KRITIS Protect – So schützen Sie Ihre kritischen Infrastrukturen

Prüfen Sie, ob Ihr Unternehmen einem der KRITIS‑Sektoren zuzuordnen ist: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung, Gesundheitswesen, Wasser, Ernährung, IT und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Nur Unternehmen in diesen Sektoren unterliegen dem Anwendungsbereich des Gesetzes.

Maßgeblich ist, ob Ihr Unternehmen eine „kritische Dienstleistung“ erbringt. Welche Dienstleistungen in den einzelnen Sektoren als kritisch gelten, bestimmt eine Rechtsverordnung des Bundesministeriums des Innern (BMI), orientiert an der EU‑Liste wesentlicher Dienste. Ohne eine solche Einordnung erfolgt keine Einstufung als Betreiber einer kritischen Anlage.

Maßgeblich sind die Anlagenkategorie sowie der Versorgungsgrad der jeweiligen Anlage. Grundsätzlich gilt eine Anlage als kritisch, wenn sie in der Regel mindestens 500.000 Einwohner versorgt. Abweichende oder ergänzende — auch qualitative — Kriterien sind möglich und werden durch Rechtsverordnung näher konkretisiert.

Auch wenn die allgemeinen Schwellenwerte nicht erreicht werden, kann das BMI eine Anlage im Einzelfall als kritisch einstufen oder umgekehrt deren Nicht‑Erheblichkeit feststellen. In beiden Fällen erfolgt eine förmliche Mitteilung, gegebenenfalls verbunden mit der Aufforderung zur Registrierung.

Für Finanzunternehmen sowie den Bereich IT und Telekommunikation finden Teile des KRITIS‑Dachgesetzes (insbesondere Resilienzpflichten und Meldepflichten) keine Anwendung, da insoweit gleichwertige europäische Regelwerke — etwa DORA oder NIS‑2 — maßgeblich sind.
Die Sektoren Siedlungsabfallentsorgung und Sozialversicherung sind ebenfalls teilweise ausgenommen, unterliegen jedoch weiterhin bestimmten Pflichten, insbesondere Registrierung und Risikoanalyse. Die jeweiligen Bereichsausnahmen sind sorgfältig zu prüfen.

Das Gesetz findet Anwendung auf Anlagen im deutschen Hoheitsgebiet einschließlich der ausschließlichen Wirtschaftszone (AWZ), etwa auf Offshore‑Infrastrukturen. Maritime Besonderheiten sind ausdrücklich zu berücksichtigen.

Wird eine Anlage als kritisch identifiziert, ist der Betreiber verpflichtet, sich spätestens innerhalb von drei Monaten — frühestens ab dem 17. Juli 2026 — über die gemeinsame Registrierungsplattform von BBK und BSI zu registrieren. Anzugeben sind insbesondere Angaben zum Unternehmen, zum Sektor bzw. zur Branche, zur kritischen Dienstleistung, zu den Anlagenstandorten, zum Versorgungsgrad, zu etwaigen EU‑Länderbezügen sowie zur Kontaktstelle.

Die Benennung einer ständig erreichbaren Kontaktstelle ist verpflichtend. Änderungen der Stammdaten sind unverzüglich, spätestens jedoch innerhalb von zwei Wochen, mitzuteilen; der Versorgungsgrad ist jährlich zu aktualisieren.

Mit der Registrierung beginnen die gesetzlichen Fristen: Die Risikoanalyse und ‑bewertung des Betreibers ist spätestens neun Monate danach vorzulegen; Resilienzpflichten, Resilienzplan, Nachweise und Meldewesen spätestens zehn Monate nach Registrierung. Eine rückwärtsgerichtete Planung ist erforderlich.

Auf Grundlage der nationalen Risikoanalysen sowie weiterer verlässlicher Informationsquellen sind sämtliche relevanten Natur‑, Technik‑, menschengemachten und hybriden Risiken systematisch zu erfassen und zu priorisieren. Dabei sind Abhängigkeiten und Wechselwirkungen — sowohl sektoren‑ als auch grenzüberschreitend — zu berücksichtigen.

Ziele, Maßnahmen, deren Begründung sowie die Bezüge zur Risikoanalyse sind in einem Resilienzplan nachvollziehbar zu dokumentieren und bedarfsorientiert fortzuschreiben. Entsprechende Vorlagen und Muster des BBK stehen zur Verfügung.

Hierzu zählen insbesondere baulich‑technische Schutzmaßnahmen (z. B. Perimeter‑ und Fassadensicherung, Zugangskontrollen, Detektionssysteme), Umfeldüberwachung, Krisenmanagement und Alarmierungsprozesse, Maßnahmen zum Betriebserhalt (etwa Notstromversorgung), Alternativen in der Lieferkette, Mitarbeitersicherheitsmanagement sowie Schulungen und Übungen. Dabei sind wirtschaftliche Aspekte abzuwägen und der Stand der Technik zu berücksichtigen.

Eine Erstmeldung ist innerhalb von 24 Stunden nach Kenntniserlangung an die gemeinsame Meldestelle von BBK und BSI abzugeben. Bei andauernden Vorfällen sind Folgemeldungen zu übermitteln; ein abschließender Bericht ist spätestens binnen eines Monats vorzulegen. Die Meldungen müssen Angaben zu Betroffenenzahlen, Dauer sowie geografischem Ausmaß enthalten.

Die zuständigen Behörden können Nachweise anfordern (u. a. den Resilienzplan), Audits durchführen und Vor‑Ort‑Prüfungen vornehmen. Bei festgestellten Mängeln drohen behördliche Anordnungen, einschließlich eines Mängelbeseitigungsplans, sowie Bußgelder von bis zu 500.000 € je Tatbestand. Die Geschäftsleitung ist verpflichtet, die erforderlichen Maßnahmen umzusetzen und organisatorisch sicherzustellen (Leitungsverantwortung).

Erbringen Sie dieselbe oder eine vergleichbare wesentliche Dienstleistung in oder für mindestens sechs EU‑Mitgliedstaaten, können Sie als „kritische Einrichtung von besonderer Bedeutung für Europa“ eingestuft werden. Dies ist mit zusätzlicher EU‑Unterstützung und ‑Überwachung, etwa in Form von Beratungsmissionen, sowie mit erweiterten Berichtspflichten verbunden.