Regulierung | Kritische Infrastrukturen
KRITIS: Schutzpflichten für Betreiber kritischer Infrastrukturen
Krankenhäuser, Kraftwerke, Wasserversorger, Banken - Betreiber kritischer Infrastrukturen unterliegen in Deutschland besonderen Sicherheitspflichten nach §31 BSIG. Der Ausfall dieser Systeme würde Millionen Menschen gefährden. NIS2 und das KRITIS-DachG verschärfen die Anforderungen weiter.
Zuletzt aktualisiert: März 2026
- 10+1
- KRITIS-Sektoren (BSI-KritisV + Weltraum)
- §31
- BSIG Sicherheitsanforderungen
- 3 Jahre
- Nachweiszeitraum (§39 BSIG)
- 500.000
- Versorgungseinheiten (Schwellenwert)
Grundlagen
Was sind Kritische Infrastrukturen?
Kritische Infrastrukturen (KRITIS) sind laut BSI-Definition Organisationen und Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.
In Deutschland sind KRITIS-Betreiber durch das BSI-Gesetz (BSIG) und die BSI-KRITIS-Verordnung (BSI-KritisV) rechtlich definiert. Ein Betreiber gilt als KRITIS, wenn er in einem der zehn regulierten Sektoren tätig ist und einen sektorspezifischen Schwellenwert überschreitet - typischerweise 500.000 Versorgungseinheiten (Einwohner, Patienten, Kunden).
Betreiber kritischer Infrastrukturen sind attraktive Ziele für staatliche Hackergruppen, Ransomware-Akteure und Hacktivisten. Der BSI-Lagebericht 2024 zeigt: Krankenhäuser, Energieversorger und Behörden sind bevorzugte Angriffsziele - mit potenziell lebensbedrohlichen Konsequenzen bei erfolgreichen Angriffen.
BSI-KritisV
Die 10 KRITIS-Sektoren nach BSI-KritisV mit Schwellenwerten
Die BSI-KRITIS-Verordnung legt sektorspezifische Schwellenwerte fest, ab denen ein Betreiber als kritische Infrastruktur gilt. Betreiber, die diese Schwellenwerte überschreiten, unterliegen den Pflichten nach §31 BSIG.
| Sektor | Beispiel-Branchen | Beispiel-Schwellenwert |
|---|---|---|
| Energie | Strom, Gas, Fernwärme, Mineralöl | 420 MW installierte Nettoleistung |
| Wasser | Trinkwasser, Abwasser | 500.000 versorgte Einwohner |
| Ernährung | Lebensmittelproduktion und -versorgung | 434.500 Tonnen/Jahr |
| IT und TK | Rechenzentren, Carrier, DNS | 100.000 Kunden (IXP) |
| Gesundheit | Krankenhäuser, Labore, Pharma | 30.000 vollstationäre Fälle/Jahr |
| Finanz- und Versicherungswesen | Banken, Börsen, Zahlungsverkehr | 15 Mio. Transaktionen/Jahr |
| Transport und Verkehr | Luftfahrt, Schiene, See, Straße | 12 Mio. Fahrgäste/Jahr (Schiene) |
| Siedlungsabfallentsorgung | Abfallwirtschaft | 500.000 versorgte Einwohner |
| Staat und Verwaltung | Bundesbehörden, Parlamente, Justiz | Bundesbehörden (pauschal) |
| Medien und Kultur (KRITIS-DachG) | Rundfunk, Kultureinrichtungen | Noch nicht abschließend geregelt |
Nachweispflichten
§31 BSIG: Pflichten und anerkannte Nachweise
§31 BSIG verpflichtet KRITIS-Betreiber zu angemessenen IT-Sicherheitsmaßnahmen nach dem Stand der Technik. Die Nachweispflicht (§39 BSIG) verlangt, alle drei Jahre gegenüber dem BSI nachzuweisen, dass diese Anforderungen erfüllt sind. Das BSI akzeptiert verschiedene Frameworks als Nachweis.
Eine ISO-27001-Zertifizierung ist der international anerkannteste Nachweis und wird vom BSI ausdrücklich akzeptiert. Alternativ bietet BSI IT-Grundschutz einen deutschen, praxisnahen Ansatz mit konkreten Maßnahmenkatalogen. Branchenspezifische Sicherheitsstandards (B3S) ergänzen diese allgemeinen Frameworks um sektorspezifische Anforderungen.
Seit Mai 2023 gilt eine zusätzliche Pflicht: KRITIS-Betreiber müssen Systeme zur Angriffserkennung (SzA) betreiben. Das BSI hat eine Orientierungshilfe veröffentlicht, die konkrete Anforderungen an Protokollierung, Erkennung, Verarbeitung und Reaktion beschreibt.
Anerkannte Nachweisrahmen für §31 BSIG
Regulatorische Entwicklung
KRITIS-DachG und NIS2: Die neue Regulierungsebene
KRITIS und NIS2 sind eng verknüpft, aber nicht deckungsgleich. NIS2 erweitert den regulierten Kreis erheblich; das KRITIS-DachG ergänzt IT-Sicherheitspflichten um physische Resilienzanforderungen.
Physische Sicherheitsanforderungen
Das KRITIS-Dachgesetz ergänzt die IT-Sicherheitspflichten nach §31 BSIG um verbindliche physische Sicherheitsanforderungen. KRITIS-Betreiber müssen nun auch ihre physischen Anlagen gegen Sabotage und Angriffe schützen.
Perimeterschutz: Zäune, Zutrittskontrolle, Videoüberwachung
Sicherheitskonzepte für kritische Anlagen und Betriebsstätten
Koordination mit Behörden (Polizei, Verfassungsschutz)
Verbindliche Mindeststandards für physische Resilienz
Neue Sektoren: Weltraum und Medien/Kultur
Meldepflichten auch für physische Sicherheitsvorfälle
Erweiterter Anwendungsbereich
NIS2 (EU 2022/2555) - durch das NIS2UmsuCG in deutsches Recht umgesetzt (in Kraft seit 06.12.2025) - erweitert den regulierten Kreis von ca. 2.000 KRITIS-Betreibern auf bis zu 30.000 deutsche Unternehmen. KRITIS-Betreiber sind automatisch "besonders wichtige Einrichtungen" nach NIS2.
30.000 statt 2.000 betroffene Unternehmen in Deutschland
Neue Sektoren: Cloud, Rechenzentren, chemische Industrie
Persönliche Geschäftsleitungs-Haftung bei NIS2-Verstößen
Bußgelder bis 10 Mio. EUR oder 2 % des weltweiten Umsatzes
24h-Frühwarnung + 72h-Meldung + 1-Monats-Abschlussbericht
Supply-Chain-Sicherheitspflichten gegenüber Lieferanten
Bedrohungslage
KRITIS als bevorzugtes Angriffsziel
Laut BSI-Lagebericht 2024 sind Betreiber kritischer Infrastrukturen bevorzugte Ziele für staatliche Hackergruppen, Ransomware-Akteure und Hacktivisten. Die Konsequenzen erfolgreicher Angriffe sind verheerend: Ausfall der Stromversorgung, Unterbrechung der Wasserversorgung, Betriebsstörungen in Krankenhäusern.
Besonders kritisch ist die zunehmende Konvergenz von IT und Operational Technology (OT). Viele KRITIS-Betreiber setzen Steuerungssysteme (SCADA, SPS) ein, die ursprünglich nicht für Netzwerkanbindung konzipiert wurden und nun mit IT-Netzwerken verbunden sind - mit erheblichen Sicherheitsrisiken.
Aufsehenerregende Vorfälle der letzten Jahre zeigen das reale Schadenspotenzial: Landkreis Anhalt-Bitterfeld (2021), Klinikum Dortmund (2023), Viasat-Hack (2022) mit Auswirkungen auf europäische Windparks - KRITIS-Schutz ist keine abstrakte Compliance-Übung, sondern gesellschaftliche Notwendigkeit.
KRITIS in Zahlen
Regulierte Sektoren nach BSI-KRITIS-Verordnung
KRITIS-Betreiber in Deutschland (§31 BSIG)
Betroffene Unternehmen nach NIS2-Erweiterung
Alle 3 Jahre - Audit, Zertifizierung oder Prüfung (§39 BSIG)
In Kraft seit 2016, seitdem mehrfach aktualisiert
Erstmeldung erheblicher Vorfälle an das BSI (§32 BSIG; Folgemeldung 72 h, Abschlussbericht 1 Monat)
„§31 BSIG ist kein Bürokratieprojekt - er verlangt echte, wirksame Sicherheitsmaßnahmen. Als Prüfer mit zusätzlicher Prüfverfahrenskompetenz nach § 8a BSIG erlebe ich in Audits: Die Unternehmen, die Informationssicherheit als strategisches Ziel verstehen statt als Compliance-Checkbox, bestehen die Prüfung mit Abstand am besten.“
Chris Wojzechowski
Prüfer mit zusätzlicher Prüfverfahrenskompetenz (§ 8a BSIG) · AWARE7 GmbH
Warum AWARE7 für KRITIS-Betreiber
Was uns von anderen Anbietern unterscheidet
Reine Awareness-Plattformen testen keine Systeme. Reine Beratungskonzerne sind zu weit weg. AWARE7 verbindet beides: Wir hacken Ihre Infrastruktur und schulen Ihre Mitarbeiter: mittelstandsgerecht, persönlich, ohne Enterprise-Overhead.
Forschung und Lehre als Fundament
20 %Rund 20% unseres Umsatzes stammen aus Forschungsprojekten für BSI und BMBF. Unsere auf ACM- und Springer-Konferenzen publizierten Studien analysieren Millionen von Websites und Zehntausende Phishing-E-Mails. Drei unserer Führungskräfte sind gleichzeitig Professoren an deutschen Hochschulen.
Digitale Souveränität: keine Kompromisse
100 %Ihre Daten liegen vom Erstkontakt bis zum Abschlussbericht auf unseren eigenen Servern in Deutschland - ohne US-Cloud-Anbieter, ohne Drittlandtransfer. Auch unsere KI läuft auf eigener Hardware in Deutschland - mit lokal betriebenen Open-Source-Modellen. Kunden- und Auftraggeberdaten erreichen keine externen KI-Dienste. Alle Mitarbeiter sind festangestellt, sozialversicherungspflichtig und einheitlich rechtlich verpflichtet.
Mehr zur digitalen SouveränitätFestpreis in 24h: planbare Projektzeiträume
24 hInnerhalb von 24 Stunden erhalten Sie ein verbindliches Festpreisangebot ohne Stundensatz-Risiko. Eingespieltes Team und standardisierte Prozesse sorgen für einen klaren Zeitplan mit definiertem Start- und Endtermin.
Ihr fester Ansprechpartner
1:1Ein persönlicher Projektleiter begleitet Sie vom Erstgespräch bis zum Re-Test. Sie buchen Termine direkt bei Ihrem Ansprechpartner und behalten dieselbe Kontaktperson über das gesamte Projekt.
Peer-reviewte Publikationen
Different Seas, Different Phishes - Large-Scale Analysis of Phishing Simulations
ACM AsiaCCS 2025
Oskar Braun, Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
A Platform for Physiological and Behavioral Security
NSPW 2025
Jan Hörnemann
Privacy from 5 PM to 6 AM: Tracking and Transparency in the HbbTV Ecosystem
IEEE/IFIP DSN 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Understanding Regional Filter Lists: Efficacy and Impact
PoPETS 2025
Jan Hörnemann, Norbert Pohlmann, Matteo Große-Kampmann
Für wen sind wir der richtige Partner?
Mittelstand mit 50-2.000 MA
Unternehmen, die echte Security brauchen, ohne einen DAX-Konzern-Dienstleister zu bezahlen. Festpreis, klarer Scope, ein Ansprechpartner.
IT-Verantwortliche & CISOs
Die intern überzeugend argumentieren müssen und dafür einen Bericht mit Vorstandssprache brauchen, nicht nur technische Findings.
Regulierte Branchen
KRITIS, Gesundheitswesen, Finanzdienstleister: NIS-2, ISO 27001, DORA. Wir kennen die Anforderungen und liefern Nachweise, die Auditoren akzeptieren.
Häufige Fragen zu KRITIS
Antworten auf die häufigsten Fragen rund um KRITIS-Pflichten, Schwellenwerte, §31 BSIG und NIS2 für Betreiber kritischer Infrastrukturen.
Was sind Kritische Infrastrukturen (KRITIS)?
Welche Sektoren gehören zu KRITIS?
Was fordert §31 BSIG?
Wie wird der KRITIS-Schwellenwert bestimmt?
Was ist das KRITIS-DachG?
Wie hängen KRITIS und NIS2 zusammen?
Welche Frameworks werden als §39-BSIG-Nachweis akzeptiert?
Wie hilft AWARE7 KRITIS-Betreibern?
Aus dem Blog
Weiterführende Artikel
Browser-Härtung: Sicherheitsrichtlinien für Chrome, Edge und Firefox
Browser-Sicherheit per GPO/Intune: Extensions-Management, HTTPS-Only, Browser-Isolation (RBI) und Abwehr von Malvertising und Drive-by-Downloads.
Vincent Heinen 
10 häufige Fehler bei Informationssicherheits-Schulungen vermeiden
Vermeiden Sie die häufigsten Fehler bei Mitarbeiterschulungen zur Informationssicherheit und stärken Sie Ihre Sicherheitskultur nachhaltig
Jan Hörnemann 
Security Key für $20: Wie Google Phishing vollständig eliminiert hat
Phishing Kampagnen sind für Google kein Problem mehr. Ein Security Key im Wert von $20 schützt die Unternehmenssicherheit bei Google ab sofort.
Chris Wojzechowski §39 BSIG-Nachweis vorbereiten
AWARE7 begleitet KRITIS-Betreiber durch den gesamten Nachweis-Zyklus (§39 BSIG, alle 3 Jahre) - von der Gap-Analyse bis zur erfolgreichen BSI-Prüfung. Chris Wojzechowski verfügt über die zusätzliche Prüfverfahrenskompetenz (§ 8a BSIG).
Kostenlos · 30 Minuten · Unverbindlich
