KRITIS-Unternehmen: Definition, Sektoren & Pflichten 2026

Was sind KRITIS-Unternehmen? Definition und Abgrenzung

KRITIS-Unternehmen sind Betreiber kritischer Infrastrukturen, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefahren für die öffentliche Sicherheit in Deutschland führen würde. Die rechtliche Grundlage bilden das BSI-Gesetz (BSIG) und die BSI-Kritisverordnung (BSI-KritisV).

Ob ein Unternehmen als KRITIS-Betreiber gilt, hängt von zwei Kriterien ab: Es muss in einem der neun definierten Sektoren tätig sein und gesetzlich festgelegte Schwellenwerte überschreiten. Diese Schwellenwerte orientieren sich am Versorgungsgrad oder an der Anlagenkapazität. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist für die Aufsicht über KRITIS-Betreiber zuständig, während das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) die sektorübergreifende Koordination übernimmt.

KRITIS vs. NIS-2: Die wichtigsten Unterschiede

KRITIS ist die nationale deutsche Regulierung für systemrelevante Betreiber mit hohen Schwellenwerten, während NIS-2 eine EU-Richtlinie mit breiterer Anwendung auf mehr Unternehmen darstellt. Die NIS-2-Richtlinie erfasst auch kleinere und mittlere Unternehmen, die nicht als KRITIS gelten, aber dennoch wichtige Dienste erbringen.

Die folgende Tabelle zeigt die wesentlichen Unterschiede:

Wann gilt welches Regelwerk?

Ein Unternehmen kann gleichzeitig unter KRITIS und NIS-2 fallen. KRITIS gilt, wenn die sektorspezifischen Schwellenwerte der BSI-KritisV überschritten werden. NIS-2 erfasst zusätzlich Unternehmen unterhalb dieser Schwellen, sofern sie als wesentliche oder wichtige Einrichtung eingestuft werden.

Bei Überschneidungen gelten beide Regelwerke parallel. Die KRITIS-Pflichten sind in der Regel strenger und umfassender. Unternehmen sollten prüfen, welche Anforderungen im Einzelfall greifen, und sich bei Unsicherheit direkt an das BSI wenden.

Die 9 KRITIS-Sektoren: Welche Branchen betroffen sind

Die BSI-KritisV definiert neun Sektoren, in denen kritische Infrastrukturen betrieben werden. Jeder Sektor umfasst mehrere Branchen mit spezifischen Anlagenkategorien und Schwellenwerten.

Energie: Strom, Gas, Mineralöl

Zum Sektor Energie gehören Unternehmen, die Elektrizität, Gas oder Mineralöl erzeugen, transportieren oder verteilen. Betroffen sind Kraftwerksbetreiber, Übertragungsnetzbetreiber, Verteilnetzbetreiber, Gasspeicherbetreiber und Mineralölraffinerien. Schwellenwerte richten sich nach der Anzahl versorgter Personen oder der Anlagenleistung.

Wasser: Trinkwasser und Abwasser

Dieser Sektor umfasst die öffentliche Trinkwasserversorgung und Abwasserbeseitigung. Wasserversorger können ab definierten Schwellenwerten als KRITIS-Betreiber gelten. Auch Betreiber von Talsperren und Fernwasserleitungen können betroffen sein.

Ernährung: Lebensmittelversorgung

Zur Ernährung zählen Unternehmen, die Lebensmittel produzieren, verarbeiten oder verteilen. Dazu gehören Großbäckereien, Molkereien, Schlachthöfe, Getränkehersteller und Lebensmittelgroßhändler. Die Schwellenwerte orientieren sich an der Produktionsmenge oder der Anzahl versorgter Personen.

Informationstechnik und Telekommunikation

Dieser Sektor erfasst Betreiber von Rechenzentren, Hosting-Diensten, Internetknoten, Telekommunikationsnetzen und Vertrauensdiensten. Auch Cloud-Anbieter und Betreiber von Content-Delivery-Netzwerken können betroffen sein. Die Schwellenwerte beziehen sich auf Nutzeranzahl, Datenvolumen oder Rechenleistung.

Gesundheit: Krankenhäuser und Pharma

Zum Gesundheitssektor gehören Krankenhäuser, Universitätskliniken, pharmazeutische Hersteller und Labore. Krankenhäuser können je nach Versorgungsstufe als KRITIS gelten. Auch Hersteller von Impfstoffen und lebensnotwendigen Arzneimitteln fallen in diesen Sektor.

Finanz- und Versicherungswesen

Banken, Sparkassen, Versicherungen, Börsen und Zahlungsdienstleister gehören zu diesem Sektor. Die Schwellenwerte richten sich nach Bilanzsumme, Transaktionsvolumen oder Marktanteil. Auch Clearingstellen und Wertpapierverwahrstellen sind erfasst.

Transport und Verkehr

Dieser Sektor umfasst Flughäfen, Seehäfen, Bahnbetreiber, Verkehrsleitzentralen und Logistikdienstleister. Betroffen sind Betreiber mit hohem Passagier- oder Frachtaufkommen. Auch Betreiber von Schleusen und Schifffahrtsstraßen können unter KRITIS fallen.

Staat und Verwaltung

Zu diesem Sektor gehören Behörden und öffentliche Einrichtungen, die hoheitliche Aufgaben erfüllen. Dazu zählen Meldebehörden, Justizeinrichtungen, Notrufleitstellen und Katastrophenschutzbehörden. Die Abgrenzung erfolgt nach Versorgungsgrad und Bedeutung für die öffentliche Sicherheit.

Medien und Kultur

Rundfunkanstalten, Fernsehsender und Pressedienste, die eine breite Öffentlichkeit erreichen, gehören zu diesem Sektor. Auch Betreiber von Sendeanlagen und Übertragungsnetzen für Rundfunk können betroffen sein. Die Schwellenwerte orientieren sich an Reichweite und Versorgungsgrad.

Bin ich betroffen? Schwellenwerte und Selbstprüfung

Ob Ihr Unternehmen als KRITIS-Betreiber gilt, hängt davon ab, ob Sie die sektorspezifischen Schwellenwerte überschreiten. Diese Schwellenwerte sind in der BSI-KritisV für jede Anlagenkategorie festgelegt.

Schwellenwerte nach Sektoren

Die Schwellenwerte unterscheiden sich je nach Sektor und Anlagenkategorie erheblich. Sie basieren auf Versorgungsgrad (Anzahl versorgter Personen), Anlagenkapazität (z. B. Leistung in MW) oder Marktanteil.

Die vollständigen Schwellenwerte für alle Anlagenkategorien finden Sie in Anlage 1 bis 9 der BSI-KritisV. Diese sind auf der Website des BSI veröffentlicht.

Anlagenkategorien und Körbe erklärt

Die BSI-KritisV unterteilt jeden Sektor in Anlagenkategorien. Eine Anlagenkategorie beschreibt eine bestimmte Art von Anlage oder Dienstleistung, z. B. "Erzeugung von Elektrizität" oder "Verteilung von Trinkwasser".

Innerhalb einer Anlagenkategorie gibt es oft mehrere Körbe. Ein Korb ist eine Untergruppe von Anlagen mit vergleichbarer Funktion. Für jeden Korb gilt ein eigener Schwellenwert. Beispiel: Im Sektor Energie gibt es für die Stromerzeugung unterschiedliche Körbe für konventionelle Kraftwerke, erneuerbare Energien und Netzersatzanlagen.

Wenn Ihr Unternehmen in mehreren Körben tätig ist, müssen Sie für jeden Korb separat prüfen, ob der Schwellenwert überschritten wird. Eine Überschreitung in einem Korb reicht aus, um als KRITIS-Betreiber zu gelten.

Checkliste: 5 Fragen zur Selbsteinordnung

1. Ist Ihr Unternehmen in einem der neun KRITIS-Sektoren tätig? Prüfen Sie, ob Ihre Haupttätigkeit einem Sektor zugeordnet werden kann.
2. Welche Anlagenkategorie trifft auf Ihr Unternehmen zu? Identifizieren Sie die passende Kategorie in der BSI-KritisV.
3. Wie viele Personen versorgen Sie oder welche Kapazität betreiben Sie? Ermitteln Sie die relevante Kennzahl (Versorgungsgrad, Leistung, Marktanteil).
4. Überschreiten Sie den Schwellenwert für Ihre Anlagenkategorie? Vergleichen Sie Ihre Kennzahl mit dem Schwellenwert in der BSI-KritisV.
5. Haben Sie bereits eine Meldung an das BSI erhalten? Das BSI informiert Unternehmen, die nach seiner Einschätzung als KRITIS-Betreiber gelten.

Wo Unternehmen verbindliche Auskunft erhalten

Bei Unsicherheit wenden Sie sich direkt an das BSI. Die Behörde bietet eine Erstberatung und prüft auf Anfrage, ob Ihr Unternehmen unter die KRITIS-Regulierung fällt. Kontaktdaten und Formulare finden Sie auf der BSI-Website unter www.bsi.bund.de im Bereich "Kritische Infrastrukturen".

Pflichten für KRITIS-Unternehmen: Was Sie umsetzen müssen

KRITIS-Betreiber müssen umfassende Anforderungen an IT-Sicherheit, Meldewesen und Nachweisführung erfüllen. Die Pflichten sind im BSI-Gesetz und in der BSI-KritisV geregelt.

Registrierung beim BSI: Schritt für Schritt

Sobald Sie als KRITIS-Betreiber gelten, müssen Sie sich beim BSI registrieren. Die Registrierung erfolgt über das Melde- und Informationsportal (MIP) des BSI. Folgende Schritte sind erforderlich:

1. Zugang zum MIP beantragen: Registrieren Sie sich auf der MIP-Plattform und beantragen Sie einen Zugang für Ihr Unternehmen.
2. Kontaktdaten hinterlegen: Geben Sie einen Ansprechpartner für IT-Sicherheit und einen Vertreter der Geschäftsführung an.
3. Anlagendaten melden: Beschreiben Sie die betroffenen Anlagen, Anlagenkategorien und Körbe.
4. Nachweis der Betroffenheit: Legen Sie dar, dass Sie die Schwellenwerte überschreiten.
5. Bestätigung durch das BSI: Das BSI prüft Ihre Angaben und bestätigt die Registrierung.

Die Registrierung sollte zeitnah nach Überschreiten des Schwellenwerts erfolgen. Versäumnisse können als Ordnungswidrigkeit geahndet werden.

IT-Sicherheit: Welche Standards gelten

KRITIS-Betreiber müssen angemessene organisatorische und technische Vorkehrungen treffen, um Störungen der IT-Systeme zu vermeiden. Maßstab ist der Stand der Technik. Dieser umfasst bewährte Verfahren, Technologien und Methoden, die in der Praxis erprobt sind.

Zur Orientierung dienen branchenspezifische Sicherheitsstandards (B3S), die von Branchenverbänden in Zusammenarbeit mit dem BSI entwickelt wurden. Alternativ können Sie internationale Standards wie ISO 27001 anwenden, sofern diese die Anforderungen des BSI-Gesetzes erfüllen.

Das BSI kann die Einhaltung der Anforderungen überprüfen und bei Mängeln Anordnungen treffen. Unternehmen müssen nachweisen, dass sie den Stand der Technik umsetzen.

Meldepflichten: Vorfälle und Fristen

KRITIS-Betreiber müssen erhebliche Störungen ihrer IT-Systeme unverzüglich an das BSI melden. Eine Störung gilt als erheblich, wenn sie die Verfügbarkeit, Integrität oder Vertraulichkeit der IT-Systeme beeinträchtigt und Auswirkungen auf die Funktionsfähigkeit der kritischen Dienstleistung hat.

Die Meldung erfolgt über das MIP. Erhebliche IT-Sicherheitsvorfälle sind unverzüglich zu melden. Das BSI kann weitere Informationen anfordern und Maßnahmen zur Störungsbeseitigung empfehlen. Die Meldung dient auch dem Informationsaustausch zwischen KRITIS-Betreibern, um ähnliche Vorfälle zu verhindern.

Audits und Nachweise

KRITIS-Betreiber müssen die Umsetzung der Sicherheitsanforderungen regelmäßig durch einen unabhängigen Prüfer nachweisen lassen. Die Prüfung erfolgt durch einen vom BSI anerkannten Auditor oder durch eine Zertifizierung nach ISO 27001 auf Basis von IT-Grundschutz.

Die Prüfzyklen sind in der Regel alle zwei bis drei Jahre vorgesehen. Der Nachweis ist dem BSI nach Abschluss der Prüfung vorzulegen. Bei Mängeln kann das BSI Nachbesserungen verlangen und Fristen setzen.

Physische Sicherheit: Geplante Anforderungen

Durch das geplante KRITIS-Dachgesetz sollen künftig verpflichtende Standards für die physische Sicherheit von KRITIS-Anlagen eingeführt werden. Betreiber müssten dann Maßnahmen gegen unbefugten Zutritt, Sabotage und terroristische Angriffe ergreifen. Dazu gehören voraussichtlich Zugangskontrollen, Videoüberwachung, Umzäunung und Sicherheitspersonal.

Die konkreten Anforderungen sollen in einer Rechtsverordnung festgelegt werden. Betreiber sollten die Entwicklung beobachten und sich beim BSI über den aktuellen Stand informieren.

Dokumentationspflichten und Aufbewahrungsfristen

KRITIS-Betreiber müssen alle sicherheitsrelevanten Maßnahmen, Vorfälle und Prüfungen dokumentieren. Die Dokumentation muss nachvollziehbar und für Prüfer zugänglich sein. Aufbewahrungsfristen richten sich nach den allgemeinen Vorgaben des BSI-Gesetzes.

Geplante Änderungen: KRITIS-Dachgesetz

Das KRITIS-Dachgesetz befindet sich in Vorbereitung und soll die Anforderungen an KRITIS-Betreiber erweitern. Zu den diskutierten Neuerungen gehören:

• Physische Sicherheit: Betreiber sollen Schutzmaßnahmen gegen physische Bedrohungen nachweisen müssen. Die Details sollen in einer Rechtsverordnung geregelt werden.
• Erweiterte Meldepflichten: Neben IT-Sicherheitsvorfällen sollen künftig auch physische Sicherheitsvorfälle gemeldet werden. Dazu zählen voraussichtlich Einbrüche, Sabotageakte und Angriffe auf Anlagen.
• Resilienzpflicht: Betreiber sollen Notfallpläne erstellen und regelmäßig testen müssen. Die Pläne sollen sicherstellen, dass kritische Dienstleistungen auch bei Störungen aufrechterhalten werden.
• Verhältnis zu NIS-2: Das KRITIS-Dachgesetz und das NIS-2-Umsetzungsgesetz sollen aufeinander abgestimmt werden. Unternehmen, die unter beide Regelwerke fallen, sollen einheitliche Ansprechpartner beim BSI erhalten.

Unternehmen sollten die Gesetzgebung verfolgen und sich beim BSI über den aktuellen Stand informieren.

Unterschied KRITIS und NIS-2: Welches Gesetz gilt für wen?

KRITIS und NIS-2 verfolgen unterschiedliche Ziele und erfassen unterschiedliche Unternehmen. KRITIS ist die nationale Regulierung für systemrelevante Betreiber, während NIS-2 die Cybersicherheit in einem breiteren Spektrum von Unternehmen stärken soll.

KRITIS richtet sich an Betreiber, deren Ausfall erhebliche Auswirkungen auf die Versorgung der Bevölkerung hätte. Die Schwellenwerte sind hoch, die Anforderungen umfassend. Zuständig ist das BSI.

NIS-2 erfasst wesentliche und wichtige Einrichtungen in 18 Sektoren. Die Schwellenwerte sind niedriger als bei KRITIS, sodass auch mittelständische Unternehmen betroffen sein können. NIS-2 konzentriert sich auf Cybersicherheit und Lieferketten.

Überschneidungen: Viele KRITIS-Betreiber fallen auch unter NIS-2. In diesen Fällen gelten beide Regelwerke. Die KRITIS-Pflichten gehen in der Regel weiter, insbesondere bei Audit-Zyklen. Das BSI koordiniert die Aufsicht, um Doppelprüfungen zu vermeiden.

Praktische Folge: Unternehmen sollten zunächst prüfen, ob sie KRITIS-Betreiber sind. Ist dies nicht der Fall, prüfen Sie, ob Sie unter NIS-2 fallen. Bei Unsicherheit wenden Sie sich an das BSI oder an Ihre Branchenverbände.

Praxis: So setzen KRITIS-Unternehmen die Anforderungen um

Die Umsetzung der KRITIS-Anforderungen stellt insbesondere mittelständische Unternehmen vor Herausforderungen. Typische Hürden sind begrenzte Ressourcen, fehlendes Fachwissen und die Komplexität der Vorschriften.

Interne Organisation: Benennen Sie einen Informationssicherheitsbeauftragten (ISB) oder Chief Information Security Officer (CISO), der die Umsetzung koordiniert. Diese Person sollte direkt an die Geschäftsführung berichten und über ausreichende Befugnisse verfügen. Zusätzlich empfiehlt sich ein Sicherheitsteam, das IT-Sicherheit, physische Sicherheit und Notfallmanagement abdeckt.

Externe Unterstützung: Viele Unternehmen arbeiten mit spezialisierten Beratern, Auditoren und Zertifizierungsstellen zusammen. Branchenverbände bieten Schulungen und Musterdokumente an. Die Öffentlich-Private Partnerschaft UP KRITIS ermöglicht den Austausch mit anderen Betreibern und dem BSI.

Kosten und Aufwand: Die Kosten hängen von Größe, Sektor und Ausgangslage ab. Typische Posten sind Beratung, Audit-Gebühren, Investitionen in IT-Sicherheitstechnik und Personalkosten. Der Aufwand variiert je nach Unternehmen erheblich.

UP KRITIS: Die Plattform UP KRITIS bietet Arbeitskreise, Leitfäden und Veranstaltungen. Die Teilnahme ist freiwillig, wird aber vom BSI empfohlen. Informationen finden Sie auf www.bsi.bund.de.

Häufige Fragen zu KRITIS-Unternehmen

Welche Firmen gehören zu KRITIS?

Unternehmen in den neun KRITIS-Sektoren (Energie, Wasser, Ernährung, IT/Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Staat und Verwaltung, Medien und Kultur), die gesetzliche Schwellenwerte überschreiten. Beispiele: Kraftwerksbetreiber, Wasserversorger, Krankenhäuser, Banken, Flughäfen.

Was passiert bei Nichteinhaltung?

Verstöße gegen KRITIS-Pflichten sind Ordnungswidrigkeiten. Das BSI kann Bußgelder verhängen. Zusätzlich kann die Behörde Anordnungen zur Mängelbeseitigung erlassen.

Wie oft muss ich melden?

Sie müssen erhebliche IT-Sicherheitsvorfälle unverzüglich melden, sobald sie auftreten. Es gibt keine regelmäßige Meldepflicht, sondern nur eine anlassbezogene.

Gilt KRITIS auch für Zulieferer?

Zulieferer fallen nicht automatisch unter KRITIS, es sei denn, sie erfüllen selbst die Kriterien (Sektor und Schwellenwert). KRITIS-Betreiber müssen jedoch sicherstellen, dass auch ihre Zulieferer angemessene Sicherheitsmaßnahmen treffen, wenn diese für kritische Prozesse relevant sind.

Wo finde ich die aktuellen Schwellenwerte?

Die vollständigen Schwellenwerte stehen in der BSI-Kritisverordnung (BSI-KritisV), Anlage 1 bis 9. Diese ist auf www.bsi.bund.de veröffentlicht. Bei Fragen wenden Sie sich direkt an das BSI.