KRITIS und NIS-2

Begriffe nach dem neuen BSIG

Das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes definiert:

• Kritische Anlage (§ 2 Nr. 22 BSIG): eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist.
• Kritische Dienstleistung (§ 2 Nr. 24 BSIG): eine Dienstleistung zur Versorgung der Allgemeinheit in bestimmten Sektoren, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder zu Gefährdungen der öffentlichen Sicherheit führen würde.

Welche Anlagen im Einzelnen kritisch sind, legt die BSI-Kritisverordnung fest. Sie stammt aus dem Jahr 2016 und wurde laut BSI zuletzt im Dezember 2025 geändert. Für viele Anlagenkategorien knüpft sie an einen Regelschwellenwert von 500.000 versorgten Personen an, der je Kategorie in technische Größen wie installierte Leistung oder Fallzahlen übersetzt ist.

KRITIS-Sektoren

Laut BSI umfassen die Sektoren derzeit:

• Energie
• Transport und Verkehr
• Finanzwesen
• Sozialversicherungsträger sowie Grundsicherung für Arbeitsuchende
• Gesundheit
• Wasser
• Ernährung
• Informationstechnik und Telekommunikation
• Weltraum
• Siedlungsabfallentsorgung

Gegenüber dem alten Recht wurde der frühere Sektor «Finanz- und Versicherungswesen» aufgeteilt; private Versicherungen sind nach Angaben des BSI nicht mehr reguliert. Im Energiesektor hat sich die Zuständigkeit für bestimmte Anlagen auf die Bundesnetzagentur verlagert.

Das Verhältnis von KRITIS und NIS-2

Nach § 28 BSIG sind Betreiber kritischer Anlagen unabhängig von ihrer Größe besonders wichtige Einrichtungen. Damit gelten für sie alle Pflichten, die auch andere NIS-2-Einrichtungen haben: Registrierung, Risikomanagementmaßnahmen nach § 30, Meldepflichten nach § 32 und Pflichten der Geschäftsleitung nach § 38 BSIG. Dazu kommen spezielle KRITIS-Pflichten.

Umgekehrt ist nur ein kleiner Teil der NIS-2-Einrichtungen KRITIS-Betreiber. Wer als mittleres Unternehmen in einem NIS-2-Sektor tätig ist, aber keine Anlage oberhalb der Schwellenwerte betreibt, hat nur die allgemeinen NIS-2-Pflichten.

Zusätzliche Pflichten der KRITIS-Betreiber

Erhöhtes Schutzniveau

Nach § 31 Abs. 1 BSIG können für die IT-Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der kritischen Anlage maßgeblich sind, Maßnahmen verlangt werden, die über das Niveau anderer besonders wichtiger Einrichtungen hinausgehen. Verhältnismäßig sind sie, wenn der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls steht.

Systeme zur Angriffserkennung

§ 31 Abs. 2 BSIG verpflichtet Betreiber, Systeme zur Angriffserkennung einzusetzen. Sie sollen fortlaufend geeignete Parameter erfassen und auswerten, Bedrohungen erkennen und möglichst verhindern sowie Maßnahmen zur Beseitigung von Störungen vorsehen. Das BSI hat dazu eine Orientierungshilfe veröffentlicht, die die Aufgabenbereiche Protokollierung, Detektion und Reaktion beschreibt.

Nachweise

Nach § 39 BSIG müssen Betreiber die Erfüllung der Anforderungen regelmäßig nachweisen, durch Audits, Prüfungen oder Zertifizierungen. Der Nachweiszyklus beträgt seit Inkrafttreten des neuen BSIG drei statt zwei Jahre. Anders als andere besonders wichtige Einrichtungen reichen KRITIS-Betreiber diese Nachweise unaufgefordert ein.

Registrierung und Kontaktstelle

Betreiber registrieren ihre kritischen Anlagen im Melde- und Informationsportal (MIP) des BSI und zusätzlich als besonders wichtige Einrichtung im BSI-Portal. Sie müssen eine jederzeit erreichbare Kontaktstelle vorhalten. Versorgungskennzahlen und Änderungen der Anlagen sind nach Angaben des BSI jährlich zu aktualisieren.

Meldungen

Vorfälle melden KRITIS-Betreiber übergangsweise weiter über das MIP. Das BSI nennt dafür eine Übergangszeit bis voraussichtlich Ende 2026; prüfen Sie den aktuellen Stand auf den KRITIS-Seiten des BSI.

Physischer Schutz: das KRITIS-Dachgesetz

Neben der IT-Sicherheit nach BSIG gibt es mit dem «Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen» (KRITIS-Dachgesetz) eigene Regeln für den physischen Schutz, etwa gegen Naturgefahren, Sabotage oder Stromausfälle. Es setzt die EU-Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen um. Zuständig ist hier vor allem das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Das Gesetz sieht unter anderem Risikoanalysen der Betreiber, Resilienzpläne, Mindestanforderungen und Meldungen vor; wichtige Einzelheiten, etwa zur Bestimmung der Anlagen und zur Registrierung, werden durch Rechtsverordnungen geregelt. Den aktuellen Stand sollten Betreiber direkt beim BBK prüfen.

Bedeutung für kleine und mittlere Betriebe

KMU sind selten selbst KRITIS-Betreiber, aber oft Teil der Lieferkette: als IT-Dienstleister, Wartungsfirma, Softwarelieferant oder Handwerksbetrieb mit Zugang zu Anlagen. KRITIS-Betreiber müssen die Sicherheit ihrer Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG berücksichtigen und geben Anforderungen deshalb vertraglich weiter, etwa zu Fernwartungszugängen, Meldepflichten bei Vorfällen, Sicherheitsüberprüfungen von Personal oder Nachweisen wie ISO 27001.

Wie Sie die eigene Rolle klären

1. Betreiben Sie eine Anlage in einem der KRITIS-Sektoren? Dann die Anlagenkategorien und Schwellenwerte der BSI-Kritisverordnung prüfen.
2. Liegen Sie unterhalb der Schwellenwerte, prüfen Sie trotzdem die allgemeine NIS-2-Betroffenheit nach § 28 BSIG.
3. Arbeiten Sie für KRITIS-Betreiber, klären Sie vertragliche Sicherheitsanforderungen, Meldewege und Nachweise mit Ihrem Auftraggeber.