08.10.2026 | 8 min read
Die Frage „Gehören wir zu KRITIS?“ wird in der Praxis häufig zu früh und zu allgemein gestellt. Entscheidend ist nicht allein, ob ein Unternehmen in einem bestimmten Sektor tätig ist. Maßgeblich ist vielmehr, ob konkrete Anlagen oder Dienstleistungen für die Versorgung der Allgemeinheit so relevant sind, dass ihr Ausfall erhebliche Folgen für Sicherheit, Versorgung oder gesellschaftliche Stabilität hätte.
Genau darin liegt ein häufiges Missverständnis: KRITIS ist keine einfache Branchenliste. Der Begriff beschreibt vielmehr ein funktionales und regulatorisches Modell, das unterschiedliche Perspektiven auf kritische Infrastruktur zusammenführt – von der Cybersicherheit über die physische Resilienz bis hin zum Bevölkerungsschutz.
Für Unternehmen hat diese Unterscheidung praktische Konsequenzen. Ob ein Unternehmen regulatorisch als Betreiber kritischer Infrastruktur – kurz KRITIS-Betreiber – gilt, ergibt sich nicht allein aus seiner Branche, seiner Größe oder seiner Bekanntheit. Entscheidend sind die konkrete Anlage, die erbrachte kritische Dienstleistung, gesetzlich definierte Schwellenwerte und die jeweils anwendbaren Regelwerke.
KRITIS ist die Abkürzung für Kritische Infrastrukturen. Gemeint sind Organisationen, Einrichtungen, Anlagen und Systeme, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen, Gefährdungen der öffentlichen Sicherheit oder vergleichbaren Folgen führen kann.
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) beschreibt Kritische Infrastrukturen als wesentliche Grundlage für das Funktionieren von Staat und Gesellschaft. Hierzu zählen unter anderem die Energieversorgung, Wasser, Gesundheitsversorgung, Verkehr, Informationstechnik und Telekommunikation sowie weitere unverzichtbare Dienstleistungen.
Entscheidend ist dabei die funktionale Betrachtung: Kritisch ist nicht eine Branche an sich, sondern die Leistung, die für die Versorgung der Bevölkerung oder für andere kritische Systeme erbracht wird. Deshalb kann ein Unternehmen in einem KRITIS-nahen Sektor tätig sein, ohne regulatorisch als Betreiber kritischer Infrastruktur eingestuft zu werden.
Die regulatorische Einordnung Kritischer Infrastrukturen hat sich in den vergangenen Jahren deutlich verändert. Ursache dafür ist nicht eine neue Definition kritischer Infrastruktur, sondern das Zusammenspiel mehrerer Rechtsgrundlagen mit unterschiedlichen Zielsetzungen.
In der Praxis werden insbesondere folgende Begriffe häufig miteinander vermischt:
Obwohl alle Regelwerke den Schutz kritischer Dienstleistungen betreffen, beantworten sie unterschiedliche Fragestellungen.
Die BSI-KritisV konkretisiert insbesondere, welche Anlagen aufgrund definierter Schwellenwerte als kritische Anlagen gelten und damit in den Anwendungsbereich des BSI-Gesetzes fallen. Gemeinsam regeln BSI-KritisV und BSIG vor allem Anforderungen an die Cybersicherheit kritischer Anlagen.
Die NIS2-Regulierung erweitert dagegen den Kreis regulierter Einrichtungen deutlich. Sie betrifft zahlreiche Organisationen, die keine klassischen KRITIS-Betreiber sind, für die aber dennoch umfassende Anforderungen an Informationssicherheit und Risikomanagement gelten.
Das KRITIS-Dachgesetz verfolgt wiederum einen anderen Ansatz. Es setzt die europäische CER-Richtlinie (Critical Entities Resilience Directive) in deutsches Recht um und stärkt die physische Resilienz kritischer Anlagen und Dienstleistungen. Im Mittelpunkt stehen insbesondere Widerstandsfähigkeit, Vorsorge und der Schutz vor physischen Störungen.
Gerade diese unterschiedlichen Perspektiven führen häufig zu Missverständnissen. Nicht jede von NIS2 betroffene Einrichtung ist zugleich Betreiber kritischer Infrastruktur. Ebenso wird nicht jede kritische Anlage nach denselben Kriterien bewertet.
Die drei Regelungsbereiche verfolgen unterschiedliche Ziele.
Das BSI-Gesetz (BSIG) und die BSI-KritisV definieren insbesondere, welche Betreiber kritischer Anlagen besondere Anforderungen an die Informationssicherheit erfüllen müssen. Dazu gehören unter anderem technische und organisatorische Sicherheitsmaßnahmen, Meldepflichten sowie Nachweispflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI).
NIS2 erweitert den Kreis regulierter Einrichtungen erheblich. Nach Angaben des BSI betrifft die Regulierung rund 29.500 besonders wichtige Einrichtungen. Diese Gruppe ist deutlich größer als die der klassischen KRITIS-Betreiber.
Das KRITIS-Dachgesetz ergänzt diese Anforderungen um den Bereich der physischen Resilienz. Das Gesetz wurde am 11. März 2026 ausgefertigt und ist grundsätzlich am 17. März 2026 in Kraft getreten. Einzelne Vorschriften – insbesondere § 14 Abs. 3 bis 5 – treten jedoch erst zum 1. Januar 2030 in Kraft.
Damit gibt es nicht „das eine KRITIS-Gesetz“. Für Unternehmen ist vielmehr entscheidend, welches Regelwerk auf ihre konkrete Anlage oder Einrichtung Anwendung findet und welche Anforderungen sich daraus ergeben.
Eine allgemeingültige Sektorliste für kritische Infrastrukturen gibt es nicht. Welche Einteilung maßgeblich ist, hängt vom jeweiligen Regelwerk und dessen Zielsetzung ab.
Die BSI-KritisV konkretisiert kritische Anlagen und die dafür geltenden Schwellenwerte im Rahmen des IT-Sicherheitsrechts. Das KRITIS-Dachgesetz verwendet eine eigene gesetzliche Systematik kritischer Dienstleistungen, während das BBK eine Bund-Länder-Systematik für den Bevölkerungsschutz nutzt.
Das KRITIS-Dachgesetz unterscheidet verschiedene Sektoren kritischer Dienstleistungen, die häufig auch als KRITIS-Sektoren bezeichnet werden. Dazu gehören unter anderem:
Die Zugehörigkeit zu einem dieser Sektoren bedeutet jedoch nicht automatisch, dass ein Unternehmen regulatorisch als KRITIS-Betreiber gilt. Maßgeblich bleibt, ob eine konkrete Anlage oder Dienstleistung die gesetzlichen Kriterien des jeweils anwendbaren Regelwerks erfüllt.
Für Unternehmen ist deshalb weniger entscheidend, einzelne Sektorlisten auswendig zu kennen. Entscheidend ist zunächst, welches Regelwerk auf die eigene Anlage oder Dienstleistung Anwendung findet. Erst daraus ergeben sich die maßgeblichen Anforderungen und die Frage, ob und in welchem Umfang regulatorische Pflichten bestehen.
Nicht jedes Unternehmen innerhalb eines KRITIS-Sektors ist automatisch KRITIS-Betreiber. Maßgeblich ist in der Regel die konkrete Anlage und ihre Bedeutung für eine kritische Dienstleistung.
Ein Unternehmen kann mehrere Standorte betreiben, ohne dass alle regulatorisch relevant sind. Umgekehrt kann bereits eine einzelne Anlage aufgrund ihrer Versorgungsfunktion als kritisch eingestuft werden.
Das BSI nennt in seiner KRITIS-Statistik zum Stichtag 30. Juni 2026 insgesamt 1.231 registrierte Betreiber mit 2.180 Anlagen. Diese Zahlen verdeutlichen, warum pauschale Aussagen wie „rund 1.700 Unternehmen“ fachlich problematisch sind: Betreiber, Unternehmen und Anlagen sind unterschiedliche Kategorien.
Auch die häufig genannte Schwelle von 500.000 versorgten Personen sollte nicht als allgemeingültige Regel verstanden werden. Sie dient in bestimmten Bereichen als Orientierungsgröße, ersetzt aber keine sektorspezifische Prüfung. Ob eine Anlage als kritisch gilt, hängt von der jeweiligen kritischen Dienstleistung, den gesetzlichen Schwellenwerten und dem anwendbaren Regelwerk ab.
Welche Pflichten Unternehmen erfüllen müssen, richtet sich nach dem jeweils einschlägigen Rechtsrahmen.
Im Umfeld von BSIG, BSI-KritisV und NIS2 stehen insbesondere folgende Themen im Mittelpunkt:
Das KRITIS-Dachgesetz legt den Schwerpunkt dagegen auf die physische Resilienz. Typische Anforderungen betreffen unter anderem:
Welche Maßnahmen angemessen sind, ergibt sich aus der Risikoanalyse des jeweiligen Standorts. Je nach Schutzbedarf können dazu unter anderem Perimeterschutz, Videoüberwachung, elektronische Zutrittskontrolle sowie die Anbindung an eine Sicherheitsleitstelle gehören.
Für Unternehmen bedeutet das: KRITIS-Compliance besteht nicht aus einem einheitlichen Maßnahmenkatalog. Sie ergibt sich aus der korrekten regulatorischen Einordnung der eigenen Anlagen und den daraus folgenden Anforderungen an Informationssicherheit, physische Sicherheit und organisatorische Resilienz.
Regulatorische Anforderungen sind nur ein Teil des Themas.
Kritische Infrastrukturen bilden die Grundlage moderner Gesellschaften. Energieversorgung, Telekommunikation, Gesundheitswesen, Wasser, Verkehr und digitale Dienste sind eng miteinander vernetzt. Fällt ein Bereich aus, können sich Störungen auf zahlreiche weitere Sektoren auswirken.
Deshalb reicht es nicht aus, kritische Infrastruktur ausschließlich als Sammlung gesetzlicher Pflichten zu betrachten. Entscheidend ist die Fähigkeit, kritische Dienstleistungen auch unter außergewöhnlichen Bedingungen aufrechtzuerhalten oder möglichst schnell wiederherzustellen.
Für Betreiber bedeutet das eine risikobasierte Betrachtung:
Erst diese Gesamtsicht verbindet regulatorische Compliance mit wirksamem Schutz kritischer Infrastrukturen.
Genau hier setzt unser Resilienz Health Check an: Er bewertet den Zustand der physischen und organisatorischen Sicherheit eines Standorts strukturiert und unabhängig von einer bestimmten Technologie. Er schafft eine belastbare Ausgangslage für eine anschließende vollständige Risiko- und Bedrohungsanalyse. Wie eine solche Prüfung abläuft, beschreibt unser Beitrag zum Resilienz Health Check; wie daraus ein Sicherheitskonzept entsteht, unser Artikel zur Sicherheitsberatung.
e-shelter security unterstützt Betreiber kritischer Anlagen bei der physischen Sicherheit – nicht bei der rechtlichen Einordnung, sondern bei der Frage, wie Standorte wirksam geschützt und im Ereignisfall handlungsfähig bleiben. Dazu gehören die Planung und Umsetzung von Sicherheitstechnik, die Systemintegration und Errichtung bis hin zum laufenden Betrieb über eine 24/7-Sicherheitsleitstelle.
Wie das Zusammenspiel von Perimeter, Zutritt und Monitoring an einem besonders sensiblen Standort aussehen kann, zeigt unser Beitrag zur Rechenzentrum-Sicherheit.
KRITIS ist heute weniger eine Branchenbezeichnung als ein funktionales und regulatorisches Modell zur Bewertung kritischer Dienstleistungen und Anlagen.
Die wichtigste Erkenntnis lautet: Nicht jedes Unternehmen in einem KRITIS-Sektor ist automatisch KRITIS-Betreiber. Maßgeblich sind die konkrete Anlage, die erbrachte kritische Dienstleistung, gesetzliche Schwellenwerte und das jeweils anwendbare Regelwerk.
Für Unternehmen bedeutet das, KRITIS nicht ausschließlich über Branchen oder Sektoren zu betrachten, sondern über ihre tatsächliche Versorgungsfunktion und regulatorische Betroffenheit. Erst daraus ergibt sich, ob Anforderungen aus dem BSIG, der BSI-KritisV, NIS2, dem KRITIS-Dachgesetz oder weiteren sektorspezifischen Vorgaben relevant werden.
Wer Kritische Infrastrukturen ausschließlich als Compliance-Thema versteht, greift daher zu kurz. Ziel aller Regelwerke ist letztlich, die Widerstandsfähigkeit kritischer Dienstleistungen zu stärken und die Versorgung der Gesellschaft auch unter außergewöhnlichen Bedingungen sicherzustellen.
Sie möchten wissen, ob die physische Sicherheit Ihrer Standorte zu den Anforderungen aus dem KRITIS-Dachgesetz passt? Der Resilienz Health Check von e-shelter security ist der schnellste Einstieg: eine systematische Bewertung der Widerstandsfähigkeit Ihrer Anlagen mit priorisierten Handlungsempfehlungen. Entdecken Sie unsere Lösungen oder sprechen Sie direkt mit unseren Experten. Wir begleiten Sie von der ersten Bestandsaufnahme bis zum fertigen Sicherheitskonzept.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
