Kritische Infrastrukturen (KRITIS)
Das KRITIS-Dachgesetz bedeutet für Betreiber kritischer Anlagen: Registrierungspflicht, eigene Risikoanalysen, ein anzuwendender Resilienzplan, Meldepflichten und eine Geschäftsleitung, die dafür persönlich einsteht. Die Security-Expert:innen der @-yet begleiten Sie von der Betroffenheitsprüfung bis zum auditfesten Nachweis.
KRITIS-Beratung durch erfahrene Security-Expert:innen
Regulierung wird selten an der Regulierung selbst zum Problem, sondern an der Frage, wie man sie im Betrieb verankert, ohne den laufenden Anlagenbetrieb auszubremsen. Genau hier setzt die @-yet an. Mit interdisziplinärem Fachwissen aus IT-Sicherheit, Governance, Incident Response und Compliance verbinden wir die Anforderungen aus KRITIS-Dachgesetz, BSI-Gesetz und ISO-Normen zu einem Managementsystem, das Ihre Organisation tatsächlich betreiben kann und sie nicht ausbremst.
Unsere Beratung basiert dabei nicht auf theoretischen Grundlagen, sondern auf der Erfahrung aus hunderten erfolgreich bearbeiteten Sicherheitsvorfällen. Diese Erfahrung zeigt sehr genau, welche Resilienzmaßnahmen im Ernstfall tragen und welche nur auf dem Papier gut aussehen.
Wie geht die @-yet vor?
- Scoping-Workshop: Abgrenzung von kritischer Dienstleistung, kritischen Anlagen und betroffenen Rechtseinheiten
- Betroffenheitsprüfung nach KRITIS-Dachgesetz und BSIG, prüffest dokumentiert für die Aufsicht
- Gap-Analyse gegen KRITIS-DachG, § 30 BSIG, ISO/IEC 27001, ISO 22301 und BSI IT-Grundschutz
- Risikoanalyse und -bewertung nach dem All-Gefahren-Ansatz, inklusive Abhängigkeiten und hybrider Bedrohungen
- Ableitung und Priorisierung technischer und organisatorischer Resilienzmaßnahmen nach Verhältnismäßigkeit
- Aufbau von Resilienzplan, BCM und Krisenorganisation entlang Ihrer kritischen Prozesse
- Etablierung von Melde- und Incident-Prozessen für BBK und BSI
- Auditvorbereitung, Begleitung interner und externer Prüfungen sowie Wirksamkeitsmessung im Regelkreis
Ihre Vorteile
- Belastbare Klarheit über Ihre Pflichtenlage statt Auslegungsrisiko
- Ein integriertes Managementsystem für KRITIS, NIS2 und ISO ohne doppelte Strukturen und Dokumentation
- Priorisierung nach realem Ausfallrisiko, nicht nach Checklistenlogik
- Nachweise, die gegenüber Aufsichtsbehörden und Auditoren standhalten
- Erfahrung aus hunderten Sicherheitsvorfällen fließt direkt in Ihre Resilienzmaßnahmen ein
- Know-how für IT- und OT-Umgebungen aus einer Hand
- Dokumentationsvorlagen und bewährte Methoden verkürzen die Umsetzung spürbar
- Eine feste Ansprechperson über die gesamte Projektlaufzeit
KRITIS oder nicht?
Sie wollen wissen, ob und wie das KRITIS-Dachgesetz Ihr Unternehmen trifft?
Die Security-Expert:innen der @-yet klären das mit Ihnen strukturiert und ohne Umwege.
Was kann die @-yet für Sie tun?
Häufige Fragen zu KRITIS und dem KRITIS-Dachgesetz
KRITIS steht für Kritische Infrastrukturen. Das sind Organisationen, Anlagen und Systeme, deren Ausfall schwere Versorgungsengpässe oder Gefahren für die öffentliche Sicherheit nach sich ziehen würden. In Deutschland umfasst die Regulierung aktuell zehn Kernsektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation (ITK), Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung, Staat und Verwaltung sowie Medien und Kultur.
Es ist am 17. März 2026 in Kraft getreten und setzt die EU-CER-Richtlinie 2022/2557 um. Einzelne Regelungen treten später in Kraft. Eine Evaluierung des Gesetzes ist bereits nach zwei Jahren vorgesehen.
Das BSI-Gesetz (bzw. NIS2) regelt die digitale Cybersicherheit und IT-Infrastruktur. Zuständige Bundesbehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das KRITIS-Dachgesetz regelt die physische und organisatorische Resilienz (z. B. Schutz vor Sabotage, Vandalismus, Naturkatastrophen, Extremwetter oder Lieferkettenausfällen). Zuständige Leitbehörde ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
Das KRITIS-Dachgesetz legt einen sektorübergreifenden Mindeststandard fest. Es schließt Regelungslücken beim physischen Schutz und bei der Krisenvorsorge. Spezialgesetzliche Regeln (wie das Energiewirtschaftsgesetz EnWG für Strom/Gas, das Telekommunikationsgesetz TKG oder die EU-Finanzmarktverordnung DORA) bleiben jedoch bestehen und haben Vorrang, soweit sie gleichwertige Resilienzanforderungen abdecken. Unternehmen müssen ihre Schutzkonzepte daher integrieren, anstatt parallele Bürokratiewelten aufzubauen.
Grundsätzlich ist die Versorgungsbedeutung maßgeblich. Die deutsche BSI-Kritisverordnung nutzt hierfür einen Regelschwellenwert von 500.000 versorgten Personen für einzelne Kategorien von Systemen/Anlagen. Dieser Schwellenwert wird je nach Sektor in konkrete Kennzahlen übersetzt (z. B. eingespeiste Terawattstunden Strom, aufbereitetes Wasservolumen oder verarbeitete Datenmengen).
Betroffene Einrichtungen müssen angemessene technische und organisatorische Risikomanagementmaßnahmen umsetzen. Dazu gehören der Aufbau eines Informationssicherheits-Managementsystems (ISMS), die Implementierung von Systemen zur Angriffserkennung (SzA) im Datenverkehr, die Einhaltung eines gestuften Meldesystems bei Sicherheitsvorfällen, die Einrichtung einer dauerhaften 24/7-Kontaktstelle für Behörden und die Durchführung von physischen Schutzmaßnahmen sowie ein Business Continuity Management (BCM).
Sie dienen als Prüfgrundlage für das Audit.
- ISO/IEC 27001: Der weltweit verbreitete Standard. Für den KRITIS-Nachweis muss er um BSI-spezifische Zusatzanforderungen ergänzt werden.
- IT-Grundschutz: Methodisch kleinteiliger deutscher BSI-Standard mit hoher Konformität, aber höherem Einführungsaufwand.
- Branchenspezifische Sicherheitsstandards (B3S): Von Branchenverbänden erarbeitete und vom BSI freigegebene Standards, die genau auf die technischen Besonderheiten einer Sparte zugeschnitten sind.
Als Fundament ja, als Nachweis nein. Ein ISMS nach ISO 27001 trägt große Teile der BSIG-Anforderungen. Physische Resilienz, Objektschutz, Zuverlässigkeitsüberprüfungen von Personal, BCM-Tiefe und der Resilienzplan selbst gehen darüber hinaus und müssen ergänzt werden.
Betreiber kritischer Anlagen müssen die Erfüllung der gesetzlichen Vorgaben im Abstand von drei Jahren nachweisen (z. B. nach § 39 BSIG). Dies erfolgt über Audits, Prüfungen oder Zertifizierungen durch unabhängige Prüfstellen. Der Drei-Jahres-Zyklus ermöglicht es Unternehmen, KRITIS-Audits direkt mit bestehenden ISO-27001-Rezertifizierungen zu verbinden.
Das KRITIS-Dachgesetz sieht ein dreistufiges Meldeschema an die Behörden (BSI bzw. BBK) vor. Innerhalb von 24 Stunden muss eine erste Frühwarnung/Erstmeldung über den Vorfall erfolgen. Innerhalb von 72 Stunden hat eine detaillierte Zwischenbewertung zum Ausmaß und den Ursachen zu erfolgen. Nach spätestens 1 Monat soll ein umfassender Abschlussbericht mit ergriffenen Abhilfemaßnahmen vorliegen.
Das KRITIS-Dachgesetz sieht Bußgelder von bis zu einer Million Euro vor. Nach dem BSI-Gesetz drohen darüber hinaus deutlich höhere Bußgelder sowie eine persönliche Verantwortlichkeit der Geschäftsleitung.
KRITIS: Von der Betroffenheitsprüfung bis zum Resilienzplan
Betreiber kritischer Anlagen unterliegen einer Registrierungspflicht, müssen Risikoanalysen nach dem All-Gefahren-Ansatz durchführen, einen Resilienzplan erstellen und Störungen melden. Parallel gelten die Cybersicherheitspflichten aus der NIS2-Umsetzung. Viel Raum für Verwirrung, Unsicherheit und Unübersichtlichkeit.
Die @-yet GmbH bringt Ordnung ins Chaos. Wir begleiten Sie von der Betroffenheitsprüfung bis zum auditfesten Nachweis. Wir klären Ihre Pflichtenlage, ermitteln den konkreten Handlungsbedarf und überführen ihn in verhältnismäßige, wirksame Maßnahmen. Bestehende Managementsysteme nach ISO 27001, ISO 22301 oder BSI IT-Grundschutz nutzen wir als Fundament. Statt paralleler Strukturen entsteht ein integriertes Resilienzmanagement mit belastbarer Nachweisführung.