KRITIS-Verordnung: Sektoren, Schwellenwerte und Pflichten 2026

Was ist die KRITIS-Verordnung? Definition und Zweck

Die KRITIS-Verordnung (offiziell: BSI-Kritisverordnung, BSI-KritisV) konkretisiert das BSI-Gesetz und legt fest, welche Anlagen in Deutschland aufgrund ihrer Bedeutung für die öffentliche Versorgung als kritische Infrastrukturen gelten – durch Definition von Sektoren, Anlagenkategorien und quantitativen Schwellenwerten.

Die Verordnung dient dem Schutz kritischer Infrastrukturen vor IT-Sicherheitsvorfällen. Sie definiert präzise, ab welcher Größe oder Versorgungsreichweite eine Anlage als kritisch einzustufen ist. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) setzt die Verordnung um und führt das Register der KRITIS-Betreiber.

KRITIS als Oberbegriff bezeichnet alle Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit zur Folge hätte. Die BSI-KritisV konkretisiert diesen Begriff durch messbare Kriterien.

Die acht KRITIS-Sektoren und ihre Anlagenkategorien

Die BSI-KritisV umfasst acht Sektoren mit jeweils mehreren Anlagenkategorien, die in den Anhängen der Verordnung detailliert aufgeführt sind.

Energie

Der Sektor Energie umfasst Anlagen zur Erzeugung und Verteilung von Strom, Gas, Mineralöl und Fernwärme. Schwellenwerte orientieren sich an der Anzahl versorgter Personen oder der installierten Leistung.

Wasser

Zur Wasserversorgung zählen Anlagen zur Gewinnung, Aufbereitung und Verteilung von Trinkwasser sowie zur Abwasserbeseitigung. Maßgeblich ist die Anzahl versorgter oder entsorgter Personen.

Ernährung

Dieser Sektor erfasst Anlagen zur Produktion und zum Handel mit Lebensmitteln, die eine bestimmte Anzahl von Personen versorgen oder eine definierte Produktionskapazität überschreiten.

Informationstechnik und Telekommunikation

IT- und TK-Anlagen gelten als kritisch, wenn sie eine bestimmte Anzahl von Teilnehmern versorgen oder eine definierte Rechenleistung beziehungsweise Speicherkapazität bereitstellen.

Gesundheit

Krankenhäuser, Labore und Einrichtungen zur Versorgung mit Arzneimitteln fallen unter diesen Sektor, wenn sie eine Mindestanzahl von Patienten behandeln oder versorgen.

Finanz- und Versicherungswesen

Anlagen zur Bargeldversorgung, zum Zahlungsverkehr und zu Finanzdienstleistungen sind kritisch, wenn sie ein bestimmtes Transaktionsvolumen oder eine Mindestanzahl von Kunden erreichen.

Transport und Verkehr

Flughäfen, Häfen, Bahnhöfe und Logistikzentren gelten als kritisch, wenn sie eine definierte Anzahl von Passagieren oder Gütern abfertigen.

Weitere Sektoren

Die Sozialversicherung und Siedlungsabfallentsorgung ergänzen die klassischen Sektoren. Hier zählen Versichertenzahlen beziehungsweise entsorgte Abfallmengen.

BSI-KritisV Schwellenwerte: Wann gilt eine Anlage als kritisch?

Eine Anlage gilt als kritisch, wenn sie einen in der BSI-KritisV definierten Schwellenwert überschreitet – etwa eine bestimmte Anzahl versorgter Personen oder eine Mindestkapazität in der jeweiligen Anlagenkategorie.

Die Schwellenwerte sind in den Anhängen der BSI-KritisV für jede Anlagenkategorie einzeln festgelegt. Sie orientieren sich an der Versorgungsreichweite, der installierten Leistung, der Produktionskapazität oder der Anzahl der Nutzer. Die Verordnung definiert Schwellenwerte so, dass bei deren Überschreitung ein Ausfall erhebliche Auswirkungen auf die öffentliche Versorgung hätte.

Beispiele für Schwellenwerte (Auswahl aus den Anhängen der BSI-KritisV):

• Elektrizitätsversorgung: Versorgung von mindestens 500.000 Personen (Anhang 1)
• Trinkwasserversorgung: Versorgung von mindestens 500.000 Personen (Anhang 2)
• Krankenhäuser: Vollstationäre Behandlung von mindestens 30.000 Patienten pro Jahr (Anhang 5)
• Telekommunikation: Versorgung von mindestens 500.000 Teilnehmern (Anhang 4)

Die vollständigen Schwellenwerte für alle Anlagenkategorien finden Sie in den Anhängen 1 bis 8 der BSI-KritisV. Betreiber müssen jährlich bis zum 31. März prüfen, ob ihre Anlagen die Schwellenwerte überschreiten, und diese Prüfung dokumentieren.

Das Schwellenwertkonzept ermöglicht eine objektive Bestimmung der Kritikalität. Es vermeidet Ermessensspielräume und schafft Rechtssicherheit für Betreiber.

KRITIS-Betreiber Pflichten nach BSI-KritisV

KRITIS-Betreiber müssen sich beim BSI registrieren, technische und organisatorische IT-Sicherheitsmaßnahmen umsetzen, diese alle zwei Jahre nachweisen, eine Kontaktstelle benennen und IT-Sicherheitsvorfälle melden.

Registrierung beim BSI

Betreiber müssen sich innerhalb von sechs Monaten nach Überschreiten des Schwellenwerts beim BSI registrieren. Die Registrierung erfolgt über das BSI-Portal und umfasst Angaben zu Sektor, Anlagenkategorie, Standort und Kontaktstelle.

Technische und organisatorische Maßnahmen

Die IT-Sicherheitsmaßnahmen müssen dem Stand der Technik entsprechen. Sie umfassen unter anderem Zugangskontrollen, Verschlüsselung, Notfallpläne, Backup-Systeme und regelmäßige Sicherheitstests. Die konkreten Anforderungen richten sich nach branchenspezifischen Sicherheitsstandards (B3S – Branchenspezifische Sicherheitsstandards).

Nachweis der Maßnahmen

Betreiber müssen alle zwei Jahre nachweisen, dass sie die erforderlichen Maßnahmen umgesetzt haben. Der Nachweis kann durch Zertifizierung nach ISO 27001 oder einem branchenspezifischen Standard, durch ein Sicherheitsaudit oder durch eine Sicherheitsberatung des BSI erfolgen.

Kontaktstelle und Meldepflicht

Betreiber benennen eine Kontaktstelle für IT-Sicherheit, die als Ansprechpartner für das BSI dient. Erhebliche IT-Sicherheitsvorfälle – etwa Angriffe, die die Verfügbarkeit, Integrität oder Vertraulichkeit der IT-Systeme beeinträchtigen – müssen unverzüglich an das BSI gemeldet werden.

BSI-Kritisverordnung: Änderungen und Entwicklungen

Die BSI-KritisV wird regelmäßig evaluiert und angepasst. Änderungsverordnungen aktualisieren Schwellenwerte und Anlagenkategorien auf Basis der Evaluierung unter Beteiligung von Wirtschaftsverbänden.

Die BSI-KritisV sieht einen regelmäßigen Evaluierungszyklus vor. Das Bundesministerium des Innern und für Heimat (BMI) prüft gemeinsam mit dem BSI, ob Anpassungen erforderlich sind. Dabei werden Wirtschaftsverbände und Fachkreise beteiligt.

Änderungsverordnungen passen einzelne Schwellenwerte an die aktuelle Versorgungsstruktur an und präzisieren Anlagenkategorien. Ziel ist es, technologische Entwicklungen und Veränderungen in der Versorgungslandschaft abzubilden.

Für Betreiber, die durch Anpassungen erstmals unter die Verordnung fallen, gelten in der Regel Übergangsfristen für die Registrierung und den ersten Nachweis. Die genauen Fristen sind in der jeweiligen Änderungsverordnung geregelt.

Abgrenzung: BSI-KritisV, NIS2 und KRITIS-Dachgesetz

Die BSI-KritisV fokussiert auf IT-Sicherheit für klassische KRITIS, NIS2 erweitert den Kreis auf weitere Einrichtungen, das KRITIS-Dachgesetz ergänzt physischen Schutz und Resilienzpflichten.

BSI-KritisV: IT-Sicherheit für klassische KRITIS

Die BSI-KritisV regelt seit 2016 die IT-Sicherheit für Betreiber kritischer Infrastrukturen. Sie erfasst Anlagen in acht Sektoren und konzentriert sich auf den Schutz vor Cyberangriffen und IT-Störungen.

NIS2-Umsetzungsgesetz: Erweiterter Anwendungsbereich

Das NIS2-Umsetzungsgesetz erweitert den Kreis der verpflichteten Einrichtungen erheblich. Es erfasst Unternehmen in 18 Sektoren – darunter auch kleinere Einrichtungen und neue Bereiche wie digitale Dienste, Raumfahrt oder Abfallwirtschaft. Die Pflichten ähneln denen der BSI-KritisV, sind aber teilweise weniger streng.

KRITIS-Dachgesetz: Physischer Schutz und Resilienz

Das KRITIS-Dachgesetz ergänzt die IT-Sicherheitspflichten der BSI-KritisV um physischen Schutz kritischer Anlagen (z. B. gegen Sabotage, Naturkatastrophen) und setzt die europäische CER-Richtlinie um – mit Pflicht zu Risikoanalyse und Resilienzplan. Es fokussiert auf die physische Widerstandsfähigkeit und Wiederherstellungsfähigkeit kritischer Anlagen. Der Kabinettsbeschluss erfolgte im September 2025.

Prüflogik: Bin ich KRITIS-Betreiber?

Zur Prüfung der Betroffenheit identifizieren Sie zunächst Sektor und Anlagenkategorie Ihrer Einrichtung, vergleichen dann Ihre Kapazität oder Versorgungsreichweite mit den Schwellenwerten der BSI-KritisV und nutzen das BSI-Portal zur Betroffenheitsprüfung.

Schritt 1: Sektor und Anlagenkategorie identifizieren

Prüfen Sie, ob Ihre Einrichtung einem der acht Sektoren zuzuordnen ist. Gleichen Sie Ihre Tätigkeit mit den Anlagenkategorien in den Anhängen der BSI-KritisV ab.

Schritt 2: Schwellenwert prüfen

Ermitteln Sie die relevante Kennzahl für Ihre Anlagenkategorie – etwa die Anzahl versorgter Personen, die installierte Leistung oder die Produktionskapazität. Vergleichen Sie diese mit dem Schwellenwert in der Verordnung.

Schritt 3: Jährliche Prüfung dokumentieren

Betreiber müssen jährlich bis zum 31. März prüfen, ob ihre Anlagen die Schwellenwerte überschreiten. Dokumentieren Sie diese Prüfung schriftlich. Bei Überschreitung des Schwellenwerts besteht Registrierungspflicht.

Schritt 4: BSI-Portal nutzen

Das BSI stellt auf kritis-portal.de ein Tool zur Betroffenheitsprüfung bereit. Es führt Sie durch die Prüfschritte und gibt eine erste Einschätzung.

Schritt 5: Bei Unsicherheit Beratung einholen

Bei Zweifelsfragen zur Einordnung oder bei komplexen Unternehmensstrukturen kann die Konsultation eines Fachanwalts für IT-Recht sinnvoll sein. Sie können sich auch direkt an das BSI wenden. Eine Fehleinschätzung kann zu Bußgeldern führen.

Handlungsschritte für betroffene Betreiber

Betroffene Betreiber registrieren sich beim BSI, führen eine Risikoanalyse durch, implementieren IT-Sicherheitsmaßnahmen nach Stand der Technik, benennen eine Kontaktstelle, richten Meldeprozesse ein und halten Dokumentations- und Prüfzyklen ein.

1. Registrierung beim BSI vornehmen: Nutzen Sie das Online-Portal des BSI. Halten Sie die Sechsmonatsfrist nach Überschreiten des Schwellenwerts ein.
2. Risikoanalyse durchführen: Identifizieren Sie IT-Sicherheitsrisiken für Ihre Anlagen. Berücksichtigen Sie Bedrohungen wie Cyberangriffe, technische Ausfälle und menschliches Versagen. Unter dem KRITIS-Dachgesetz erweitern Sie die Analyse um physische Risiken.
3. IT-Sicherheitsmaßnahmen implementieren: Setzen Sie technische und organisatorische Maßnahmen nach Stand der Technik um. Orientieren Sie sich an branchenspezifischen Sicherheitsstandards (B3S) oder ISO 27001.
4. Kontaktstelle benennen und Meldeprozesse einrichten: Benennen Sie eine qualifizierte Person als Kontaktstelle für IT-Sicherheit. Etablieren Sie interne Prozesse zur Erkennung und Meldung erheblicher IT-Sicherheitsvorfälle.
5. Dokumentation und Prüfzyklen einhalten: Dokumentieren Sie alle Maßnahmen und Prüfungen. Lassen Sie alle zwei Jahre einen Nachweis durch Zertifizierung, Audit oder BSI-Beratung erstellen. Führen Sie jährlich die Schwellenwertprüfung durch.
6. BSI-Leitfäden und Beratungsangebote nutzen: Das BSI stellt umfangreiche Leitfäden, Checklisten und Schulungen bereit. Nutzen Sie diese Angebote zur Umsetzung Ihrer Pflichten.

Bei rechtlichen Detailfragen kann die Konsultation eines Fachanwalts für IT-Recht oder Compliance sinnvoll sein. Das BSI bietet zudem eine Sicherheitsberatung für KRITIS-Betreiber an.