KRITIS: KRITIS bezeichnet Kritische Infrastrukturen — Organisationen aus Sektoren wie Energie, Wasser, Gesundheit oder Finanzen, deren Ausfall gravierende Folgen für die öffentliche Versorgung hätte; sie unterliegen besonders strengen gesetzlichen Sicherheitsanforderungen.
Welche Betreiber als KRITIS gelten, legt die BSI-Kritisverordnung über sektorspezifische Schwellenwerte fest, etwa die versorgte Bevölkerungsanzahl oder Fördermengen. Ergänzt wird dieser Rahmen künftig durch das KRITIS-Dachgesetz, das den Fokus stärker auf physische Resilienz gegenüber Naturereignissen, Sabotage oder Ausfällen legt.
KRITIS-Betreiber sind in aller Regel zugleich als besonders wichtige Einrichtungen von NIS2 erfasst, unterliegen jedoch zusätzlichen, spezifischeren Pflichten: Nach § 8a BSIG müssen sie alle zwei Jahre gegenüber dem BSI einen Nachweis angemessener technischer und organisatorischer Vorkehrungen erbringen.
| Sektor | Beispiel |
|---|---|
| Energie | Stromnetzbetreiber |
| Wasser | Trinkwasserversorger |
| Gesundheit | Große Kliniken |
Die Einstufung als KRITIS-Betreiber erfolgt anhand konkreter, sektorspezifischer Schwellenwerte in der BSI-Kritisverordnung, etwa der Anzahl versorgter Einwohner bei Wasserversorgern oder der Fördermenge bei Energieversorgern — eine pauschale Einstufung nach Unternehmensgröße allein reicht hier nicht aus. Auch eine Änderung der Eigentümerstruktur oder eine Fusion kann dazu führen, dass zuvor nicht betroffene Betriebe die Schwellenwerte überschreiten. Für betroffene Unternehmen bedeutet die KRITIS-Einstufung neben dem Nachweis nach § 8a BSIG häufig auch strengere Anforderungen an die physische Sicherheit von Anlagen sowie eine engmaschigere Abstimmung mit Aufsichtsbehörden.
Relevanz für die Zertifizierung
KRITIS-Betreiber müssen zusätzlich zu NIS2 alle zwei Jahre einen spezifischen Nachweis gegenüber dem BSI erbringen. Ein zertifiziertes ISMS nach ISO 27001 liefert dafür die strukturelle Grundlage, ersetzt aber nicht die eigenständigen KRITIS-Prüfpflichten und deren sektorspezifische Anforderungen. Eine frühzeitige Klärung der eigenen Einstufung erspart zudem aufwendige Nachrüstungen unter Zeitdruck, sollte die KRITIS-Zugehörigkeit erst kurzfristig bekannt werden. Eine formlose Anfrage beim BSI oder der zuständigen Aufsichtsbehörde schafft hier oft schneller Klarheit als eine rein rechtliche Selbsteinschätzung. Diese Klarheit lohnt sich insbesondere vor größeren Investitionsentscheidungen, da eine spätere KRITIS-Einstufung zusätzliche technische Anforderungen an neue Anlagen stellen kann. Ein pauschaler Verzicht auf diese Prüfung aus Zeitmangel rächt sich in der Regel erst dann, wenn eine Nachrüstung ungleich teurer wird.
Häufige Fragen zu KRITIS
Nein. NIS2 hat einen deutlich breiteren Anwendungsbereich als KRITIS. Ob ein Betreiber als Kritische Infrastruktur gilt, legt die BSI-Kritisverordnung über sektorspezifische Schwellenwerte fest, etwa versorgte Bevölkerungsanzahl oder Fördermengen. KRITIS-Betreiber sind in aller Regel zusätzlich von NIS2 erfasst, aber nicht umgekehrt.
Nach § 8a BSIG müssen KRITIS-Betreiber alle zwei Jahre gegenüber dem BSI einen spezifischen Nachweis angemessener technischer und organisatorischer Vorkehrungen erbringen – zusätzlich zu den allgemeinen NIS2-Pflichten wie Risikomanagement und Meldefristen. Ein ISO-27001-ISMS liefert dafür die strukturelle Grundlage, ersetzt die KRITIS-Prüfung aber nicht.
Unter anderem Energie, Wasser, Gesundheit, Finanzwesen, Ernährung, Transport und Verkehr sowie Informationstechnik und Telekommunikation. Innerhalb jedes Sektors entscheiden konkrete Schwellenwerte aus der BSI-Kritisverordnung, etwa die Anzahl versorgter Personen, ob ein einzelner Betreiber tatsächlich als Kritische Infrastruktur eingestuft wird. Auch mittelgroße regionale Versorger können bei entsprechender Bevölkerungszahl unter die Regelung fallen, nicht nur bundesweit tätige Konzerne.