IT-Sicherheitsgesetz und KRITIS

Die Pflichten für Betreiber kritischer Infrastrukturen (KRITIS) standen früher im IT-Sicherheitsgesetz 2.0. Seit dem 6. Dezember 2025 gelten sie nach dem durch das NIS2-Umsetzungsgesetz neu gefassten BSI-Gesetz. Betreiber kritischer Anlagen gelten dort unabhängig von ihrer Größe als besonders wichtige Einrichtungen.

Ob ein Unternehmen KRITIS-Betreiber ist, hängt nicht von der Mitarbeiterzahl ab, sondern davon, ob es eine kritische Anlage betreibt. Welche Anlagen dazu zählen, legt eine Rechtsverordnung über Anlagenkategorien und Schwellenwerte fest; der Regelwert liegt bei 500.000 von einer Anlage versorgten Einwohnern (§ 2 Nr. 22 BSIG, § 5 KRITISDachG). Die KRITIS-Sektoren nennt § 4 KRITIS-Dachgesetz, etwa Energie, Wasser, Ernährung und Gesundheitswesen.

Bei einem erheblichen Sicherheitsvorfall: Erstmeldung spätestens nach 24 Stunden, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat danach – jeweils an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (§ 32 BSIG). Meldepflichtig kann auch ein Vorfall bei einem Dienstleister sein, wenn er die eigenen Dienste erheblich beeinträchtigt.

Betreiber kritischer Anlagen müssen dem BSI alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen, dass ihre Maßnahmen umgesetzt sind (§ 39 BSIG). Zusätzlich müssen sie Systeme zur Angriffserkennung einsetzen (§ 31 Abs. 2 BSIG).

Bis zu 10 Mio. €, bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % des weltweiten Umsatzes (§ 65 BSIG). Hinzu kommen mögliche Schadensersatzansprüche, wenn Ausfälle auf mangelnde IT-Sicherheit zurückgehen.