KRITIS: Cyber- und Objektsicherheit zusammendenken

Der Preis ist verhandelbar. KRITIS nicht.

KRITIS ist in aller Munde und die Relevanz unserer kritischen Infrastruktur könnte angesichts der geopolitischen Entwicklungen und aktuellen Ereignisse in Leipzig, Reutlingen und Berlin nicht größer sein. Hinzu kommen die, im Vergleich zum Vorjahr, leeren Gasspeicher. Seit Dezember 2025 gilt das neue BSI-Gesetz, seit März 2026 das KRITIS-Dachgesetz. Beide richten sich an Betreiber kritischer Infrastruktur und sollen zur bundesweiten Versorgungssicherheit und Erhöhung der Resilienz beitragen.

Das KRITISDachG: Von der europäischen Richtlinie zur deutschen Verordnung

Wir unterscheiden zwischen einer sogenannten digitalen und einer physischen Säule. Es gibt eine digitale Säule (NIS-2/BSIG, Zuständigkeit BSI), die die Cybersicherheit und den Schutz vor Hackern regelt und eine physische Säule (CER/KRITISDachG, Zuständigkeit BBK), die den Schutz von Gebäuden, Anlagen und Betriebsabläufen gegen analoge Gefahren sicherstellt. Kommen wir zunächst zur digitalen Säule, die sich wie folgt zusammensetzt:

NIS-2 ist die europäische Richtline (EU2022/2555), die den europaweiten Rahmen setzt und die EU-Mitgliedstaaten verpflichtet, strenge Mindeststandards für die Cybersicherheit von kritischen und wichtigen Unternehmen einzuführen.

BSIG (BSI-Gesetz) ist das deutsche Hauptgesetz, in das die Vorgaben der NIS-2-Richtline im Zuge des deutschen Gesetzgebungsverfahrens eingearbeitet wurden.

Die BSI-Kritis-V ist die Detail-Verordnung und konkrete Ausführungsebene. Das BSIG legt zwar fest, dass kritische Infrastruktur geschützt werden muss, aber wer konkret als Betreiber einer solchen Anlage dazugehört, bestimmt die Verordnung über messbare technische Schwellenwerte.

Nun lohnt sich ein Blick auf die physische Säule:

Die CER-Richtline (Critical Entities Resilience) ist die EU-Richtline 2022/2557 und verpflichtet alle EU-Mitgliedsstaaten zur Stärkung der physischen Widerstandskraft (Stichwort: Resilienz) kritischer Einrichtungen.

Das KRITIS-Dachgesetz (KRITISDachG) ist das deutsche Gesetz, mit dem die CER-Richtlinie umgesetzt wurde. Es regelt die konkreten Pflichten wie Risikoanalyse, physische Schutzkonzepte und Resilienzpläne für Betreiber kritischer Infrastrukturen.

Die KRITIS -Verordnung (KritisV) liegt aktuell als Referentenentwurf des Bundesinnenministeriums vor und dient der konkreten Umsetzung des KRITISDachG. Sie ist aber noch nicht verabschiedet und deshalb gilt die bisherige BSI-Kritisverordnung im Rahmen der Übergangsphase.

Klartext: die Betroffenheitsprüfung

Was viele Unternehmen nicht wissen: Der Staat prüft nicht, ob ein Unternehmen Teil der kritischen Infrastruktur ist und zu welchem Sektor (siehe Sektoren hier) es gehört, sondern erwartet, dass Unternehmen selbst feststellen, ob sie unter die Kritis-Regelung fallen.

Mit der sogenannten Betroffenheitsprüfung müssen sie anhand von Anlagenkategorie, Bemessungskriterium und Schwellenwert im jeweiligen Sektor feststellen, ob sie Betreiber einer kritischen Infrastruktur sind. Das Bundesinnenministerium hat dazu am 26. Mai 2026 einen Verordnungsentwurf zur Bestimmung kritischer Anlagen nach dem KRITISDachG vorgelegt, in dem die Anlagenkategorien und Schwellenwerte konkretisiert wurden.

Auch wenn die finale Verabschiedung noch aussteht, sollten Unternehmen sich mit den Anforderungen der Betroffenheitsprüfung schon jetzt vertraut machen.

Was ist das richtige Vorgehen, um KRITIS-Betroffenheit festzustellen?

• Zunächst sollten Unternehmen ihren Sektor (Leistung/Service) identifizieren.

• Anschließend sollte der Anlagentyp und die Einrichtung definiert werden. KRITIS hängt fast immer an konkreten Anlagen, Einrichtungen, Netzen oder Plattformen.

• Es folgt die Berechnung der Schwellenwerte. Dafür braucht es, abhängig vom Sektor, belastbare Zahlen wie Kapazitäten, Anschluss- und Versorgungszahlen, Durchsatz, Leistung oder Marktanteile.

• Achtung: Ein häufiger Stolperstein ist dabei die Trennung von Anlagen an unterschiedlichen Standorten. Das heißt, mehrere Standorte liegen einzeln betrachtet zwar unter dem Schwellenwert, zusammengenommen aber über dem Schwellenwert.

• Abschließend sollten Unternehmen ihr Ergebnis sauber dokumentieren: Annahmen, Datenquellen, Rechenweg, Stichtag und vor allem die Verantwortlichen.

Typische Fehler bei der Betroffenheitsprüfung können bei den Einheiten und errechneten Schwellenwerten sein, aber auch eine Schönrechnung durch eine unklare Datenbasis. Wenn die Zahlen später nicht prüfbar sind, ist das Ergebnis nicht belastbar. Ein weiterer typischer Fehler kann auch der fehlende Change-Trigger sein. Wenn Unternehmen durch Netzausbau, M&A oder Wachstum größer werden, kann sich auch die Betroffenheit entsprechend ändern. Deswegen empfehlen wir eine regelmäßige Überprüfung der Schwellenwerte.

Und sollte ein möglicher KRITIS-Betreiber nun auf den Spruch „Wo kein Kläger, da kein Richter“ vertrauen, dem sei an dieser Stelle mit auf dem Weg gegeben, dass es trotz fehlender staatlicher Überprüfung der Registrierung Druck seitens der Aufsichtsbehörden gibt. Gemeint ist damit die Pflicht jedes Unternehmen, die Betroffenheit eigenständig festzustellen.

Der Fisch und die Verantwortung der Geschäftsleitung

Das KRITISDachG nimmt mit §20 sogar die Geschäftsleitung direkt in die Umsetzungs- und Überwachungspflicht und fordert die „zu ergreifenden Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen“. Konkret bedeutet dies: ohne Dokumentation keine Entlastung. Der Billigungsbeschluss der Resilienzmaßnahmen, die regelmäßige Überwachung und Kontrolle der Abweichungen sind kein Nice-to-have, sondern das Beweismittel des Geschäftsleiters im Haftungsprozess. Lediglich die Ausführung kann übertragen werden, nicht aber die Auswahl, Instruktions- und Überwachungsverantwortung.

Wer sich dennoch nicht registriert, muss mit Bußgeldern in Millionenhöhe rechnen und auch die Vertrags- und Reputationsfolgen sollten in diesem Zusammenhang im Schadensfall nicht unterschätzt werden. Der Bußgeldrahmen des KRITISDachG ist mit maximal eine Million Euro vergleichsweise moderat und nicht an den Umsatz gekoppelt. Das wirtschaftlich dominierende Sanktionsrisiko folgt jedoch aus dem parallel anwendbaren BSIG. Hier können Bußgelder bis zehn Millionen Euro oder zwei Prozent des weltweiten Konzernumsatzes geltend gemacht werden.

„Einfach anfangen und nicht warten“

Dieser Empfehlung sollten alle Betroffenen folgen, auch wenn die KRITIS-Verordnungen noch nicht final verabschiedet sind. Denn wer sich schon heute mit seinen Risiken und KRITIS-relevanten Themen auseinandersetzt, ist morgen klar im Vorsprung.

Die Autorin: Ulrike Dreyer

Als Head of Defence und KRITIS Solutions bei der Fach- und Technologieberatung für die Energietransformation und Mobilitätswende IE2S in Stuttgart liegt Ulrike Dreyers Schwerpunkt auf der organisatorischen und technischen Resilienz von kritischer Infrastruktur.

Jedes Unternehmen kann zum Beispiel direkt mit der Klärung der Zuständigkeiten und Verantwortlichkeiten innerhalb seines Hauses beginnen. Vor allem in Mehrspartenhäusern – Konzernen mit Sparten wie Wasser, Gas und Strom – ist oftmals nicht klar, wer übergreifend für Sicherheitsbudgets und Entscheidungen verantwortlich ist. Aufgrund der jüngsten Ereignisse in Leipzig, Berlin und Reutlingen ist zum Teil ein großer Tatendrang im Kontext Objektsicherheit festzustellen und die meisten Unternehmen bringen dafür auch schon viel mit: gewachsene Sicherheitsorganisationen, Notfall- und Sicherheitskonzepte, Risikobetrachtungen aus Betrieb, Arbeitsschutz und Informationssicherheit.

Dieses Wissen ist oftmals bereits vorhanden, naturgemäß aber über unterschiedliche Gesellschaften, Fachbereiche und Personen verteilt. Haben Sie bereits geprüft, wie es in Ihrer Organisation aussieht? Stellen Sie sich einmal folgende Fragen:

1. Ist die Schnittstelle zwischen Informationssicherheit (NIS-2/BSIG) und physischer Sicherheit (KRITISDachG) geregelt und dokumentiert?

2. Ist bei Tochtergesellschaften geklärt, wer übergreifend Weisungs- und Budgetrecht für Sicherheitsmaßnahmen hat? Hier lassen sich oft große Synergien und Einsparpotentiale heben.

3. Sind bestehende Sicherheits- und Notfallkonzepte zentral auffindbar oder getrennt auf Laufwerke, Ordner und einzelne Köpfe verteilt? Und ganz nebenbei: Wie funktioniert die Kommunikation mit den Mitarbeitern im Homeoffice eigentlich, wenn morgen die Systeme und Server ausfallen? Wissen alle, was dann zu tun ist?

Beschaffung wird zum Risikomanagement bei der Gasversorgung

Neben all den organisatorischen und personenbezogenen Fragen gibt es derzeit aber auch ein ganz zentrales Energiethema, das zur Resilienz vieler Unternehmen beitragen wird: die derzeitige Gasversorgung. Die deutschen Gasspeicher sind aktuell (Stand Ende August) nur zu knapp 50 % gefüllt, im Vorjahreszeitraum waren es circa 62 %. Wer im Winter vollständig vom Spotmarkt abhängig ist, hat keine Beschaffungsstrategie.

Deshalb ein dringender Appell an alle Verantwortlichen in Unternehmen: Befassen Sie sich rechtzeitig mit der Energieversorgung und Optimierungsmöglichkeiten. Integrieren Sie die Beschaffung und den Einkauf in das Risikomanagement und steigern Sie auch damit die Resilienz unserer kritischen Infrastruktur.