KRITIS: Definition und Bedeutung Kritischer Infrastrukturen

(Bevorzugen Sie Videos? Unten finden Sie eine kurze Zusammenfassung.)

KRITIS spielt eine zentrale Rolle in der modernen Sicherheitsarchitektur von Staaten und Unternehmen, da kritische Infrastrukturen das Fundament für Versorgung, Wirtschaft und öffentliche Ordnung bilden.

Was ist KRITIS?

KRITIS steht für kritische Infrastrukturen und umfasst Anlagen und Systeme, die für das Funktionieren und die Sicherheit eines Staates, der Gesellschaft und der Wirtschaft von entscheidender Bedeutung sind – das ist die Definition von KRITIS. Ein Ausfall oder eine Beeinträchtigung dieser Infrastrukturen kann schwerwiegende Folgen haben. Der Schutz dieser kritischen Infrastrukturen ist daher von besonderem öffentlichen Interesse.

Welche Sektoren zählen zu den KRITIS?

Zu den KRITIS-Sektoren gehören diese Bereiche:

Unternehmen in diesen Bereichen gelten als KRITIS-Betreiber und unterliegen besonderen Sicherheitsanforderungen.

Welche Branchen fallen unter die KRITIS-Verordnung?

Die KRITIS-Verordnung betrifft alle oben genannten Sektoren und verpflichtet Unternehmen, geeignete Sicherheitsmaßnahmen umzusetzen. Dazu gehören unter anderem Risikoanalysen, ein kontinuierliches Monitoring sowie klare Prozesse zur Meldung von Sicherheitsvorfällen, etwa durch eine Meldung an das BSI.

KRITIS und NIS2: wo die Unterschiede liegen

Auch wenn NIS-2 und KRITIS eng zusammenhängen, unterscheiden sich beide Regelwerke in Zielgruppe und Umfang.

KRITIS nach BSI KritisV

Die Definition kritischer Infrastrukturen erfolgt in Deutschland über die BSI-Kritisverordnung (BSI-KritisV). Sie legt fest, welche Unternehmen als BSI-KRITIS gelten.

Besonders wichtige Einrichtungen nach NIS2

Die NIS2-Richtlinie erweitert den Kreis deutlich und unterscheidet zwischen „wichtigen“ und „besonders wichtigen“ Einrichtungen.

Dazu zählen u. a.:

• IT- und Digitalunternehmen
• Logistik und Transport
• Öffentliche Verwaltung
• Teile der Industrie

Diese Unternehmen unterliegen ähnlichen Sicherheitsanforderungen, auch wenn sie nicht unter die klassische BSI-Kritisverordnung (BSI-KritisV) fallen.

Warum nicht jedes NIS2 Unternehmen KRITIS ist

Nicht jedes Unternehmen unter NIS2 erfüllt automatisch die Kriterien der BSI-KritisV. Der Unterschied liegt vor allem in der Rolle für die Gesellschaft.

NIS2 = breiterer Sicherheitsrahmen für viele BranchenRITIS-Zertifizierung den neuesten Standards entspricht.

KRITIS = systemrelevant für die Grundversorgung

Wer wird als KRITIS-Betreiber eingestuft?

Wie wird man zum KRITIS-Betreiber?

Ein Unternehmen gilt als KRITIS-Betreiber, wenn es wesentliche Dienstleistungen in einem der KRITIS-Sektoren bereitstellt und bestimmte Schwellenwerte in Bezug auf Größe und Bedeutung überschreitet.

Existieren dazu Listen?

Ja, es gibt offizielle Listen und Register, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und anderen Behörden geführt werden und Unternehmen als KRITIS-Betreiber ausweisen. Diese KRITIS-Unternehmen Listen sind öffentlich zugänglich und helfen bei der Identifikation der betroffenen Unternehmen.

KRITIS-Sektoren

Die Lieferanten müssen gewährleisten, dass in allen relevanten Unternehmensbereichen, die Produkte oder Dienstleistungen für Betreiber kritischer Infrastrukturen bereitstellen, die erforderlichen Sicherheitsmaßnahmen umgesetzt werden. KRITIS-Sektoren umfassen verschiedene Bereiche der Infrastruktur, die für das Funktionieren und die Sicherheit eines Staates sowie für das Wohl der Bevölkerung von entscheidender Bedeutung sind. Diese Sektoren spielen eine zentrale Rolle in der nationalen Sicherheit, Wirtschaft und dem öffentlichen Leben des staatlichen Gemeinwesens.

Energie

Der Energiesektor umfasst die Strom-, Gas- und Ölversorgung. Ein Ausfall in diesem Bereich könnte zu erheblichen Störungen in anderen Sektoren führen, da Energie die Grundlage für nahezu alle kritischen Dienste bildet.

Wasser

Der Wassersektor umfasst die Trinkwasser- und Abwasserentsorgung. Sauberes Wasser ist essentiell für die Gesundheit und Hygiene der Bevölkerung. Ein Versorgungsengpass in diesem Bereich kann schnell zu einer Krise führen.

Ernährung

Der Ernährungssektor beinhaltet die Produktion und Verteilung von Lebensmitteln. Eine Unterbrechung in der Lebensmittelversorgung könnte gravierende Folgen für die öffentliche Gesundheit und das allgemeine Wohlbefinden haben.

Informationstechnik und Telekommunikation

Dieser Sektor umfasst Netzwerke, Server und Kommunikationsinfrastruktur. Die Sicherstellung der Funktionalität dieser Systeme ist entscheidend für die Koordination und den Informationsfluss in allen anderen KRITIS-Sektoren.

Gesundheit

Der Gesundheitssektor umfasst Krankenhäuser, Apotheken und medizinische Versorgungseinrichtungen. Die Aufrechterhaltung der medizinischen Versorgung ist besonders in Krisenzeiten von großer Bedeutung.

Finanz- und Versicherungswesen

Dieser Sektor umfasst Banken, Börsen und Versicherungen. Ein Ausfall könnte zu erheblichen wirtschaftlichen Schäden und zur Beeinträchtigung der wirtschaftlichen Stabilität führen.

Transport und Verkehr

Der Transport- und Verkehrssektor betrifft Straßen, Schienen, Flughäfen und Häfen. Ein reibungsloser Transport von Personen und Gütern ist essentiell für die Wirtschaft und die Versorgung der Bevölkerung.

Staat und Verwaltung

In diesen Sektor fallen Regierungs- und Verwaltungsfunktionen. Die Aufrechterhaltung staatlicher Dienste und Verwaltungsprozesse ist unerlässlich für die öffentliche Ordnung und Sicherheit.

KRITIS-Schlüsselelemente

KRITIS-Kernkomponenten sind essenzielle Elemente innerhalb der kritischen Infrastrukturen, die für deren Betrieb unerlässlich sind. Diese Komponenten müssen den höchsten Standards der Informationssicherheit entsprechen.

Erklärung zur Vertrauenswürdigkeit von Komponentenherstellern

Hersteller von KRITIS-Komponenten müssen eine Vertrauenswürdigkeitserklärung abgeben, die die Sicherheitsstandards und Zuverlässigkeit ihrer Produkte bestätigt. Dies wird durch das BSI-Gesetz geregelt und ist ein wesentlicher Bestandteil der KRITIS-Zertifizierung.

KRITIS im Jahr 2026: was sich rechtlich geändert hat

Die Regulierung rund um kritische Infrastrukturen hat sich 2026 deutlich weiterentwickelt – mit neuen Pflichten, mehr Transparenz und strengeren Anforderungen für Betreiber.

NIS2 Umsetzungsgesetz und neue Pflichten

Mit der Umsetzung von NIS-2-Umsetzungsgesetz und KRITIS wurden die Anforderungen an Unternehmen deutlich ausgeweitet. Neben klassischen KRITIS-Unternehmen fallen nun auch mehr Organisationen unter strengere Sicherheits- und Meldepflichten.

Zentrale Neuerungen sind:

• Erweiterter Anwendungsbereich – mehr betroffene Branchen und Unternehmen
• Strengere Sicherheitsanforderungen – verbindliche technische und organisatorische Maßnahmen
• Klare Meldepflichten – Erhebliche Vorfälle melden wird verpflichtend
• Höhere Verantwortung der Geschäftsleitung – stärkere Haftung und Kontrolle

Die Grundlage bildet weiterhin das BSI-Gesetz, das durch neue Regelwerke ergänzt wird.

KRITIS-Dachgesetz und CER-Richtlinie

Mit dem neuen KRITIS-Dachgesetz und der europäischen CER-Richtlinie wird der Fokus stärker auf Resilienz und Schutz kritischer Infrastrukturen gelegt. Dabei geht es nicht nur um IT-Sicherheit, sondern auch um:

• Physische Sicherheit von Anlagen,
• Schutz vor Ausfällen und Störungen,
• Sicherstellung von Versorgung und Betrieb.

Die Kombination aus CER-Richtlinie und nationalem KRITIS-Gesetz schafft einen ganzheitlichen Rahmen für moderne Sicherheitsstrategien.

Was für Betreiber kritischer Anlagen neu ist

Für Betreiber ergeben sich konkret neue KRITIS-Pflichten, die über klassische IT-Sicherheit hinausgehen. Dazu zählen unter anderem:

• Einrichtung einer 24/7-Kontaktstelle für Notfälle
• Durchführung einer Risikoanalyse kritischer Anlagen
• Einführung von Business-Continuity-Management
• Kontinuierliches Störungsmonitoring
• Erweiterte Meldewege, inklusive Meldung an das BBK

Damit steigen sowohl der organisatorische als auch der technische Aufwand deutlich.

Welche Anforderungen gelten für Zulieferer von KRITIS-Betreibern?

Betroffene Unternehmensbereiche

Lieferanten von KRITIS-Betreibern müssen sicherstellen, dass alle Unternehmensbereiche, die in die Lieferkette involviert sind, den strengen Sicherheitsanforderungen entsprechen. Dies gilt insbesondere für die Bereiche Informationstechnik und Technik, da diese besonders anfällig für Sicherheitsrisiken sind. Die Lieferanten müssen gewährleisten, dass in allen relevanten Unternehmensfunktionen, die Produkte oder Dienstleistungen für Betreiber kritischer Infrastrukturen bereitstellen, die erforderlichen Sicherheitsmaßnahmen umgesetzt werden. Dazu gehören beispielsweise die Entwicklung, Produktion, Logistik und der Vertrieb. Nur so können die KRITIS-Betreiber darauf vertrauen, dass ihre gesamte Lieferkette den hohen Sicherheitsstandards genügt.

Nachweispflichten

Neben der Implementierung der Sicherheitsmaßnahmen in allen betroffenen Unternehmensbereichen, müssen die Lieferanten von KRITIS-Betreibern regelmäßig Nachweise über die Einhaltung der Sicherheitsstandards erbringen. Diese Nachweise sind essenziell für die KRITIS-Unternehmen, damit sie ihre KRITIS-Zertifizierung aufrechterhalten können. Die Lieferanten sind verpflichtet, die zuständigen Behörden und KRITIS-Betreiber über den Status der Sicherheitsmaßnahmen zu informieren und jederzeit Einblick in die relevanten Dokumentationen zu gewähren. Nur so kann die Resilienz der kritischen Infrastrukturen langfristig gewährleistet werden.

Pflichten von KRITIS-Betreibern im Überblick

Für die KRITIS-Unternehmen gelten klare gesetzliche Vorgaben, die regelmäßig überprüft und nachgewiesen werden müssen.

Registrierung und 24\7-Kontaktstelle

Betreiber müssen sich beim BSI registrieren und eine jederzeit erreichbare 24/7-Kontaktstelle einrichten. Diese dient als zentrale Schnittstelle für Sicherheitsmeldungen und Kommunikation im Krisenfall.

Risikoanalysen und Resilienzmaßnahmen

Ein zentraler Bestandteil der KRITIS-Anforderungen ist die regelmäßige Risikoanalyse kritischer Anlagen. Darauf aufbauend müssen geeignete Schutzmaßnahmen umgesetzt werden. Dazu gehören:

• Technische Sicherheitsmaßnahmen
• Organisatorische Prozesse
• Notfall- und Wiederanlaufpläne

Nachweise gegenüber dem BSI

Unternehmen müssen regelmäßig nachweisen, dass sie die Anforderungen aus dem BSI-Gesetz und der BSI-KritisV erfüllen.

Dies erfolgt typischerweise durch:

• Audits und Prüfungen
• Dokumentation von Maßnahmen
• Sicherheitskonzepte und Reports

Meldepflichten bei erheblichen Vorfällen

Ein zentraler Bestandteil der KRITIS-Pflichten ist die Pflicht, Sicherheitsvorfälle zu melden. Unternehmen müssen erhebliche Vorfälle melden, sobald diese die Versorgung oder Sicherheit beeinträchtigen könnten. Dazu gehört:

• Meldung an das BSI
• ggf. ergänzende Meldung an das BBK
• schnelle Reaktion und Dokumentation
• kontinuierliches Störungsmonitoring

So wird sichergestellt, dass Risiken früh erkannt und systemrelevante Ausfälle verhindert werden.

Welche speziellen Pflichten gelten für die IT-Sicherheit in kritischen Infrastrukturen?

Melde- und Anzeigepflichten

KRITIS-Betreiber sind verpflichtet, sicherheitsrelevante Vorfälle unverzüglich an die zuständigen Behörden zu melden. Diese Meldepflichten sind im IT-Sicherheitsgesetz 2.0 und der BSI-Kritisverordnung (BSIG) festgelegt.

Technische Pflichten

Es müssen technische Sicherheitsmaßnahmen implementiert werden, um die IT-Infrastruktur vor Cyber-Angriffen zu schützen. Diese Maßnahmen sind oft spezifisch für den jeweiligen Sektor und richten sich nach dem aktuellen Stand der Technik. Das KRITIS-Dachgesetz zielt ab 2024 darauf ab, die Resilienz und Sicherheit kritischer Infrastrukturen durch umfassende Regulierung zu stärken, um deren Funktionsfähigkeit auch in Krisenzeiten zu gewährleisten.

Besondere Verpflichtungen für große Unternehmen und die Rüstungsindustrie

Große Unternehmen und die Rüstungsindustrie unterliegen zusätzlichen Sicherheitsanforderungen und Prüfungen. Diese Pflichten sind im BSI-Gesetz und anderen relevanten Gesetzen verankert.

Branchenspezifische Sicherheitsstandards

Jeder KRITIS-Sektor hat spezifische Sicherheitsstandards, die eingehalten werden müssen. Diese Standards werden regelmäßig überprüft und angepasst, um den neuesten Bedrohungen und technologischen Entwicklungen gerecht zu werden.

Bußgeldrisiko

Bei Nichteinhaltung der Sicherheitsanforderungen drohen hohe Bußgelder, die im Bundesgesetzblatt (Deutschland) festgelegt sind. Diese Bußgelder sollen sicherstellen, dass alle KRITIS-Unternehmen die notwendigen Maßnahmen zur Informationssicherheit ergreifen.

Welche besonderen Anforderungen gelten für die physische Sicherheit?

KRITIS-konformes Besucher- und Zutrittsmanagement

KRITIS-Betreiber müssen ein Besucher- und Zutrittsmanagement implementieren, das den Sicherheitsanforderungen entspricht. Diese Maßnahmen sind wichtig, um die physische Sicherheit der kritischen Netzwerke zu gewährleisten.

Besucherverwaltungsprozesse

Es müssen klare Prozesse für die Verwaltung und Kontrolle von Besuchern etabliert sein, um unbefugten Zugang zu kritischen Infrastrukturen zu verhindern.

Wer überwacht die Sicherheit von KRITIS?

Die Sicherheit von KRITIS wird von verschiedenen Behörden und Organisationen überwacht, darunter das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Diese Institutionen arbeiten zusammen, um die Resilienz der kritischen Infrastrukturen zu erhöhen und Versorgungsengpässe zu vermeiden.

KRITIS und das IT-Sicherheitsgesetz 2.0 

Erweiterung der kritischen Infrastruktur

Mit dem IT-Sicherheitsgesetz 2.0 wird der Begriff der kritischen Infrastruktur erweitert, um neue Bereiche und Risiken abzudecken. Diese Erweiterung ist notwendig, um den sich wandelnden Bedrohungen gerecht zu werden und die Sicherheit von KRITIS zu erhöhen.

Cyber-Kritikalität

Der Bedeutung der Cyber-Sicherheit wird mit dem IT-Sicherheitsgesetz 2.0 verstärkt Rechnung getragen. Spezifische Maßnahmen zur Abwehr von Cyber-Bedrohungen werden eingeführt, um die Sicherheit der IT-Systeme zu gewährleisten. Diese Maßnahmen sind entscheidend, um die Integrität und Verfügbarkeit kritischer Infrastrukturen zu schützen.

Zutritts-Kritikalität

Neue Regelungen zur physischen Zutrittskontrolle sollen den unbefugten Zugang zu kritischen Infrastrukturen verhindern und somit die physische Sicherheit erhöhen. Durch strengere Zutrittskontrollen wird sichergestellt, dass nur autorisiertes Personal Zugang zu sensiblen Bereichen erhält.

BSI-Kritisverordnung (BSI-KritisV)

Die BSI-Kritisverordnung regelt die spezifischen Anforderungen an KRITIS-Betreiber und definiert die notwendigen Sicherheitsmaßnahmen. Diese Verordnung ist ein wesentlicher Bestandteil des BSI-Gesetzes.

Ausweitung der BSI-Befugnisse

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhält erweiterte Befugnisse zur Überwachung und Durchsetzung der Sicherheitsanforderungen. Diese Erweiterung ist im BSI-Gesetz verankert und soll die Resilienz der KRITIS erhöhen.

KRITIS-Kontaktstelle

KRITIS-Betreiber müssen eine Kontaktstelle einrichten, die für die Kommunikation mit den Behörden verantwortlich ist. Diese KRITIS-Kontaktstelle ist wichtig für den reibungslosen Informationsaustausch.

Krisenreaktionspläne

KRITIS-Betreiber müssen Krisenreaktionspläne erstellen und diese regelmäßig prüfen, um auf Notfälle vorbereitet zu sein. Die Pläne sind entscheidend für den Bevölkerungsschutz und die Katastrophenhilfe.

Mögliche Geldbußen

Bei Verstößen gegen die Sicherheitsanforderungen können hohe Geldbußen verhängt werden. Diese Bußgelder sind im Bundesgesetzblatt (Deutschland) festgelegt und sollen die Einhaltung der Vorschriften sicherstellen.

Im Überblick: Worum geht es beim IT-Sicherheitsgesetz 2.0?

Das IT-Sicherheitsgesetz 2.0 zielt darauf ab, die Sicherheitsanforderungen für KRITIS-Betreiber zu erhöhen und die Resilienz gegen Bedrohungen zu stärken. Dieses Gesetz ist ein wichtiger Schritt zur Verbesserung der Informationssicherheit.

Neue Gesetzgebung soll Klarheit darüber schaffen, was tatsächlich zu KRITIS zählt

Die neue Gesetzgebung definiert klar, welche Infrastrukturen als kritisch gelten und welche Sicherheitsmaßnahmen erforderlich sind. Dies soll KRITIS-Unternehmen und KRITIS-Betreibern helfen, ihre Pflichten besser zu verstehen und umzusetzen.

Wesentliche Änderungen des IT-Sicherheitsgesetzes für KRITIS-Betreiber

Die wesentlichen Änderungen umfassen erweiterte Meldepflichten, erhöhte Sicherheitsanforderungen und strengere Kontrollen. Diese Änderungen sind notwendig, um den aktuellen Bedrohungen gerecht zu werden.

Wer die Standards nicht erfüllt, muss mit hohen Strafen rechnen

KRITIS-Betreiber, die die neuen Standards nicht einhalten, müssen mit erheblichen Strafen rechnen. Diese Strafen sind im BSI-Gesetz und anderen relevanten Gesetzen festgelegt.

Gemeinsam stark gegen gegenwärtige und zukünftige Bedrohungen

Die verstärkten Sicherheitsmaßnahmen sollen helfen, aktuelle und zukünftige Bedrohungen effektiv zu bekämpfen. Durch eine enge Zusammenarbeit zwischen KRITIS-Betreibern, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und anderen Behörden kann die Informationssicherheit weiter verbessert werden.

Was ist UP KRITIS?

UP KRITIS ist eine Initiative zur Zusammenarbeit und zum Informationsaustausch zwischen Betreibern kritischer Infrastrukturen und staatlichen Stellen. Diese Zusammenarbeit ist entscheidend für den Bevölkerungsschutz und die Katastrophenhilfe.

Wie kann die kritische Infrastruktur effektiv geschützt werden?

Haben Sie Fragen zum KRITIS-konformen Zutrittsmanagement? Wir unterstützen Sie gerne mit unserem Fachwissen

Unser Expertenteam steht Ihnen zur Verfügung, um Sie bei der Implementierung und Verwaltung eines KRITIS-konformen Zutrittsmanagements zu unterstützen. Diese Unterstützung ist wichtig, um die Informationssicherheit und auf dem neusten Stand der Technik zu gewährleisten.

IT-Sicherheit und Cyber Security

Die IT-Sicherheit und Cyber Security spielen eine zentrale Rolle im Schutz kritischer Infrastrukturen und umfassen Maßnahmen zur Abwehr von Cyber-Angriffen und zur Sicherstellung der Integrität von Daten. Diese Maßnahmen sind entscheidend für die Sicherheit der IT-Systeme.

Ausblick auf KRITIS

Der Schutz kritischer Infrastrukturen wird auch in Zukunft eine zentrale Herausforderung bleiben, und es ist mit weiteren gesetzlichen und technischen Entwicklungen zu rechnen. Diese Entwicklungen werden notwendig sein, um den sich ständig wandelnden Bedrohungen gerecht zu werden.