Die neue KRITIS-Verordnung soll festlegen, welche Anlagen künftig als kritische Anlagen gelten. Die vorgesehene Einstufungslogik ist klar erkennbar. Betreiber können deshalb ihre mögliche Betroffenheit vorprüfen und die erforderlichen Datengrundlagen zusammenstellen.
Das KRITIS-Dachgesetz ist seit 17. März dieses Jahres 2026 in Kraft. Welche konkreten Anlagen unter seinen Anwendungsbereich fallen, bestimmt die neue KRITIS-Verordnung. Seit dem 26. Mai 2026 liegt hierzu ein Referentenentwurf des Bundesministeriums des Innern vor.
Damit bleibt eine zentrale Frage zunächst formal offen:
Gilt die eigene Organisation beziehungsweise eine ihrer Anlagen künftig als Betreiber einer kritischen Anlage?
Die endgültige Antwort hängt von der beschlossenen Fassung der Verordnung ab. Abwarten müssen Unternehmen dennoch nicht. Der Entwurf knüpft ausdrücklich an die seit 2016 etablierte Methodik der BSI-KRITIS-Verordnung an.
Die endgültige Verordnung steht noch aus. Die vorgesehene Einstufungslogik ermöglicht aber bereits heute eine strukturierte Vorprüfung.
Welche Funktion hat die KRITIS-Verordnung?
Das KRITIS-Dachgesetz erfasst grundsätzlich zehn Sektoren:
- Energie
- Transport und Verkehr
- Finanzwesen
- Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
- Gesundheitswesen
- Wasser
- Ernährung
- Informationstechnik und Telekommunikation
- Weltraum
- Siedlungsabfallentsorgung
Die Zugehörigkeit zu einem dieser Sektoren allein macht ein Unternehmen jedoch noch nicht zum Betreiber einer kritischen Anlage.
Gemäß Entwurf ist entscheidend, ob eine Anlage:
- einer benannten kritischen Dienstleistung dient,
- einer vorgesehenen Anlagenkategorie zugeordnet werden kann und
- den maßgeblichen Schwellenwert erreicht oder überschreitet.
Die Einstufung folgt damit grundsätzlich dieser Kette:
Sektor → kritische Dienstleistung → Anlagenkategorie → Bemessungskriterium → Schwellenwert
Die KRITIS-Verordnung bestimmt also, welche Anlagen als kritisch gelten. Die daraus folgenden Pflichten zu Risikoanalysen, Resilienzmaßnahmen und Dokumentation ergeben sich aus dem KRITIS-Dachgesetz und weiteren Konkretisierungen.
Die KRITIS-Verordnung ist damit ein Baustein des größeren regulatorischen Rahmens aus KRITIS-Dachgesetz und BSI-Gesetz. Wie die Regelwerke zusammenwirken, was bereits gilt und welche Konsequenzen sich für Betreiber und Geschäftsleitungen ergeben, erläutern wir in unserem Beitrag „KRITIS-Regulierung im Übergang: Warum Betreiber trotz offener Details nicht abwarten sollten“.
Die bisherige Methodik wird fortgeführt
Der Referentenentwurf übernimmt nach eigener Begründung die bewährte Methodik der bisherigen BSI-KRITIS-Verordnung. Die Erheblichkeit einer Anlage wird weiterhin anhand von Sektoren, kritischen Dienstleistungen, Anlagenkategorien und spezifischen Schwellenwerten bestimmt.
Gleichzeitig wird der bisherige Rahmen weiterentwickelt. Vorgesehen sind unter anderem:
- angepasste Begriffe aufgrund europäischer Vorgaben,
- neue und erweiterte Anlagenkategorien,
- zusätzliche zentrale Steuerungs- und Überwachungssysteme,
- der neue Sektor Weltraum.
Vorhandene Betroffenheitsprüfungen und Anlagenverzeichnisse können daher eine wichtige Grundlage bilden. Sie sollten jedoch nicht ungeprüft übernommen werden.
Was bedeutet der Regelschwellenwert von 500.000 Personen?
Der gesetzliche Regelschwellenwert orientiert sich an 500.000 zu versorgenden Personen. Er wird jedoch nicht unmittelbar auf jede Anlage angewendet.
Stattdessen leitet der Entwurf daraus sektoren- und anlagenspezifische Werte ab. Maßgeblich können beispielsweise sein:
- installierte Leistung,
- erzeugte oder transportierte Mengen,
- angeschlossene Einwohner oder Haushalte,
- Fallzahlen,
- Transaktionen,
- Verkehrs- und Gütermengen,
- Serverinstanzen,
- vertraglich vereinbarte Rechenzentrumsleistung.
So sieht der Entwurf beispielsweise für Rechenzentren im Bereich Housing eine vertraglich vereinbarte elektrische Leistung von 3,5 Megawatt vor. Für Wasserwerke wird eine aufbereitete Trinkwassermenge von 22 Millionen Kubikmetern pro Jahr genannt, bei Krankenhäusern eine vollstationäre Fallzahl von 30.000 pro Jahr.
Diese Beispiele zeigen: Eine grobe Einschätzung der Unternehmensgröße reicht nicht aus. Erforderlich sind konkrete Daten zu den jeweiligen Dienstleistungen und Anlagen.
Die Anlagenabgrenzung kann anspruchsvoll sein
Die Betroffenheitsprüfung ist nicht immer mit einem einfachen Tabellenvergleich erledigt.
Der Entwurf erfasst nicht nur klassische Gebäude oder technische Großanlagen. Als Anlagen können teilweise auch zentrale Leit-, Steuerungs-, Logistik- oder IT-Systeme gelten.
Zudem können mehrere gleichartige Anlagen unter bestimmten Voraussetzungen gemeinsam betrachtet werden – etwa wenn sie betrieblich verbunden sind, einem vergleichbaren Zweck dienen und unter gemeinsamer Leitung stehen. Im Sektor Informationstechnik und Telekommunikation kann ein solcher Zusammenhang sogar unabhängig der räumlichen Entfernung bestehen.
Auch die Betreiberfrage muss geklärt werden. Eigentümer und Betreiber sind nicht zwangsläufig identisch. Relevant ist, wer unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf die Anlage ausübt.
Was verändert sich gegenüber der bisherigen BSI-KRITIS-Verordnung?
Die grundsätzliche Methodik bleibt erhalten. Der Anwendungsbereich wird jedoch erweitert und an die Anforderungen des KRITIS-Dachgesetzes und der europäischen CER-Richtlinie angepasst.
Erkennbar sind unter anderem:
- zusätzliche Anlagenkategorien,
- eine stärkere Berücksichtigung physischer Anlagen und Betriebsstätten,
- neue zentrale Steuerungs- und Überwachungssysteme,
- der neue Sektor Weltraum,
- eine engere regulatorische Verbindung zwischen physischer Resilienz und IT-Sicherheit.
Im Energiesektor nennt der Entwurf beispielsweise Energiespeicheranlagen, Power-to-Gas-Anlagen sowie Fernkälteanlagen. Auch im Gesundheitswesen und in anderen Sektoren kommen zusätzliche Anlagen- und Systemkategorien hinzu.
Unternehmen sollten daher insbesondere prüfen, ob Tätigkeiten oder Systeme erfasst werden, die bislang nicht Gegenstand ihrer KRITIS-Betrachtung waren.
Gemeinsame Bedeutung für physische Resilienz und IT-Sicherheit
Nach der Begründung des Referentenentwurfs soll die neue KRITIS-Verordnung künftig den Kreis der Betreiber kritischer Anlagen sowohl für das KRITIS-Dachgesetz als auch für entsprechende Pflichten nach dem BSI-Gesetz bestimmen. Damit zielt man auf eine Vereinheitlichung der Einstufungen.
Die Prüfung darf deshalb nicht ausschließlich als physisches oder informationstechnisches Thema verstanden werden. Sie betrifft die kritische Dienstleistung und die dafür erforderlichen Anlagen insgesamt.
Davon zu unterscheiden bleibt die weiter gefasste Betroffenheit als wichtige oder besonders wichtige Einrichtung nach dem BSI-Gesetz und -Verordnung. Nicht jedes NIS-2-regulierte Unternehmen betreibt zugleich eine kritische Anlage. Und umgekehrt.
Was noch offen ist
Der derzeitige Stand ist: Es handelt sich um einen Referentenentwurf vom 26. Mai 2026.
Im weiteren Verfahren könnten sich noch ändern:
- Anlagenkategorien und Definitionen,
- Bemessungskriterien,
- Schwellenwerte,
- Fristen und Übergangsregelungen,
- Regelungen zur Zusammenfassung mehrerer Anlagen.
Eine Vorprüfung darf deshalb nicht als endgültige rechtliche Einstufung verstanden werden. Sie sollte den verwendeten Entwurfsstand, offene Fragen und fehlende Daten transparent dokumentieren.
Der noch nicht letztgültige Stand der KRITIS-Verordnung darf nicht zum Nichtstun, Abwarten und Ausreden verleiten. Das zeigte auch der Werdegang des KRITIS-Dachgesetztes. Nach Aussetzung des Gesetzgebungsverfahrens aufgrund einer Regierungsablösung legten viele das Gesetz auf Halde, statt die absehbaren Verpflichtungen und Aufgaben anzugehen. Für jedermann war erkennbar, dass das Gesetz kommen wird. Vogel Strauß lässt grüßen.
Was Betreiber bereits jetzt prüfen können
Für eine sinnvolle Vorbereitung reicht zunächst ein begrenzter Prüfrahmen. Eine strukturierte Analyse und Bewertung schafft dabei die Grundlage, um Dienstleistungen, Anlagen und Betreiberverhältnisse nachvollziehbar einzuordnen.
1. Kritische Dienstleistungen und Anlagen identifizieren
Welche Leistungen der Organisation könnten einem im Entwurf genannten kritischen Betrieb bzw. Dienstleistung entsprechen?
2. Anlagen und zentrale Systeme erfassen
Welche Gebäude, technischen Einrichtungen, Leitstellen, IT- oder Steuerungssysteme sind für diese Dienstleistungen erforderlich?
3. Anlagenkategorien gegenüberstellen
Welchen Kategorien der KRITIS-Verordnung (Entwurf) könnten diese Einheiten zugeordnet werden? Wo bestehen Abgrenzungs- oder Auslegungsfragen?
4. Bemessungsdaten zusammentragen
Welche Leistungs-, Mengen-, Nutzungs- oder Transaktionsdaten werden benötigt? Sind historische Werte verfügbar und einzelnen Anlagen eindeutig zuzuordnen?
5. Betreiber- und Verbundstrukturen klären
Wer übt bestimmenden Einfluss auf die Anlage aus? Müssen mehrere Anlagen aufgrund ihres betrieblichen Zusammenhangs gemeinsam betrachtet werden?
6. Ergebnis als Vorprüfung dokumentieren
Sinnvoll ist eine Unterscheidung zwischen:
- voraussichtlich betroffen,
- voraussichtlich nicht betroffen,
- noch nicht eindeutig beurteilbar,
- fehlende Daten oder weiterer Klärungsbedarf.
Schwellenwert und Schutzbedarf sind nicht dasselbe
Der Schwellenwert entscheidet darüber, ob eine Anlage den besonderen gesetzlichen Pflichten für kritische Betreiberschaft unterliegt. Er sagt jedoch nicht abschließend aus, ob eine Anlage betrieblich schutzbedürftig ist.
Auch Anlagen unterhalb eines Schwellenwerts können für die eigene Organisation, das Unternehmen, eine Region oder abhängige Versorgungsprozesse von erheblicher Bedeutung sein.
Die regulatorische Einstufung und die betriebliche Risiko- und Schutzbetrachtung sollten deshalb nicht miteinander gleichgesetzt werden.
Vorprüfung statt Stillstand
Die KRITIS-Verordnung wird kommen. Der Referentenentwurf bietet bereits eine tragfähige Grundlage, um relevante Dienstleistungen, Anlagenkategorien und notwendige Daten strukturiert zu prüfen, einzuleiten und anzugehen.
