KRITIS und das KRITIS-Dachgesetz: Was Betreiber jetzt wissen müssen

Betreiber Kritischer Infrastrukturen (KRITIS) unterliegen besonderen Sicherheitspflichten. Mit dem KRITIS-Dachgesetz kommt der physische Schutz hinzu. Dieser Überblick ordnet die Anforderungen ein.

Was zählt zu KRITIS?

Zu den kritischen Infrastrukturen gehören Sektoren wie Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr sowie Siedlungsabfallentsorgung. Ob ein Unternehmen als KRITIS-Betreiber gilt, hängt von den Schwellenwerten der BSI-Kritisverordnung ab (Richtwert: Versorgung von rund 500.000 Menschen).

Pflichten nach dem BSI-Gesetz

KRITIS-Betreiber müssen angemessene Vorkehrungen nach dem Stand der Technik treffen, dies regelmäßig (i. d. R. alle zwei Jahre) nachweisen, Systeme zur Angriffserkennung einsetzen und erhebliche Störungen an das BSI melden. Zudem ist eine Kontaktstelle zu benennen.

Das KRITIS-Dachgesetz

Während NIS2 und das BSI-Gesetz die Cybersicherheit adressieren, zielt das KRITIS-Dachgesetz auf die physische Resilienz kritischer Anlagen – etwa gegen Naturgefahren, Sabotage oder Ausfälle. Betreiber müssen Risiken bewerten und Schutzmaßnahmen umsetzen.

Cyber und physisch zusammendenken

Digitale und physische Sicherheit greifen ineinander. Ein gemeinsames Managementsystem für Risiken, Maßnahmen und Nachweise – etwa mit BCM und Notfallplanung – erfüllt beide Welten effizient und prüfungssicher.