KRITIS (Kritische Infrastrukturen)
KRITIS steht für Kritische Infrastrukturen: Anlagen und Einrichtungen, deren Ausfall die Versorgung der Bevölkerung erheblich stören würde, etwa in Energie, Wasser, Gesundheit oder Telekommunikation. Ihre Betreiber unterliegen in Deutschland gesetzlichen Sicherheits- und Meldepflichten.
Ausführliche Erklärung
Das KRITIS-Dachgesetz (KRITISDachG) nennt zehn Sektoren, darunter Energie, Wasser, Gesundheitswesen, Transport und Verkehr sowie Informationstechnik und Telekommunikation. Ob eine einzelne Anlage kritisch ist, entscheiden Schwellenwerte. Der Regelwert liegt bei 500.000 versorgten Einwohnern (§ 5 Abs. 2 KRITISDachG).
Seit 2026 gibt es zwei Regelwerke. Das KRITIS-Dachgesetz gilt seit dem 17. März 2026 und regelt den physischen Schutz: Risikoanalyse mindestens alle vier Jahre, ein Resilienzplan und die Meldung von Vorfällen spätestens 24 Stunden nach Kenntnis. Zentrale Anlaufstelle ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
Die IT-Sicherheit regelt das BSI-Gesetz, das mit dem NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 in neuer Fassung gilt. Dort heißen KRITIS-Betreiber „Betreiber kritischer Anlagen“. Sie haben die strengsten Pflichten, darunter regelmäßige Nachweise ihrer Sicherheitsmaßnahmen gegenüber dem BSI.
Die meisten KMU sind selbst keine KRITIS-Betreiber. Betroffen sind sie trotzdem, wenn sie als Dienstleister oder Zulieferer für einen Betreiber arbeiten: Dessen Anforderungen an die Lieferkette landen dann in Verträgen und Audits. Deutlich mehr Unternehmen erfasst NIS2 mit seinen niedrigeren Schwellenwerten.
IT-Sicherheit
Sicherheitslage einordnen lassen
Im kostenlosen Erstgespräch von 30 Minuten besprechen wir, welche Schutzmaßnahmen in Ihrem Betrieb fehlen und in welcher Reihenfolge sie sinnvoll sind. Rechtliche Fragen gehören zusätzlich zu einer Rechtsberatung.