ist in dieser Leistungsklasse zu Hause: strukturierte, dokumentierte, nachvollziehbare Überprüfung zentraler Personen.
Häufige Fragen
Bin ich KRITIS-pflichtig?
Die Frage entscheidet sich je Anlage, nicht je Unternehmen. Prüfen Sie, ob die Anlage in einem der zehn Sektoren betrieben wird und den Versorgungsgrad ihrer Kategorie in der BSI-KritisV überschreitet. Die jährliche Prüfung ist zum 31. März fällig, und das Ergebnis gehört dokumentiert ins Protokoll, auch ein negatives.
Was bedeutet der Schwellenwert von 500.000 versorgten Personen?
Er ist der Regelschwellenwert, der Basiswert, aus dem das BSI kategoriespezifische Schwellenwerte ableitet, etwa 104 Megawatt für die Stromerzeugung. Er bildet ab, wie viel Versorgungsausfall das System im Notfall noch kompensieren kann; deshalb zählt er versorgte Personen, nicht Beschäftigte oder Umsatz.
Was ist der Unterschied zwischen KRITIS und NIS2?
NIS2 ist die EU-Richtlinie; Deutschland setzt sie über das neue BSIG um, das besonders wichtige und wichtige Einrichtungen unterscheidet. Betreiber kritischer Anlagen sind eine Teilmenge der besonders wichtigen Einrichtungen (§ 28 Abs. 2 BSIG) mit sektorspezifischen Pflichten, und das Dachgesetz legt die physische Resilienz obendrauf.
Gilt KRITIS auch für Behörden und öffentliche Verwaltung?
Nicht als Sektor. Die geltenden Kataloge der BSI-KritisV und des Dachgesetzes enthalten Staat und Verwaltung nicht; ältere Listen stammen aus anderen Rechtsebenen. Öffentliche Stellen können indirekt betroffen sein, als Kunden oder Lieferanten kritischer Anlagen.
Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine Rechtsberatung.