Betreiber kritischer Anlagen
KRITIS: Pflichten für Ihre ITund wie sie sich von NIS2 abgrenzen
Wer Strom, Wasser, Gesundheitsversorgung oder Transport für viele Menschen sicherstellt, betreibt möglicherweise eine kritische Anlage. Für diese Betreiber gelten strengere Pflichten als für die übrigen NIS2-Unternehmen, außerdem kommen mit dem KRITIS-Dachgesetz Anforderungen an den physischen Schutz hinzu. Wir helfen Ihnen, die IT-Pflichten umzusetzen und gegenüber dem BSI zu belegen.
Bin ich KRITIS oder NIS2?
Seit dem 6. Dezember 2025 gilt das neue BSI-Gesetz, mit dem Deutschland die NIS2-Richtlinie umsetzt. Es unterscheidet besonders wichtige und wichtige Einrichtungen. Ob ein Unternehmen dazugehört, richtet sich nach Sektor, Zahl der Beschäftigten, Umsatz und Bilanzsumme. Die Betreiber kritischer Anlagen bilden eine Teilmenge der besonders wichtigen Einrichtungen, und zwar unabhängig von ihrer Unternehmensgröße.
Ob eine Anlage kritisch ist, hängt davon ab, wie viele Menschen sie versorgt. Die Schwellenwerte dafür legt eine Rechtsverordnung fest, bisher die BSI-Kritisverordnung, die meist mit einem Regelwert von 500.000 versorgten Personen arbeitet. Ein Stadtwerk kann also KRITIS-Betreiber sein, während ein größerer Industriebetrieb nur als wichtige Einrichtung unter NIS2 fällt. Wir klären mit Ihnen, welche Anlagen in Frage kommen, die verbindliche Einordnung trifft Ihre Rechtsberatung.
KRITIS und NIS2 im Vergleich
| Wer erfasst ist | NIS2: Unternehmen bestimmter Sektoren ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme. KRITIS: Betreiber von Anlagen, die die Schwellenwerte der Rechtsverordnung erreichen. |
| Maßnahmen | NIS2: geeignete, verhältnismäßige und wirksame Maßnahmen zum Risikomanagement (§ 30 BSIG). KRITIS: für die Systeme der Anlage zusätzlich strengere Maßnahmen (§ 31 BSIG). |
| Angriffserkennung | Für Betreiber kritischer Anlagen ausdrücklich vorgeschrieben, unter Berücksichtigung des Stands der Technik (§ 31 Abs. 2 BSIG). |
| Nachweise | KRITIS: Prüfung durch Audits, Prüfungen oder Zertifizierungen und Übermittlung an das BSI alle drei Jahre (§ 39 BSIG). Bei den übrigen Einrichtungen kann das BSI Nachweise anfordern. |
| Meldepflichten | Für beide gleich: Erstmeldung erheblicher Sicherheitsvorfälle spätestens nach 24 Stunden, Meldung nach 72 Stunden, Abschlussmeldung nach einem Monat (§ 32 BSIG). |
| Geschäftsleitung | Für beide gleich: Sie muss die Maßnahmen umsetzen, ihre Einhaltung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG). |
Die Angaben beziehen sich auf das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes. Sonderregeln, etwa für Energie, Telekommunikation und Finanzunternehmen, prüfen wir im Einzelfall.
Das KRITIS-Dachgesetz kommt hinzu
Seit März 2026 gilt außerdem das KRITIS-Dachgesetz. Es regelt den physischen Schutz und die Widerstandsfähigkeit kritischer Anlagen, also zum Beispiel Schutz vor Sabotage, Naturereignissen oder Stromausfall. Zuständig ist hier das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, während die IT-Sicherheit beim BSI und im BSI-Gesetz bleibt.
Betreiber sollen nach dem Gesetz Risikoanalysen erstellen, Resilienzmaßnahmen in einem Plan festhalten und erhebliche Störungen melden. Welche Anlagen genau erfasst sind und ab wann welche Frist läuft, hängt an einer neuen KRITIS-Verordnung, die im Mai 2026 als Entwurf vorgelegt wurde und Schwellenwerte teilweise absenken soll. Diesen Stand verfolgen wir und sagen Ihnen im Gespräch, was aktuell gilt.
Was das für Ihre IT bedeutet
- Ein Rollen- und Berechtigungskonzept, mit dem Sie belegen, wer auf die Systeme der Anlage zugreifen darf
- Getrennte Konten für Verwaltungsaufgaben und MFA für jeden Zugang, auch für Fernwartung durch Dienstleister
- Systeme zur Angriffserkennung, die Ereignisse laufend auswerten, und klare Zuständigkeiten für Alarme
- Härtung und geordnetes Patchen, abgestimmt auf Betriebszeiten und Herstellerfreigaben
- Backup mit dokumentiertem Wiederherstellungstest und ein Notfallplan für den Ausfall zentraler Systeme
- Ein eingeübter Meldeweg, damit die Erstmeldung innerhalb von 24 Stunden möglich ist
- Eine Kontaktstelle, die für das BSI erreichbar ist
- Unterlagen, die für die Prüfung nach § 39 BSIG vollständig vorliegen
Wie wir Sie unterstützen
- 01
Einordnung
Wir gehen mit Ihnen durch, welche Anlagen und Systeme betroffen sein können, und bereiten die Fragen für Ihre Rechtsberatung vor.
- 02
Lückenanalyse
Wir vergleichen Ihre IT mit den Anforderungen aus §§ 30 und 31 BSIG und ordnen die Lücken nach Risiko und Aufwand.
- 03
Umsetzung
Wir setzen Berechtigungen, Angriffserkennung, Härtung, Backup und Vorfallprozess in Stufen im laufenden Betrieb um.
- 04
Vorbereitung auf die Prüfung
Wir stellen die Nachweise so zusammen, dass Ihre Prüfstelle damit arbeiten kann, und begleiten Sie bei Rückfragen technisch.
Rechtsstand mit Vorbehalt
Das Recht der kritischen Infrastrukturen wird gerade neu geordnet. Die neue KRITIS-Verordnung und weitere Vorgaben von BSI und BBK stehen teilweise noch aus. Wir formulieren deshalb vorsichtig und prüfen den aktuellen Stand, bevor wir Ihnen eine Frist oder Pflicht nennen.
Stand:
FAQ
Häufige Fragen
Bin ich KRITIS oder NIS2?
Das entscheidet sich an Ihren Anlagen und nicht allein an der Unternehmensgröße. Erreicht eine Anlage die Schwellenwerte der Rechtsverordnung, sind Sie Betreiber einer kritischen Anlage, andernfalls fallen Sie je nach Sektor und Größe möglicherweise als wichtige oder besonders wichtige Einrichtung unter NIS2.
Was ist der Unterschied zwischen KRITIS und NIS2?
KRITIS-Betreiber sind eine Teilmenge der NIS2-Einrichtungen mit zusätzlichen Pflichten. Dazu gehören strengere Maßnahmen für die Systeme der Anlage, Systeme zur Angriffserkennung und ein Nachweis gegenüber dem BSI alle drei Jahre.
Was regelt das KRITIS-Dachgesetz?
Es regelt den physischen Schutz und die Widerstandsfähigkeit kritischer Anlagen. Zuständig ist das BBK, die IT-Sicherheit bleibt im BSI-Gesetz geregelt. Viele Einzelheiten hängen noch an einer Verordnung.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
Eine erste Meldung an das BSI ist spätestens 24 Stunden nach Kenntnis fällig, die eigentliche Meldung nach 72 Stunden und eine Abschlussmeldung nach einem Monat. Die Meldung gibt Ihr Unternehmen ab, wir liefern die technischen Informationen dazu.
Wie oft müssen KRITIS-Betreiber Nachweise erbringen?
Nach dem neuen BSI-Gesetz alle drei Jahre statt bisher alle zwei. Den ersten Termin legt das BSI fest, und für bisherige Betreiber gibt es Übergangsregeln.
Haftet die Geschäftsleitung?
Ja, bei schuldhafter Verletzung ihrer Pflichten haftet sie nach den Regeln des Gesellschaftsrechts. Sie muss die Maßnahmen umsetzen, deren Einhaltung überwachen und regelmäßig an Schulungen teilnehmen.
Führen Sie die Prüfung nach § 39 BSIG durch?
Nein, die Prüfung übernimmt eine unabhängige Prüfstelle. Wir bereiten Ihre IT und die Unterlagen darauf vor und beantworten technische Rückfragen.
KRITIS
Wo steht Ihre Anlage?
In einem kurzen Gespräch klären wir, welche Pflichten für Sie in Frage kommen und was als Erstes zu tun ist.