KRITIS – Kritische Infrastrukturen

Abkürzung: KRITIS

Als kritische Infrastrukturen gelten Einrichtungen, die für das Funktionieren des Gemeinwesens von erheblicher Bedeutung sind und bei deren Ausfall nachhaltige Versorgungsengpässe oder Gefährdungen der öffentlichen Sicherheit einträten.

Der Begriff ist keine Kategorie, sondern eine Rechtsfolge: Wer darunterfällt, bekommt Pflichten, die für andere Unternehmen nicht gelten.

Zwei Gesetze, zwei Seiten

Das ist die wichtigste Änderung der jüngeren Zeit, und sie wird häufig übersehen. Seit Ende 2025 verteilt sich die Regulierung auf zwei Gesetze mit zwei Zuständigkeiten:

Das KRITIS-Dachgesetz trägt den amtlichen Titel „Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen“. Es deckt ab, was das BSI-Gesetz ausdrücklich nicht regelt: Hochwasser, Brand, Sabotage, Stromausfall, Zutritt durch Unbefugte.

Beide Gesetze benutzen denselben Anlagenbegriff. Definiert ist er im KRITIS-Dachgesetz; das BSI-Gesetz verweist in § 2 Nr. 22 lediglich darauf. Wer wissen will, ob eine Anlage kritisch ist, schlägt also im KRITIS-Dachgesetz nach, auch wenn ihn nur die Cybersicherheit interessiert.

Was Betreiber leisten müssen

Auf der physischen Seite

§ 13 des KRITIS-Dachgesetzes verlangt Maßnahmen für vier Ziele: Vorfälle verhindern, Liegenschaften und Anlagen physisch schützen, auf Vorfälle reagieren und ihre Auswirkungen begrenzen, nach einem Vorfall die Dienstleistung rasch wiederherstellen.

Genannt werden dafür unter anderem Notfallvorsorge, Objektschutz, Zugangskontrollen, Krisenmanagement, Notstromversorgung und Schulungen. Die Maßnahmen müssen verhältnismäßig sein und sich auf eine Risikoanalyse stützen.

Zusammengefasst werden sie in einem Resilienzplan, den der Betreiber führt, anwendet und fortschreibt. Vorlagen dafür stellt das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe bereit.

Auf der Cyberseite

Hier gelten die allgemeinen Pflichten des BSI-Gesetzes — Risikomanagement nach § 30, Meldungen nach § 32, Registrierung nach § 33 — ergänzt um zwei Verschärfungen für Betreiber kritischer Anlagen: besondere Anforderungen nach § 31 und die periodische Nachweispflicht nach § 39.

Gemeldet wird an eine gemeinsame Meldestelle von BSI und BBK. Das ist die Stelle, an der die beiden Gesetze praktisch zusammenlaufen.

Was das für Rechenzentren bedeutet

Rechenzentren sind doppelt betroffen: als eigene Anlagen und als Dienstleister für Betreiber in anderen Sektoren.

Die Resilienzanforderungen lesen sich dabei wie eine Beschreibung dessen, was ein ordentlich gebautes Rechenzentrum ohnehin hat. Notstromversorgung, getrennte Versorgungspfade, Zutrittskontrolle, konkurrierende Wartbarkeit und Georedundanz sind keine neuen Forderungen, sondern vorhandene Bauweisen, die nun begründet und dokumentiert werden müssen.

Der Aufwand verschiebt sich damit von der Technik zur Nachweisführung — und das ist für viele Betreiber die unangenehmere Hälfte.

Ein verbreiteter Irrtum

KRITIS und NIS2 sind nicht dasselbe. Die Begriffe werden in Beratungsangeboten häufig synonym verwendet, und das führt in beide Richtungen in die Irre:

Nicht jede Einrichtung, die unter das BSI-Gesetz fällt, betreibt eine kritische Anlage. Der weit überwiegende Teil der neu erfassten Unternehmen sind besonders wichtige oder wichtige Einrichtungen ohne KRITIS-Status — sie haben Pflichten nach §§ 30 und 32, aber keine Nachweispflicht nach § 39 und keinen Resilienzplan.

Umgekehrt endet der KRITIS-Status nicht an der IT. Wer eine kritische Anlage betreibt, muss auch dann physische Resilienz nachweisen, wenn seine Informationstechnik tadellos ist.

Abgrenzung

BSI-Gesetz. Die Cyberseite, mit den Pflichten im Einzelnen.

NIS2. Die europäische Richtlinie hinter dem BSI-Gesetz. Sie kennt den deutschen KRITIS-Begriff nicht, sondern arbeitet mit Sektoren und Unternehmensgrößen.

Universal- und Notdienste. Telekommunikationsrechtliche Verpflichtungen zur Versorgung bestehen unabhängig vom KRITIS-Status und folgen eigenen Regeln.