Wachsende Abhängigkeiten
Versorgung, Produktion und Kommunikation sind eng miteinander vernetzt. Störungen bleiben deshalb selten auf einen einzelnen Standort oder Prozess begrenzt.
Wissen · Kritische Infrastrukturen
KRITIS einfach erklärt: Wer betroffen ist und was jetzt zu tun ist
Warum der Schutz kritischer Infrastrukturen an Bedeutung gewonnen hat, wie der heutige Rechtsrahmen aussieht und welche organisatorischen, physischen und digitalen Aufgaben daraus entstehen.
Ausgangslage
Warum KRITIS stärker in den Fokus gerückt ist
Energie, Wasser, Verkehr, Gesundheit und digitale Dienste bilden die Grundlage des gesellschaftlichen und wirtschaftlichen Lebens. Fällt eine solche Leistung aus, können sich die Folgen schnell auf weitere Bereiche ausweiten.
Veränderte Bedrohungslage
Cyberangriffe, Sabotage, Extremwetter, technische Ausfälle und Lieferengpässe machen einen umfassenderen Schutzansatz erforderlich.
Gemeinsame Mindestanforderungen
Europäische und deutsche Regelungen schaffen einen breiteren Rahmen für Cybersecurity, physischen Schutz und betriebliche Widerstandsfähigkeit.
Entwicklung
Vom IT-Schutz zur umfassenden Resilienz
Der heutige KRITIS-Rahmen ist schrittweise entstanden. Die Entwicklung zeigt: Neben der Informationssicherheit rückt die Fähigkeit in den Mittelpunkt, kritische Leistungen auch bei physischen oder organisatorischen Störungen aufrechtzuerhalten.
2016
Erste NIS-Richtlinie
Die EU schafft erstmals einen gemeinsamen Rahmen für die Sicherheit von Netz- und Informationssystemen.
2022
NIS-2 und CER
Die EU erweitert den Kreis betroffener Einrichtungen und verbindet Cybersicherheit mit der Resilienz kritischer Einrichtungen.
2025
NIS-2 in Deutschland
Das deutsche Umsetzungsgesetz tritt am 6. Dezember 2025 in Kraft und erweitert die Pflichten zur Cybersicherheit.
Cybersecurity2026
KRITIS-Dachgesetz
Seit dem 17. März 2026 besteht ein einheitlicher Rahmen für die physische Resilienz kritischer Anlagen.
Physische Resilienz
Heutiger Stand
NIS-2 und BSI-Gesetz
KRITIS-Dachgesetz
Zwei Regelungsbereiche, ein gemeinsames Ziel
Der Schutz kritischer Leistungen wird heute aus zwei miteinander verbundenen Perspektiven betrachtet. Zuständigkeiten und konkrete Pflichten richten sich nach der jeweiligen Einstufung.
Cybersecurity und Informationssicherheit
Im Mittelpunkt stehen die Sicherheit von Netz- und Informationssystemen sowie der kontrollierte Umgang mit erheblichen Sicherheitsvorfällen.
- Cyber-Risikomanagement
- Schutz von IT und vernetzten Systemen
- Geschäftsleitungsverantwortung
- Registrierungs- und Meldepflichten
Physischer Schutz und betriebliche Resilienz
Im Mittelpunkt steht die Widerstandsfähigkeit kritischer Anlagen gegenüber natürlichen, technischen und menschengemachten Risiken.
- Risikoanalyse und Risikobewertung
- Physische und organisatorische Maßnahmen
- Resilienzpläne und Nachweise
- Erfassung und Meldung relevanter Vorfälle
Wichtig: Das KRITIS-Dachgesetz ist in Kraft. Einzelheiten zu Identifizierung, Verfahren und Fristen werden teilweise durch Rechtsverordnungen und behördliche Vorgaben konkretisiert. Der Umsetzungsstand sollte deshalb regelmäßig anhand offizieller Quellen geprüft werden.
Betroffenheit
Wer kann betroffen sein?
„KRITIS“ ist keine freiwillige Bezeichnung. Entscheidend sind gesetzliche Kriterien wie Sektor, Art der erbrachten Leistung, Größe der Einrichtung und Versorgungsschwellen.
1
Sektor bestimmen
Gehört die Organisation zu einem gesetzlich erfassten Bereich?
2
Leistung und Anlage einordnen
Welche kritische Dienstleistung wird mit welchen Anlagen erbracht?
3
Größe und Schwellenwerte prüfen
Gelten Mitarbeiter-, Umsatz- oder Versorgungsschwellen?
4
Mehrfachregulierung berücksichtigen
Können zusätzlich sektorale Vorgaben oder NIS-2-Pflichten gelten?
Aufgaben
01
02
03
04
05
Was Organisationen tun müssen
Die konkreten Pflichten unterscheiden sich nach Einstufung. Inhaltlich lassen sie sich jedoch in sechs zusammenhängende Arbeitsbereiche gliedern.
Betroffenheit und Scope klären
Relevante Gesellschaften, Standorte, Anlagen, Dienstleistungen, IT- und OT-Systeme sowie Abhängigkeiten nachvollziehbar abgrenzen.
Verantwortung festlegen
Zuständigkeiten von Geschäftsleitung, Informationssicherheit, Betrieb, Gebäudesicherheit, Krisenmanagement und Fachbereichen verbindlich regeln.
Risiken bewerten
Physische, digitale, technische, personelle und organisatorische Risiken sowie Abhängigkeiten und mögliche Ausfallfolgen erfassen.
Maßnahmen umsetzen
Angemessene und verhältnismäßige Schutzmaßnahmen für Prävention, Detektion, Reaktion, Aufrechterhaltung und Wiederherstellung einführen.
Vorfälle beherrschen
Meldewege, Eskalationen, Notfallkommunikation und Zusammenarbeit mit zuständigen Stellen vorbereiten und regelmäßig erproben.
Dokumentieren und verbessern
Entscheidungen, Risikoanalysen, Resilienzmaßnahmen, Prüfungen, Übungen und Verbesserungen nachvollziehbar dokumentieren.
Vorbeugen
Risiken reduzieren und kritische Abhängigkeiten begrenzen.
Schützen
Anlagen, Systeme, Prozesse und Personen angemessen absichern.
Erkennen
Abweichungen und Vorfälle frühzeitig feststellen und bewerten.
Reagieren
Auswirkungen begrenzen und definierte Abläufe auslösen.
Wiederherstellen
Kritische Leistungen stabilisieren und kontrolliert fortführen.
Ein Baustein des Schutzkonzepts
Welche Rolle Videosicherheit spielen kann
Videosicherheit kann den physischen Schutz kritischer Anlagen unterstützen. Ihre Wirksamkeit entsteht jedoch erst durch die Einbindung in Prozesse, Zuständigkeiten und eine abgesicherte Systemarchitektur.
Eine Videoanlage allein erfüllt keine KRITIS-Anforderung. Sie ist ein technischer Baustein innerhalb eines risikobasierten und ganzheitlichen Schutzkonzepts.
Perimeter überwachen
Unbefugte Annäherungen und definierte Ereignisse früh erkennen.
Zugänge verifizieren
Vorgänge an sensiblen Zugängen visuell prüfen und nachvollziehen.
Lagen bewerten
Ereignisse schneller einordnen und Einsatzentscheidungen unterstützen.
Prozesse integrieren
Videoereignisse kontrolliert an Leitstellen und Drittsysteme übergeben.
Systeme absichern
Zugriffe, Netzwerke, Updates und Kommunikationswege berücksichtigen.
Nachvollziehbarkeit schaffen
Relevante Ereignisse und Reaktionen im zulässigen Rahmen dokumentieren.
Kurz erklärt
Häufige Fragen zu KRITIS
Sind KRITIS und NIS-2 dasselbe?
Nein. NIS-2 richtet den Blick vor allem auf Cybersecurity und die Sicherheit von Netz- und Informationssystemen. Das KRITIS-Dachgesetz ergänzt diesen Bereich um physische Resilienz und einen sektorübergreifenden Schutz kritischer Anlagen.
Ist jedes Unternehmen in einem KRITIS-Sektor automatisch betroffen?
Nein. Neben dem Sektor sind unter anderem die konkrete Leistung, die Art der Anlage, Unternehmensgrößen und Versorgungsschwellen entscheidend. Die Prüfung muss organisationsbezogen erfolgen.
Geht es bei KRITIS nur um Cyberangriffe?
Nein. Der Schutzansatz berücksichtigt auch physische Angriffe, Sabotage, Naturgefahren, technische Ausfälle, personelle Risiken und weitere Ursachen, die kritische Leistungen beeinträchtigen können.
Reicht der Einbau moderner Sicherheitstechnik aus?
Nein. Technik muss aus einer Risikoanalyse abgeleitet, angemessen betrieben, abgesichert, dokumentiert und in organisatorische Reaktions- und Wiederherstellungsprozesse eingebunden werden.
Weiterführende Informationen
Offizielle Quellen
Da Rechtsverordnungen, behördliche Vorgaben und Hilfestellungen weiterentwickelt werden, sollten Organisationen den aktuellen Stand regelmäßig anhand offizieller Informationen prüfen.
Bundesregierung: Überblick zum KRITIS-Dachgesetz
BBK: Informationen zum KRITIS-Dachgesetz
BSI: Informationen für NIS-2-regulierte Einrichtungen
EUR-Lex: NIS-2-Richtlinie
EUR-Lex: CER-Richtlinie
Stand der redaktionellen Einordnung: 17. September 2026. Diese Übersicht dient der allgemeinen Information und stellt keine Rechtsberatung oder verbindliche Feststellung der Betroffenheit dar.