KRITIS-Dachgesetz, BSI-Gesetz und die geplante KRITIS-Verordnung bilden den neuen regulatorischen Rahmen für Kritische Infrastrukturen. Noch sind nicht alle Vorgaben abschließend konkretisiert. Die grundsätzliche Systematik und der betriebliche Handlungsbedarf sind jedoch bereits klar erkennbar.
Der regulatorische Rahmen für Kritische Infrastrukturen hat sich grundlegend verändert. Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Auch die NIS-2-Richtlinie wurde durch das neu gefasste BSI-Gesetz in deutsches Recht umgesetzt.
Gleichzeitig befinden sich wichtige Konkretisierungen noch in der Ausarbeitung. Die neue KRITIS-Verordnung liegt als Referentenentwurf vor. Methodische Vorgaben, Vorlagen und weitere Mindestanforderungen werden noch entwickelt.
Für Betreiber von möglicherweise kritischen Infrastrukturen stellt sich die Frage: Ist es sinnvoll, bereits jetzt mit der Vorbereitung zu beginnen, obwohl noch nicht alle Details feststehen?
Noch nicht jede Konkretisierung ist abgeschlossen. Das rechtfertigt aber kein Abwarten. Die grundsätzliche Systematik, die Pflichtenrichtung und der erforderliche betriebliche Handlungsansatz sind bereits hinreichend erkennbar.
Drei Regelungsbereiche mit unterschiedlichen Funktionen
Für die betriebliche Einordnung sind drei Regelungsbereiche zu unterscheiden.
KRITIS-Dachgesetz: physische Resilienz kritischer Anlagen
Das KRITIS-Dachgesetz schafft erstmals eine sektorenübergreifende bundesgesetzliche Grundlage für die physische Resilienz kritischer Anlagen. Es setzt die europäische CER-Richtlinie um und verfolgt einen All-Gefahren-Ansatz.
Berücksichtigt werden nicht nur Anschläge oder Sabotage, sondern ebenso Naturereignisse, technische Störungen, menschliches Fehlverhalten, personelle Risiken sowie sektorübergreifende Abhängigkeiten. Entscheidend ist, welche Auswirkungen ein Ereignis auf die kritische Dienstleistung haben kann.
Die Resilienzmaßnahmen der Betreiber sollen insbesondere dazu beitragen,
- Vorfälle zu verhindern,
- einen angemessenen physischen Schutz zu gewährleisten,
- auf Vorfälle zu reagieren und ihre Folgen zu begrenzen,
- die kritische Dienstleistung zügig wiederherzustellen.
Die Maßnahmen müssen risikobasiert und verhältnismäßig sein. Damit geht das Gesetz deutlich über klassischen Objektschutz hinaus. Es verbindet Prävention und physische Sicherheit mit Reaktion, Betriebsfortführung und Wiederherstellung. Diese Ausrichtung bildet auch im aktuellen Whitepaper-Entwurf die Grundlage für den betrieblichen Handlungsansatz.
BSI-Gesetz und NIS 2: Informations- und Cybersicherheit
Das neu gefasste BSI-Gesetz richtet sich an besonders wichtige und wichtige Einrichtungen. Es verpflichtet, geeignete, verhältnismäßige und wirksame Maßnahmen zum Schutz ihrer informationstechnischen Systeme, Komponenten und Prozesse umzusetzen.
Die Betroffenheitslogik ist weiter gefasst als beim KRITIS-Dachgesetz. Eine Organisation kann nach dem BSI-Gesetz reguliert sein, ohne zugleich nach herkömmlichen Ansatz Betreiber einer kritischen Anlage zu sein. Maßgeblich sind unter anderem Tätigkeit, Einrichtungsart und Unternehmensgröße.
Die Geschäftsleitung und oberste Führung wird ausdrücklich in die Verantwortung genommen. Sie muss die erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen.
KRITIS-Verordnung: Welche Anlagen gelten als kritisch?
Die geplante KRITIS-Verordnung will konkretisieren, welche Anlagen unter das KRITIS-Dachgesetz fallen. Der Referentenentwurf folgt dabei grundsätzlich dieser Logik:
Sektor → kritische Dienstleistung → Anlagenkategorie → Bemessungskriterium → Schwellenwert
Die Methodik knüpft an die seit 2016 eingesetzte Systematik der bisherigen BSI-KRITIS-Verordnung an. Gleichzeitig sind zusätzliche Anlagenkategorien, angepasste Begriffe und der neue Sektor Weltraum vorgesehen.
Und: die KRITIS-Verordnung soll die bisherige BSI-KRITIS-Verordnung ablösen, so dass es künftig ein einheitliches Regelwerk geben wird.
Die Verordnung beantwortet die Frage, welche Anlagen aufgrund ihrer Bedeutung als kritisch einzustufen sind. Welche Maßnahmen erforderlich werden, ergibt sich aus dem KRITIS-Dachgesetz und weiteren Konkretisierungen.
Warum die Betroffenheit getrennt geprüft werden muss
KRITIS-Dachgesetz und BSI-Gesetz haben unterschiedliche Anknüpfungspunkte.
Eine Organisation kann:
- Betreiber einer kritischen Anlage sein (KRITIS-Dachgesetz und BSI-Gesetz)
- als besonders wichtige oder wichtige Einrichtung unter das NIS-2-Umsetzungsgesetz fallen,
- beiden Regelungsbereichen unterliegen,
- oder nur von einem der beiden erfasst werden.
Die Betroffenheit muss deshalb zunächst getrennt geprüft werden. Die daraus entstehenden Aufgaben müssen anschließend jedoch gemeinsam betrachtet werden. Andernfalls drohen parallele Projekte, doppelte Analysen und voneinander getrennte Dokumentationen.
Physische und digitale Sicherheit gemeinsam betrachten
Die rechtliche Unterscheidung der Regelwerke darf nicht zu einer organisatorischen Trennung im Handlungsverlauf führen.
Ein Ausfall der Energieversorgung kann IT- und OT-Systeme stilllegen. Ein Cyberangriff kann Produktions-, Leit- oder Versorgungstechnik beeinträchtigen. Unzureichender Zutrittsschutz kann Manipulationen an technischen Systemen ermöglichen.
Auch Notfallorganisation, Lieferketten, Personalverfügbarkeit, Kommunikationswege und Krisenmanagement betreffen regelmäßig beide Regelungsbereiche.
KRITIS-Dachgesetz und BSI-Gesetz dürfen daher nicht als voneinander unabhängige Compliance-Projekte bearbeitet werden. Zielführender ist ein gemeinsamer Sicherheits- und Resilienzansatz, der vorhandene Strukturen zusammenführt.
Was gilt bereits – und was ist noch offen?
Das KRITIS-Dachgesetz ist in Kraft. Seit Juli dieses Jahres können sich, so wurde verlautbart, KRITIS-Betreiber beim BMI registrieren. Sodann beginnt eine 10-monatige Frist zur Erstellung einer Risikoanalyse zu laufen. Auch soll noch eine Nationale Risikoanalyse, zumindest Teile, zur Verfügung gestellt werden (vgl. § 18 KRITIS-DG)
Gem. Informationen des BBK besteht jedoch noch keine Registrierungspflicht nach diesem Gesetz, weil die Verordnung zur Bestimmung kritischer Anlagen noch nicht in Kraft getreten ist.
Auch weitere Konkretisierungen stehen noch aus, insbesondere:
- die endgültigen Anlagenkategorien und Schwellenwerte,
- methodische Vorgaben für betreiberseitige Risikoanalysen,
- Vorlagen und Muster,
- sektorenübergreifende Mindestanforderungen.
Auch wenn solche Informationen noch ausstehen, sollten und können Unternehmen als Betreiber von Kritischen Infrastrukturen einen geforderten Resilienzplan angehen und erstellen. Denn die wesentlichen Ansätze sind erkennbar und liege vor – und ihre Bearbeitung benötigt Zeit.
Was Betreiber und Geschäftsleitungen jetzt sinnvoll vorbereiten können
In der aktuellen Phase geht es nicht darum, noch offene Detailanforderungen vorwegzunehmen. Sinnvoll ist vielmehr, die Voraussetzungen für eine spätere Umsetzung zu schaffen.
Mögliche Betroffenheit einordnen
Unternehmen sollten prüfen, welche Tätigkeiten, Dienstleistungen und Anlagen grundsätzlich unter das KRITIS-Dachgesetz oder das NIS 2 Umsetzungsgesetz fallen könnten.
Verantwortlichkeiten festlegen
Die regulatorische Einordnung betrifft nicht nur IT oder Unternehmenssicherheit. Je nach Organisation müssen Geschäftsleitung, Informationssicherheit, Betriebstechnik, Facility Management, Risikomanagement, Business Continuity Management, Krisenmanagement und Fachbereiche zusammenarbeiten.
Bestehende Grundlagen erfassen
Vorhandene BCM-Regelungen, Risikoanalysen, Sicherheitskonzepte, Business Impact Analysen, Notfallpläne, ISMS-Unterlagen und Auditberichte sollten systematisch zusammengetragen werden.
Zunächst geht es darum, nutzbare Grundlagen und erkennbare Lücken sichtbar zu machen – nicht um sämtliche Dokumente neu zu erstellen.
Physische und digitale Anforderungen verbinden
Schnittstellen zwischen physischer Sicherheit, IT- und OT-Sicherheit, Betriebsfortführung und Krisenmanagement sollten frühzeitig identifiziert werden. Alles Aufgaben von Business Continuity Management. Das vermeidet spätere Doppelarbeit und widersprüchliche Bewertungen.
Den jeweiligen Rechtsstand dokumentieren
Vorprüfungen sollten kennzeichnen, auf welchem Gesetzes- oder Entwurfsstand sie beruhen. Änderungen lassen sich dann gezielt nachführen, ohne die gesamte Untersuchung neu aufzusetzen.
Vorbereitung statt Umsetzung auf Verdacht
Der regulatorische Rahmen ist noch nicht vollständig konkretisiert, wird aber kommen. Wer deshalb überhaupt nicht handelt, verwechselt jedoch fehlende Detailvorgaben mit fehlender Richtung.
KRITIS-Dachgesetz und NIS-Umsetzungsgesetz zeigen, worauf es ankommt: Risiken und Abhängigkeiten müssen verstanden, Verantwortlichkeiten geklärt und physische sowie digitale Sicherheit miteinander verbunden werden.
Die gegenwärtige Phase sollte deshalb nicht für vorschnelle Einzelmaßnahmen genutzt werden. Sie bietet vielmehr die Gelegenheit, die eigene Ausgangslage strukturiert zu erfassen und vorhandene Sicherheits- und Resilienzstrukturen zusammenzuführen.
Und vor allem: Die Anforderungen und Aufgaben, die kommen werden, anzugehen.
So entsteht eine belastbare Grundlage, die nach Inkrafttreten der ausstehenden Verordnungen gezielt konkretisiert werden kann.
Welche Anlagen künftig konkret als kritisch gelten, wird die neue KRITIS-Verordnung bestimmen. Was der Referentenentwurf bereits erkennen lässt und welche Vorprüfung heute möglich ist, erläutern wir in unserem Beitrag „Entwurf der KRITIS-Verordnung: Was Betreiber jetzt prüfen sollten“.
