Glossar · einfach erklärt

KRITIS (Kritische Infrastrukturen)

KRITIS-Betreiber sichern Deutschlands Grundversorgung — mit gesetzlichen Nachweis-, Melde- und Schutzpflichten.

KRITIS bezeichnet Kritische Infrastrukturen: Einrichtungen, deren Ausfall die Versorgung der Bevölkerung erheblich gefährden würde — Energie, Wasser, Ernährung, Gesundheit, IT und Telekommunikation, Finanzwesen, Transport und weitere Sektoren. Ob ein Betreiber unter die Pflichten fällt, bestimmen Schwellenwerte der BSI-Kritisverordnung.

Betreiber müssen angemessene Vorkehrungen nach Stand der Technik treffen, dies regelmäßig gegenüber dem BSI nachweisen und erhebliche Störungen melden. Mit der NIS-2-Umsetzung und dem geplanten KRITIS-Dachgesetz wächst der Kreis der Verpflichteten und der Umfang der Pflichten weiter.

Was KRITIS-Betreiber leisten müssen

Kern ist der Paragraf 8a BSIG: angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen — nachzuweisen alle zwei Jahre durch Audits, Prüfungen oder Zertifizierungen. Dazu kommen Meldepflichten für erhebliche Störungen an das BSI, eine erreichbare Kontaktstelle und seit den jüngsten Novellen Systeme zur Angriffserkennung.

Technisch übersetzt heißt das: belastbare Netz- und Systemarchitektur mit Redundanz, Segmentierung — gerade zwischen IT und OT —, Monitoring und Angriffserkennung, geübte Incident-Prozesse und saubere Dokumentation. Die Nachweispflicht macht aus jeder Maßnahme auch eine Dokumentationsaufgabe.

Typische Handlungsfelder in KRITIS-Umgebungen

IT/OT-Trennung und Mikrosegmentierung gegen Ausbreitung ins Prozessnetz.
Angriffserkennung (SIEM/NDR) mit dokumentierten Reaktionswegen.
Redundante Anbindungen und DDoS-Schutz für kritische Dienste.
Nachweisfähige Prozesse: Audits bestehen, nicht nur Technik besitzen.

Häufige Fragen zu KRITIS (Kritische Infrastrukturen)

Woher weiß ich, ob mein Unternehmen KRITIS ist?

Maßgeblich sind Sektor und Schwellenwerte der BSI-Kritisverordnung — etwa versorgte Personenzahlen oder Durchsatzmengen je Anlage. Wer Schwellen erreicht, ist Betreiber im Rechtssinn und muss sich beim BSI registrieren. Im Zweifel gehört die Prüfung zur Rechtsberatung.

Was verlangt Paragraf 8a BSIG?

Angemessene Vorkehrungen nach Stand der Technik zur Vermeidung von Störungen der kritischen Dienstleistung — mit Nachweis gegenüber dem BSI alle zwei Jahre durch geeignete Audits oder Prüfungen. Branchenspezifische Sicherheitsstandards (B3S) konkretisieren das je Sektor.

Wie unterscheiden sich KRITIS und NIS-2?

KRITIS ist der etablierte deutsche Rahmen für kritische Infrastrukturen; NIS-2 ist die breitere EU-Richtlinie, die deutlich mehr Unternehmen erfasst. Beide verzahnen sich in der deutschen Umsetzung: KRITIS-Betreiber gehören zu den besonders wichtigen Einrichtungen mit den strengsten Pflichten.

Was bedeutet die Pflicht zur Angriffserkennung?

Betreiber müssen Systeme einsetzen, die Angriffe auf ihre IT kontinuierlich erkennen können — praktisch: Protokollierung, Detektion (etwa SIEM, EDR, NDR) und definierte Reaktion, angemessen zum Risiko. Die BSI-Orientierungshilfe beschreibt Reifegrade dafür.

Zählen auch Zulieferer von KRITIS-Betreibern zu KRITIS?

Nicht automatisch — aber Betreiber reichen Anforderungen vertraglich weiter, und NIS-2 adressiert Lieferkettensicherheit ausdrücklich. Wer kritische Betreiber beliefert, sollte mit Sicherheitsanforderungen und Nachweisfragen aus deren Audits rechnen.