Definition: KRITIS (Kritische Infrastrukturen)
KRITIS ist die deutsche gesetzliche Einstufung, definiert im BSI-Gesetz und konkretisiert durch die BSI-KritisV, für Organisationen, deren Ausfall zu anhaltenden Versorgungsengpässen oder erheblichen Störungen der öffentlichen Sicherheit führen würde.
Kernmerkmale von KRITIS
Ein Unternehmen wird KRITIS-Betreiber, sobald es einen sektorspezifischen Versorgungsschwellenwert überschreitet, nicht allein durch seine Branchenzugehörigkeit. Die Einstufung bringt verbindliche Pflichten gegenüber dem BSI mit sich, keine freiwillige Selbstverpflichtung.
- Zehn regulierte Sektoren: Energie, Wasser, Ernährung, IT/Telekommunikation, Gesundheit, Finanzen/Versicherung, Verkehr, Medien/Kultur, Staat/Verwaltung, Siedlungsabfallentsorgung
- Regelschwelle von 500.000 versorgten Personen nach der BSI-KritisV
- Verpflichtende Registrierung im Melde- und Informationsportal des BSI
- Kontinuierliche IT-Sicherheitsmaßnahmen nach dem Stand der Technik
KRITIS vs. NIS2
NIS2 ist die EU-weite Cybersicherheitsrichtlinie, die jeder Mitgliedstaat in nationales Recht umsetzen muss. KRITIS ist Deutschlands eigene, ältere Einstufung für die kritischsten Betreiber, jetzt eingebettet in den breiteren NIS2-Rahmen: Ein KRITIS-Betreiber gilt automatisch als “besonders wichtige Einrichtung” nach der deutschen NIS2-Umsetzung, wodurch zusätzliche Governance-Pflichten auf die älteren KRITIS-Regeln aufgesetzt werden.
Bedeutung von KRITIS im Enterprise-KI-Umfeld
Der KRITIS-Status prägt direkt, wie ein Unternehmen KI einsetzen darf. Nach der EU-KI-Verordnung gelten KI-Systeme als Sicherheitsbauteile in der Energie-, Wasser- oder Gasversorgung als Hochrisiko-KI-Systeme, was Konformitätsbewertung und menschliche Aufsicht vor der Inbetriebnahme erfordert. Laut der Bitkom-Studie Wirtschaftsschutz 2025 stieg der Anteil der Unternehmen, die Cyberangriffe ausländischen Nachrichtendiensten zuschreiben, von 7 auf 28 Prozent zwischen 2023 und 2025, wobei Energieversorger besonders im Fokus standen.
Methoden und Verfahren für KRITIS
Die Feststellung und Aufrechterhaltung des KRITIS-Status folgt einer festen Abfolge von Compliance-Schritten.
Schwellenwert-Selbsteinschätzung
Jedes Unternehmen in einem regulierten Sektor muss regelmäßig seine Versorgungsvolumina gegen die BSI-KritisV-Schwellenwerte prüfen, bevor das BSI von sich aus Kontakt aufnimmt.
- Jährliche Berechnung versorgter Personen oder vergleichbarer Kennzahlen
- Abgleich der Ergebnisse mit dem geltenden Schwellenwert
- Dokumentation der Einschätzung für Prüfzwecke
Umsetzung von BSI IT-Grundschutz
Nach der Einstufung müssen Betreiber ein Informationssicherheits-Managementsystem nach BSI IT-Grundschutz betreiben, dem Kontrollkatalog, an dem KRITIS-Prüfungen gemessen werden.
Meldepflicht nach Paragraph 32 BSIG
Paragraph 32 BSIG verpflichtet Betreiber, erhebliche IT-Sicherheitsvorfälle unverzüglich an das BSI zu melden, über eine Erstmeldung, eine Zwischenmeldung und eine Abschlussmeldung im Melde- und Informationsportal (MIP).
Wichtige Kennzahlen für KRITIS
Betreiber verfolgen sowohl Compliance- als auch Resilienz-Kennzahlen, um ihre Einsatzbereitschaft nachzuweisen.
Operative Compliance-Kennzahlen
- Erstmeldung innerhalb von 24 Stunden: Zielwert 100 %
- Prüfungsfeststellungen fristgerecht geschlossen: Zielwert >95 %
- Systeme mit IT-Grundschutz-Baseline abgedeckt: Zielwert 100 %
- Jährlich getestete Notfallpläne: Zielwert 100 %
Strategische Resilienz-Kennzahlen
Über reine Compliance-Kennzahlen hinaus werden Betreiber zunehmend an tatsächlichen Resilienzergebnissen gemessen. Das BSI meldete zum 30. Juni 2026 insgesamt 1.231 registrierte KRITIS-Betreiber mit 2.180 Anlagen, ein Beleg für den Umfang der Aufsicht seit Inkrafttreten des KRITIS-Dachgesetzes.
Qualitäts- und Prüfkennzahlen
Ausgereifte Programme verfolgen die Vollständigkeit der Nachweise für den zweijährigen Prüfzyklus sowie die Zeit bis zur Behebung festgestellter Kontrolllücken.
Risikofaktoren und Kontrollen bei KRITIS
KRITIS-Betreiber tragen Risiken, die über gewöhnliche IT-Sicherheit hinausgehen.
Regulatorisches und Haftungsrisiko
Eine verpasste Registrierungsfrist oder eine verspätete Meldung zieht unmittelbare regulatorische Folgen und persönliches Haftungsrisiko für die Geschäftsleitung nach sich.
- Bußgelder bei Verstößen gegen Registrierungs- oder Meldepflichten
- Persönliche Haftung der Geschäftsführung nach Paragraph 38 BSIG
- Reputationsschäden durch öffentliche Vorfallmeldungen
Lieferketten- und Drittparteirisiko
Betreiber sind auf Lieferanten, Cloud-Anbieter und KI-Integratoren angewiesen, die selbst nicht reguliert sind, deren Ausfälle sich jedoch direkt auf die Lieferkette auswirken. Vertragliche Sicherheitsanforderungen und Lieferantenaudits sind mittlerweile Standardkontrollen.
Lücken bei der physischen Resilienz
Das KRITIS-Dachgesetz hat verbindliche Pflichten für physischen Schutz, Krisenmanagement und Personalsicherheit eingeführt, die viele Betreiber zuvor nur als informelle Praxis behandelten.
Praxisbeispiel
Ein Wasserversorger mit 260 Mitarbeitenden in Niedersachsen stellte bei einer routinemäßigen Schwellenwertprüfung fest, dass sein Versorgungsvolumen die BSI-KritisV-Schwelle überschritten hatte, wodurch die KRITIS-Registrierung verpflichtend wurde. Das Unternehmen hatte bereits eine KI-gestützte Anomalieerkennung bei Zählerständen automatisiert, diese jedoch nie gegen die Hochrisikokriterien der EU-KI-Verordnung geprüft. Gemeinsam mit einem externen Compliance-Partner registrierte es sich beim BSI, ordnete das KI-System als sicherheitsrelevante Komponente ein und integrierte einen Meldeworkflow in die bestehende Betriebssoftware.
- Automatisierte Nachweiserfassung für den zweijährlichen IT-Grundschutz-Audit
- Strukturierter 24/72-Stunden-Eskalationsworkflow mit klaren Zuständigkeiten
- Registriertes KI-System-Inventar für das Anomalieerkennungsmodell
- Quartalsweises Management-Reporting zu KRITIS- und NIS2-Pflichten
Aktuelle Entwicklungen und Auswirkungen
Deutschlands KRITIS-Regime hat sich seit Anfang 2026 deutlich erweitert.
Sektorerweiterung und physische Resilienz
Das KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026, hat die Siedlungsabfallentsorgung als zehnten Sektor ergänzt und physische Resilienz erstmals zur verbindlichen Betreiberpflicht gemacht.
- Neue Pflicht zu dokumentierten Krisenmanagementplänen
- Personalsicherheitsüberprüfungen für kritische Funktionen
- Koordinationspflichten mit regionalen Katastrophenschutzbehörden
Konvergenz mit dem Cyber Resilience Act
Hardware und Software, die in KRITIS-Umgebungen eingesetzt werden, müssen zunehmend die Security-by-Design-Anforderungen des EU Cyber Resilience Act erfüllen, bevor regulierte Betreiber sie überhaupt beschaffen dürfen. KRITIS-Betreiber im Finanzsektor unterliegen zusätzlich DORA, das parallele Anforderungen an die IKT-Resilienz von Banken und Versicherern stellt.
Steigender Angriffsdruck
Gartner prognostiziert weltweite Ausgaben für Informationssicherheit von 244,2 Milliarden US-Dollar im Jahr 2026, ein Plus von 13,3 Prozent, wobei Betreiber kritischer Infrastruktur zu den am schnellsten wachsenden Sektoren zählen, während der geopolitische Angriffsdruck zunimmt.
Fazit
Die KRITIS-Einstufung macht den Betrieb kritischer Infrastruktur zu einer fortlaufend geprüften Rechtspflicht, nicht zu einem bloßen Reputationsmerkmal. Da das KRITIS-Dachgesetz und die NIS2-Umsetzung zusätzliche Pflichten auf das ursprüngliche BSI-Gesetz aufsetzen, wächst der Compliance-Aufwand für betroffene Mittelstandsunternehmen weiter. Zu wissen, ob und wie ein Unternehmen die relevanten Schwellenwerte überschreitet, ist heute Voraussetzung für jeden KI-Einsatz in versorgungskritischen Prozessen. Unternehmen, die Compliance früh in ihren Betriebsrhythmus integrieren, vermeiden Hektik beim nächsten Prüfzyklus.
Häufig gestellte Fragen
Wann gilt ein Unternehmen als KRITIS-Betreiber?
Ein Unternehmen gilt als KRITIS-Betreiber, sobald sein Versorgungsvolumen in einem regulierten Sektor wie Energie, Wasser oder Gesundheit den in der BSI-KritisV festgelegten Schwellenwert überschreitet, meist 500.000 versorgte Personen. Die Einstufung beruht auf messbaren Versorgungsdaten, nicht auf der Unternehmensgröße.
Wie hängt KRITIS mit NIS2 zusammen?
NIS2 legt eine EU-weite Cybersicherheitsbasis fest, während KRITIS Deutschlands strengere, bereits bestehende Einstufung für die kritischsten Betreiber ist. Nach der deutschen Umsetzung gelten KRITIS-Betreiber automatisch als besonders wichtige Einrichtungen, sodass beide Pflichtenkreise gemeinsam greifen.
Gilt KRITIS auch für kleinere Mittelstandsunternehmen?
Ja, sofern messbare Versorgungsvolumina den Schwellenwert überschreiten. Ein regionaler Wasserversorger oder Klinikverbund mit wenigen hundert Mitarbeitenden kann ebenso betroffen sein wie ein bundesweiter Anbieter, da die Schwellenwerte auf versorgten Personen und nicht auf der Mitarbeiterzahl beruhen.
Was bedeutet KRITIS für KI-Systeme, die wir einsetzen?
Ein KI-System, das als Sicherheitsbauteil in der Energie- oder Wasserversorgung fungiert, gilt nach der EU-KI-Verordnung als Hochrisiko-KI-System und erfordert eine Konformitätsbewertung sowie dokumentierte menschliche Aufsicht vor der Inbetriebnahme.
Brauchen wir für die KRITIS-Konformität eigene IT-Ressourcen?
Nicht zwingend. Viele Mittelstandsbetreiber arbeiten mit externen Compliance- und IT-Sicherheitspartnern zur Umsetzung von BSI IT-Grundschutz und zur Steuerung des Prüfzyklus, behalten dabei aber die interne Verantwortung für Risikobewertung und Meldewesen.
Was passiert, wenn ein KRITIS-Betreiber eine Meldefrist versäumt?
Das Versäumen der Meldefristen nach Paragraph 32 BSIG kann Bußgelder und, nach den neueren Regeln, persönliche Haftung der Geschäftsleitung nach sich ziehen. Betreiber automatisieren daher typischerweise Überwachung und Eskalation, um die Erstmeldefrist nicht zu verpassen.
