KRITIS 2026: Wer gilt als Betreiber kritischer Anlagen und welche Pflichten greifen?

Was eine kritische Anlage ausmacht

Der Begriff der kritischen Anlage ist enger gefasst, als die Alltagssprache vermuten lässt. Gemeint sind nicht ganze Unternehmen, sondern konkrete Anlagen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit nach sich ziehen würde. Maßgeblich ist dabei in der Regel eine Kombination aus Sektorzugehörigkeit und einem Schwellenwert, der die Versorgungsrelevanz quantifiziert; nach dem KRITIS-Dachgesetz kann das Bundesinnenministerium die Erheblichkeit einer Anlage zudem im Einzelfall feststellen (§ 5 Abs. 3 KRITIS-Dachgesetz).

Mit dem NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist, wurde das BSI-Gesetz grundlegend umgebaut. Das Bundesamt für Sicherheit in der Informationstechnik weist darauf hin, dass das Recht seither zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen unterscheidet. Betreiber kritischer Anlagen bilden dabei keine eigene Kategorie neben diesen beiden, sondern gelten nach § 28 Absatz 1 Nummer 1 BSIG 2025 ausdrücklich als besonders wichtige Einrichtungen.

Diese Einordnung hat praktische Folgen. KRITIS-Betreiber unterliegen sowohl den allgemeinen Pflichten, die für alle besonders wichtigen Einrichtungen gelten, als auch zusätzlichen Anforderungen, die das Gesetz speziell an kritische Anlagen knüpft. Wer also lediglich prüft, ob ein Schwellenwert überschritten wird, erfasst nur einen Teil des Pflichtenkreises.

Zu beachten ist ferner, dass die Einstufung nicht statisch ist. Verschieben sich Versorgungskennzahlen, kann eine bislang unterschwellige Anlage in den Anwendungsbereich hineinwachsen, und umgekehrt kann eine Anlage durch Stilllegung oder Aufteilung wieder aus ihm herausfallen. Die Betroffenheit ist daher in regelmäßigen Abständen zu überprüfen, insbesondere bei Erweiterungen, Zusammenschlüssen oder Änderungen der Versorgungsstruktur. Eine einmalige Prüfung zu Beginn genügt der Pflichtenlage nicht dauerhaft.

Brücke für alle, die noch nach § 8a BSIG suchen

In älteren Verträgen, Auditberichten und internen Richtlinien finden sich häufig Verweise auf § 8a und § 8b BSIG. Diese Paragraphen sind durch das NIS2-Umsetzungsgesetz aufgehoben und umnummeriert worden. Wer eine bestehende Referenz auf den aktuellen Stand bringen möchte, kann sich an folgender Zuordnung orientieren:

Inhaltlich knüpft das neue Recht weitgehend an die bekannten Strukturen an. Die Verschiebung betrifft vor allem die Systematik und einzelne Fristen, nicht den Kerngedanken der Stand-der-Technik-Verpflichtung.

Zwei Regime, die klar zu trennen sind

Eine häufige Quelle von Missverständnissen ist die Annahme, KRITIS sei ein einheitliches Regelwerk. Tatsächlich existieren seit 2026 zwei nebeneinander stehende Regime, die unterschiedliche Schutzgüter adressieren und von unterschiedlichen Behörden begleitet werden.

Das BSIG 2025 regelt die Cybersicherheit kritischer Anlagen. Es geht um informationstechnische Risikomanagementmaßnahmen, Angriffserkennung, die Meldung erheblicher Sicherheitsvorfälle und den Nachweis gegenüber dem BSI. Zuständig ist hier das Bundesamt für Sicherheit in der Informationstechnik.

Das KRITIS-Dachgesetz regelt demgegenüber die physische Resilienz. Es setzt die europäische Richtlinie 2022/2557 zur Resilienz kritischer Einrichtungen um und befasst sich mit Naturgefahren, Sabotage, Terrorismus und der Störung von Lieferketten. Beide Regelwerke können denselben Betreiber treffen und verlangen jeweils eigene Maßnahmen und eigene Meldungen; gemeldet wird in beiden Fällen über die gemeinsame Meldestelle von BSI und BBK (§ 32 Abs. 1 BSIG, § 18 Abs. 1 KRITIS-Dachgesetz). Für die Überprüfung der physischen Resilienzmaßnahmen kann die zuständige Behörde auf Bestandteile der Nachweise nach § 39 BSIG zurückgreifen (§ 16 Abs. 1 KRITIS-Dachgesetz). Eine erfüllte Cyberpflicht ersetzt aber keine physische Resilienzpflicht und umgekehrt.

Sektoren und Schwellenwerte

Die Sektoren, in denen kritische Anlagen liegen können, zählt § 4 Abs. 1 KRITIS-Dachgesetz auf: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung. Davon zu unterscheiden sind die Anlagen 1 und 2 zum BSIG 2025: Sie bestimmen die Einrichtungsarten, nach denen sich die Einstufung als besonders wichtige oder wichtige Einrichtung richtet. Die Zuordnung zu einem dieser Sektoren ist eine notwendige, aber noch keine hinreichende Bedingung für eine KRITIS-Eigenschaft.

Hinzu treten muss das Erreichen eines Schwellenwerts. Für das BSIG legt diese Schwellenwerte bis zum Inkrafttreten der Rechtsverordnung nach dem KRITIS-Dachgesetz weiterhin die BSI-Kritisverordnung (BSI-KritisV) fest (§ 66 BSIG); für das KRITIS-Dachgesetz bestimmt sie das Bundesinnenministerium durch Rechtsverordnung nach § 5 Abs. 1 KRITIS-Dachgesetz. Die Schwellenwerte knüpfen an Versorgungskennzahlen an, etwa die Zahl versorgter Personen, die erzeugte Strommenge oder die Zahl abgewickelter Transaktionen. Der Regelwert beträgt nach § 5 Abs. 2 KRITIS-Dachgesetz grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner; die konkreten Werte unterscheiden sich je Sektor und Anlagenart und sind der jeweiligen Verordnung zu entnehmen.

Daneben gelten für besonders wichtige und wichtige Einrichtungen allgemeine Größenschwellen, die sich an Beschäftigtenzahl und Umsatz orientieren. Für besonders wichtige Einrichtungen liegt die Schwelle regelmäßig bei mindestens 250 Beschäftigten oder einem Jahresumsatz von über 50 Millionen Euro und einer Bilanzsumme von über 43 Millionen Euro. Für wichtige Einrichtungen genügt bereits eine geringere Größe, etwa ab 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro (§ 28 Abs. 2 Nr. 3 BSIG). Für KRITIS-Betreiber spielt diese Größenlogik keine Rolle: Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von ihrer Größe als besonders wichtige Einrichtungen. Maßgeblich sind allein die Anlagen-Schwellenwerte.

Die Prüfung der Betroffenheit verläuft damit in mehreren Schritten. Zunächst ist zu klären, ob überhaupt eine Anlage in einem der gelisteten Sektoren betrieben wird. Anschließend ist zu prüfen, welche konkrete Anlagenkategorie der BSI-KritisV einschlägig ist und welcher Schwellenwert dafür gilt. Erst die Messung der tatsächlichen Versorgungsleistung gegen diesen Wert ergibt, ob eine kritische Anlage im Rechtssinne vorliegt. Da die Messgrößen je Sektor unterschiedlich definiert sind, etwa als Jahresmenge, Anschlusszahl oder Transaktionsvolumen, ist die Heranziehung des einschlägigen Anhangs der Verordnung unverzichtbar.

Die Cyberpflichten nach BSIG 2025

Risikomanagement und Stand der Technik (§ 30, § 31)

Den Kern der Cyberpflichten bildet § 30 BSIG, der Risikomanagementmaßnahmen für besonders wichtige und wichtige Einrichtungen vorschreibt. Verlangt wird ein gefahrenübergreifender Ansatz, der technische und organisatorische Maßnahmen nach dem Stand der Technik umfasst. Dazu gehören unter anderem Konzepte zur Risikoanalyse, zur Bewältigung von Sicherheitsvorfällen, zur Aufrechterhaltung des Betriebs, zur Sicherheit der Lieferkette und zur Zugriffskontrolle.

§ 31 BSIG stellt darüber hinaus besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen. Hier ist auch der Einsatz von Systemen zur Angriffserkennung verankert, der früher in § 8a Absatz 1a BSIG geregelt war. Diese Systeme sollen Angriffe auf die informationstechnischen Systeme der Anlage kontinuierlich und automatisiert erkennen und vermeiden.

Meldepflichten (§ 32, § 33)

Erhebliche Sicherheitsvorfälle sind nach § 32 Abs. 1 BSIG an die gemeinsame Meldestelle von BSI und BBK zu melden. Die Meldung erfolgt gestaffelt: Eine frühe Erstmeldung ist unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung abzugeben, eine Meldung mit erster Bewertung folgt spätestens nach 72 Stunden, auf Ersuchen des BSI eine Zwischenmeldung und spätestens einen Monat nach der 72-Stunden-Meldung eine Abschlussmeldung. Dauert der Vorfall dann noch an, ist statt der Abschlussmeldung eine Fortschrittsmeldung vorzulegen (§ 32 Abs. 2 BSIG). Betreiber kritischer Anlagen machen zusätzlich Angaben zur betroffenen Anlage und zur kritischen Dienstleistung (§ 32 Abs. 3 BSIG). Die Staffelung setzt Artikel 23 der NIS-2-Richtlinie um.

Ergänzend regelt § 33 BSIG die Registrierungspflicht: Besonders wichtige und wichtige Einrichtungen übermitteln dem BSI spätestens drei Monate nach Eintritt der Betroffenheit über die gemeinsame Registrierungsmöglichkeit von BSI und BBK unter anderem Name, Anschrift, Kontaktdaten und Sektor (§ 33 Abs. 1 BSIG). Für Betreiber kritischer Anlagen gilt nach § 66 BSIG bis zum Inkrafttreten der Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz die bisherige Fassung des § 33 Abs. 2 BSIG: Sie übermitteln zusätzlich unter anderem die kritische Dienstleistung, Anlagenkategorie und Versorgungskennzahlen nach der BSI-KritisV, den Standort und eine jederzeit erreichbare Kontaktstelle. Danach erfolgt die Registrierung kritischer Anlagen nach § 8 KRITIS-Dachgesetz (§ 33 Abs. 2 BSIG), und das BBK übermittelt die Registrierungsdaten an das BSI (§ 8 Abs. 5 KRITIS-Dachgesetz).

Nachweispflicht (§ 39, Drei-Jahres-Zyklus)

Betreiber kritischer Anlagen müssen die Erfüllung ihrer Pflichten dem BSI gegenüber belegen. Nach § 39 BSIG geschieht dies durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Der erste Nachweis ist zu einem vom BSI festgelegten Zeitpunkt zu erbringen, danach alle drei Jahre (§ 39 Abs. 1 BSIG). Nach dem früheren § 8a Abs. 3 BSIG galt ein Zwei-Jahres-Rhythmus; für bisherige KRITIS-Betreiber richtet sich der erste Termin nach dem letzten Nachweis nach altem Recht (§ 39 Abs. 3 BSIG).

Die physischen Pflichten nach dem KRITIS-Dachgesetz

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten, nachdem der Bundestag das Gesetz am 29. Januar 2026 beschlossen hatte. Es schließt eine Lücke, die das BSIG offen lässt: Während dieses sich auf die digitale Ebene konzentriert, adressiert das Dachgesetz die physische Widerstandsfähigkeit kritischer Anlagen gegenüber Bedrohungen aller Art.

Die Kanzleianalyse von Rödl & Partner ordnet das Gesetz als nationale Umsetzung der europäischen Resilienzrichtlinie 2022/2557 ein. Zu den zentralen Pflichten gehören die Identifizierung und Registrierung der Betreiber, die Durchführung von Risikoanalysen nach einem gefahrenübergreifenden Ansatz, die Erstellung von Resilienzplänen mit konkreten Maßnahmen sowie die Meldung erheblicher Störungen.

Die Registrierung ist nach § 8 Abs. 1 KRITIS-Dachgesetz spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe vorzunehmen, und zwar über eine gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit. Wann eine Anlage als kritisch gilt, legt die Rechtsverordnung nach § 5 Abs. 1 KRITIS-Dachgesetz mit Anlagenkategorien, Schwellenwerten und Stichtagen fest. Die Pflichten zur Risikoanalyse nach § 12 gelten nach § 8 Abs. 7 erstmals neun Monate nach der Registrierung, die Resilienzpflichten nach § 13 und die Meldepflicht nach § 18 erstmals zehn Monate danach. Sobald diese Rechtsverordnung in Kraft ist, ist eine zweite, getrennte Registrierung der kritischen Anlage beim BSI nicht mehr vorgesehen: § 33 Abs. 2 BSIG verweist dann auf § 8 KRITIS-Dachgesetz (§ 66 BSIG).

Inhaltlich verlangt das Dachgesetz von den Betreibern eine Risikoanalyse nach einem gefahrenübergreifenden Ansatz, der ausdrücklich auch Naturgefahren, technisches Versagen, menschliches Fehlverhalten sowie vorsätzliche Handlungen wie Sabotage und Terrorismus einbezieht. Auf Grundlage dieser Analyse sind verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen und in einem Resilienzplan darzustellen (§ 13 Abs. 2 und 4 KRITIS-Dachgesetz), etwa Objektschutz, Zugangskontrollen, Notfallvorsorge und Notstromversorgung. Hinzu tritt die Pflicht, Vorfälle nach § 18 der gemeinsamen Meldestelle von BSI und BBK zu melden (spätestens 24 Stunden nach Kenntnis, ausführlicher Bericht spätestens einen Monat nach Kenntnis). Zu den möglichen Maßnahmen zählt nach § 13 Abs. 3 Nr. 5 ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden, einschließlich des Personals externer Dienstleister. Die Risikoanalyse ist im Bedarfsfall, mindestens alle vier Jahre zu wiederholen (§ 12 Abs. 1), der Resilienzplan bei Bedarf und nach jeder Risikoanalyse zu aktualisieren (§ 13 Abs. 4).

Das Verhältnis von KRITIS zu NIS2

Die Begriffe KRITIS und NIS2 werden häufig synonym verwendet, bezeichnen aber unterschiedliche Ebenen. NIS2 ist die zugrunde liegende europäische Richtlinie zur Cybersicherheit, die in Deutschland durch das NIS2-Umsetzungsgesetz in das BSIG 2025 überführt wurde. KRITIS bezeichnet demgegenüber die nationale Tradition des Schutzes kritischer Infrastrukturen, die älter ist als die NIS2-Richtlinie.

In der neuen Systematik lösen sich beide Stränge nicht auf, sondern werden ineinander verschränkt. KRITIS-Betreiber sind nach § 28 BSIG eine Teilmenge der besonders wichtigen Einrichtungen, also der höchsten Kategorie, die die NIS2-Umsetzung kennt. Sie unterliegen damit den allgemeinen NIS2-Pflichten und zusätzlich den verschärften Anforderungen, die das Gesetz an kritische Anlagen knüpft. Wer als KRITIS-Betreiber eingestuft ist, ist somit immer auch eine besonders wichtige Einrichtung im Sinne der NIS2-Umsetzung, während nicht jede besonders wichtige Einrichtung eine kritische Anlage betreibt.

Der kostenlose KRITIS-Check gibt eine erste, orientierende Einschätzung zu Sektor und Schwellenwerten der BSI-KritisV; eine Einzelfallprüfung ersetzt er nicht.

Häufige Fragen

Gilt für KRITIS-Betreiber eine Übergangsfrist?

Das NIS2-Umsetzungsgesetz sieht keine allgemeine Übergangsfrist vor. Die Pflichten gelten seit dem Inkrafttreten am 6. Dezember 2025. Einzelne Pflichten, etwa die Registrierung, sind innerhalb der gesetzlich bestimmten Fristen zu erfüllen. Für die physische Resilienz nach dem KRITIS-Dachgesetz ist die Registrierung spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, vorzunehmen (§ 8 Abs. 1 KRITIS-Dachgesetz).

Wir haben unsere Pflichten früher nach § 8a BSIG erfüllt. Reicht das noch?

Der Paragraph § 8a BSIG existiert in dieser Form nicht mehr. Seine Pflichten finden sich jetzt in § 30 und § 31 BSIG, die Nachweispflicht in § 39. Bestehende Maßnahmen sind daraufhin zu prüfen, ob sie den aktuellen Anforderungen entsprechen, insbesondere mit Blick auf den nun dreijährigen Nachweiszyklus und die Systeme zur Angriffserkennung.

Müssen wir uns doppelt registrieren, beim BSI und nach dem KRITIS-Dachgesetz?

Nach dem Zielbild des Gesetzes ist für die kritische Anlage eine Registrierung vorgesehen, keine doppelte: § 33 Abs. 2 BSIG bestimmt, dass die Registrierung kritischer Anlagen nach § 8 des KRITIS-Dachgesetzes erfolgt, beim BBK über die gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit; das BBK übermittelt die Daten an das BSI (§ 8 Abs. 5 KRITIS-Dachgesetz). Diese Fassung ist nach § 66 BSIG aber erst anzuwenden, wenn die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITIS-Dachgesetz in Kraft ist. Bis dahin registrieren sich Betreiber kritischer Anlagen nach § 33 Abs. 1 und 2 BSIG in der bisherigen Fassung beim BSI, mit Angaben nach der BSI-KritisV. Getrennt bleiben die Pflichten selbst: Cybersicherheit nach dem BSIG, physische Resilienz nach dem KRITIS-Dachgesetz.

Reicht es, den Schwellenwert zu prüfen, um die Betroffenheit zu klären?

Der Schwellenwert nach der BSI-KritisV ist ein zentrales, aber nicht das einzige Kriterium. Maßgeblich ist die Kombination aus Sektor und Anlagenkategorie mit dem einschlägigen Schwellenwert; für das BSIG richtet sich das bis zum Inkrafttreten der Rechtsverordnung nach dem KRITIS-Dachgesetz nach der BSI-KritisV (§ 66 BSIG). Daneben kann ein Unternehmen auch ohne KRITIS-Eigenschaft als wichtige oder besonders wichtige Einrichtung in den Anwendungsbereich des BSIG 2025 fallen.