ENKontakt
Gilt fürDEAT

KRITIS

Kritische Infrastrukturen — verschärfte BSIG-Pflichten

· Kategorie: NIS2 · Compliance-Kit

TL;DR

KRITIS (Kritische Infrastrukturen) nach BSIG sind Anlagen, Systeme oder Teile davon, die der Versorgung der Bevölkerung mit lebenswichtigen Gütern und Dienstleistungen dienen — und deren Ausfall erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit verursachen würde. Mit NIS2UmsuCG verstärkt: KRITIS sind 'besonders wichtige Einrichtungen'.

Was ist KRITIS?

9 KRITIS-Sektoren nach BSI-KritisV:

  1. Energie
  2. Wasser
  3. Ernährung
  4. Informationstechnik und Telekommunikation
  5. Gesundheit
  6. Finanz- und Versicherungswesen
  7. Transport und Verkehr
  8. Medien und Kultur
  9. Staat und Verwaltung

Schwellenwerte definiert in der KritisV (z.B. Energie: 500.000 versorgte Personen).

Praxisbeispiel

Typische KRITIS-Beispiele:

  • Stromnetzbetreiber ab 500.000 versorgten Personen
  • Stadtwerke (Energie + Wasser)
  • Krankenhäuser ab 30.000 vollstationären Fällen/Jahr
  • Großflughäfen (Frankfurt, München, Düsseldorf)
  • Großbanken

KRITIS in Deutschland und Österreich

Der KRITIS-Begriff ist eine deutsche Besonderheit. Beim Nachweis der Umsetzung unterscheiden sich beide Rechtsräume erheblich:

Deutschland: Der KRITIS-Begriff (Betreiber kritischer Anlagen) und die sektoralen Schwellenwerte folgen dem BSIG und der BSI-KritisV. Betreiber kritischer Anlagen müssen die Umsetzung ihrer Risikomanagementmaßnahmen (§ 30 BSIG) frühestens drei Jahre nach erstmaliger Einstufung und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen (§ 39 Abs. 1 BSIG). Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Österreich: Das österreichische NISG 2026 (BGBl. I Nr. 94/2025) kennt keine eigene 'KRITIS'- bzw. 'kritische Anlagen'-Systematik nach BSI-KritisV. Das funktionale Pendant sind die 'wesentlichen Einrichtungen' (§ 24 NISG 2026). Die Umsetzung der Risikomanagementmaßnahmen ist nach § 33 NISG 2026 nachzuweisen: Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht und — auf Aufforderung — Nachweis binnen zwei Jahren durch eine unabhängige Stelle (wesentliche Einrichtungen müssen die operative und organisatorische Umsetzung binnen zwei Monaten nach Aufforderung nachweisen). Zuständige Behörde ist die Cybersicherheitsbehörde.

Häufig gestellte Fragen

KRITIS = wesentliche Einrichtung?
KRITIS ist Untermenge der wesentlichen Einrichtungen. KRITIS sind 'besonders wichtige Einrichtungen' mit zusätzlichen Pflichten (Nachweis der Umsetzung alle drei Jahre nach § 39 Abs. 1 BSIG, höhere Standards).
Was prüft das BSI?
Betreiber kritischer Anlagen müssen die Umsetzung ihrer Risikomanagementmaßnahmen (§ 30 BSIG) frühestens drei Jahre nach erstmaliger Einstufung und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen (§ 39 Abs. 1 BSIG). Die Ergebnisse einschließlich aufgedeckter Sicherheitsmängel sind an das BSI zu übermitteln; externe Auditoren werden benötigt. (Der frühere 2-Jahres-Turnus aus § 8a Abs. 3 BSIG-alt gilt unter dem BSIG 2025 nicht mehr.)
Wer prüft, ob ich KRITIS bin?
Sektor-Aufsichten + BSI. Selbst-Klassifizierung in BSI-Registrierung. Bei Streit: BSI entscheidet.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.