KRITIS-Schwellenwert für KMU prüfen: Anleitung für deutsche Mittelständler

Seit der KRITIS-Verordnung (BSI-KritisV) in der Fassung 2024 und dem NIS-2-Umsetzungsgesetz, das in Deutschland 2026 in Kraft tritt, sind rund 29.500 Unternehmen direkt betroffen, viele davon mittelständisch. § 8a BSIG, § 8b BSIG und die kommenden §§ 30 ff. BSIG-neu definieren zwei parallele Regime, die sich überschneiden. Wer Schwellenwerte nicht sauber prüft, riskiert Bußgelder bis 10 Mio. Euro oder 2 Prozent des weltweiten Konzernumsatzes.

Diese Anleitung führt Geschäftsführungen kleiner und mittlerer Unternehmen durch die Schwellenwertprüfung. Sie zeigt, welche Mengenwerte der Anlagenkategorien gelten, wie die NIS-2-Größenkriterien (50 Mitarbeitende, 10 Mio. Euro Umsatz) zur KRITIS-Logik passen, welche Dokumente belastbar sein müssen und wie ein Informationssicherheitsbeauftragter die Prüfung in 90 Minuten audit-fest abschließt.

Die rechtliche Klammer für die Schwellenwertprüfung bilden drei Texte. Die BSI-Kritisverordnung (BSI-KritisV) bestimmt in den §§ 2 bis 11 die Anlagenkategorien und Mengenwerte. Das BSI-Gesetz (BSIG) regelt in § 8a die Sicherheitsanforderungen und in § 8b die Meldepflichten. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ergänzt ab 2026 die Größenklassen-Logik aus Art. 2 NIS-2-Richtlinie.

KRITIS knüpft technisch an Anlagen an. Wer eine Stromerzeugung mit installierter Nettoleistung über 420 MW oder eine Wasserversorgung mit über 22 Mio. Kubikmeter pro Jahr betreibt, erfüllt den Mengenwert nach Anlage 1 BSI-KritisV. NIS-2 knüpft an das Unternehmen an, nicht an die Anlage. Die Folge: ein 80-Mitarbeitende-Maschinenbauer kann unter NIS-2 fallen, ohne jemals KRITIS gewesen zu sein.

Für die KMU-Prüfung relevant sind außerdem die Bekanntmachungen des BSI und die Rechtsverordnungen nach § 10 BSIG. Diese aktualisieren Mengenwerte regelmäßig, zuletzt 2024. Wer die letzte gültige Fassung nicht referenziert, prüft nach veralteten Schwellen und verliert die Belegbarkeit gegenüber der Aufsichtsbehörde.

Die Bußgeldrahmen unterscheiden sich. NIS-2 unterscheidet wesentliche Einrichtungen (bis 10 Mio. Euro oder 2 Prozent Konzernumsatz) und wichtige Einrichtungen (bis 7 Mio. Euro oder 1,4 Prozent). KRITIS-Verstöße sind nach § 14 BSIG mit Bußgeldern bis 2 Mio. Euro sanktioniert, zusätzlich greifen Ordnungswidrigkeitentatbestände nach § 130 OWiG gegen die Geschäftsleitung.

CIVAC verknüpft als Compliance-Plattform und Officer-as-a-Service die drei Regelwerke in einem Workspace, sodass Mengenwertprüfung, Größenklassen und Meldepfade in einer Audit-Vorlage zusammenlaufen. Die NIS-2-Übersicht im NIS-2-Umsetzungsleitfaden ergänzt den hier dargestellten KRITIS-Fokus.

Wer den Rechtsrahmen kennt, prüft strukturiert statt suchend. Die nächsten Abschnitte zeigen, welche Sektoren, Mengenwerte und Größenklassen für KMU konkret greifen und wie die Prüfung dokumentiert wird, sodass der Nachweis bei der ersten Anfrage des BSI bereitliegt.

Die BSI-KritisV adressiert zehn Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung, Staat und Verwaltung sowie Medien und Kultur. Jeder Sektor enthält Anlagenkategorien mit definierten Mengenwerten. Die Anlage erreicht den Schwellenwert, wenn sie die Versorgung von mindestens 500.000 Personen sicherstellt, gerechnet über den jeweiligen Bemessungswert.

Im Sektor Energie umfasst dies Stromerzeugung, Stromübertragung, Stromverteilung, Gasförderung, Gasspeicherung, Gasverteilung, Mineralölversorgung und Fernwärme. Beispielwerte: Stromerzeugung 420 MW Nettoleistung, Gasförderung 5,2 Mrd. Kubikmeter pro Jahr, Mineralölraffinerie 5,2 Mio. Tonnen Jahresdurchsatz. Wer darunter liegt, ist nicht KRITIS, kann aber unter NIS-2 wesentliche Einrichtung sein.

Im Sektor Gesundheit greift der Schwellenwert für Krankenhäuser bei 30.000 vollstationären Fällen pro Jahr. Apotheken, Labordiagnostik und Arzneimittelhersteller haben eigene Mengenwerte. Ein 200-Betten-Haus mit 18.000 Fällen ist regelmäßig nicht KRITIS, fällt aber bei 50 Mitarbeitenden Vollzeitäquivalent unter NIS-2 als wichtige Einrichtung.

Der Sektor Finanz- und Versicherungswesen orientiert sich an Bilanzsumme und Transaktionsvolumen. Banken mit Bilanzsumme über 3 Mrd. Euro oder Zahlungsdienstleister ab 100 Mio. autorisierten Transaktionen pro Jahr erreichen den Schwellenwert. Kleinere Institute sind durch DORA und MaRisk parallel reguliert, was die Pflichtenmatrix erweitert.

Für KMU lohnt die strukturierte Sichtung. CIVAC hält 490 einsatzbereite Audit-Vorlagen vor, darunter eine sektorspezifische Schwellenwert-Checkliste mit den aktuellen Mengenwerten aus Anlage 1 bis 7 BSI-KritisV. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Wer den eigenen Sektor identifiziert hat, prüft im nächsten Schritt die Mengenwerte. Wer keinen Sektor findet, bleibt KRITIS-frei, muss aber die NIS-2-Größenkriterien gegenprüfen, weil deren 18 Sektoren weiter gefasst sind als die zehn KRITIS-Sektoren.

NIS-2 verzichtet auf Anlagenmengenwerte und arbeitet mit Unternehmensgrößen nach EU-Empfehlung 2003/361/EG. Mittlere Unternehmen sind solche mit 50 bis 249 Mitarbeitenden und entweder einem Jahresumsatz über 10 Mio. Euro oder einer Bilanzsumme über 10 Mio. Euro. Große Unternehmen liegen ab 250 Mitarbeitenden oder ab 50 Mio. Euro Umsatz bei gleichzeitig über 43 Mio. Euro Bilanzsumme.

Die Mitarbeitendenzahl rechnet in Vollzeitäquivalenten (VZE). Teilzeitkräfte zählen anteilig, Leiharbeit ab sechs Monaten Beschäftigungsdauer zählt mit. Konzerne addieren verbundene Unternehmen, soweit eine beherrschende Stellung im Sinne des § 17 AktG vorliegt. Diese Konsolidierungsregel zieht viele scheinbare KMU in die NIS-2-Pflicht, weil die Konzernmutter die Größenkriterien erfüllt.

Die Sektor-Liste umfasst 18 Bereiche, getrennt in Anhang I (wesentlich) und Anhang II (wichtig). Wesentlich sind unter anderem Energie, Verkehr, Banken, Gesundheit, digitale Infrastruktur, ICT-Dienstleister und öffentliche Verwaltung. Wichtig sind Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion, verarbeitendes Gewerbe (selektiv), digitale Anbieter und Forschung.

Das verarbeitende Gewerbe enthält die für den Mittelstand zentralen Codes: Herstellung von Medizinprodukten (NACE C32.50), Datenverarbeitungsgeräten (C26), elektrischen Ausrüstungen (C27), Maschinen (C28), Kraftwagen (C29) und sonstigem Fahrzeugbau (C30). Ein Maschinenbauer mit 120 Mitarbeitenden und 35 Mio. Euro Umsatz fällt damit klar unter NIS-2 als wichtige Einrichtung.

Die Prüfung erfolgt zum Stichtag. Wer am 31. Dezember zwei aufeinanderfolgender Geschäftsjahre die Größenkriterien erfüllt, wird zu Beginn des Folgejahres registrierungspflichtig. Die Registrierung beim BSI ist binnen drei Monaten ab Pflicht-Eintritt vorzunehmen, der Nachweis muss audit-fest dokumentiert sein.

CIVAC erstellt aus den HR-Daten, dem testierten Jahresabschluss und der Sektor-Zuordnung eine NIS-2-Betroffenheitsanalyse in einer Audit-Vorlage. Bestellurkunde, unterschrieben, abgelegt, belegbar. Der Prüfer ruft an, der Nachweis liegt bereit.

Die Berechnung folgt einem dreistufigen Schema. Erstens Sektor-Mapping, zweitens Mengenwertabgleich nach BSI-KritisV, drittens Größenklassen-Check nach NIS-2. Wer eine Stufe überspringt, riskiert ein falsches Ergebnis und damit eine fehlende Registrierung oder eine überflüssige Pflichtenkaskade. Die Reihenfolge ist nicht beliebig.

Schritt 1: Sektor-Mapping. Erfassen Sie die NACE-Codes Ihres Hauptgeschäfts und etwaiger Tochtergesellschaften. Gleichen Sie diese gegen Anlage 1 BSI-KritisV (zehn KRITIS-Sektoren) und gegen Anhang I und II NIS-2-Richtlinie (18 NIS-2-Sektoren) ab. Ein Treffer in einem der Verzeichnisse genügt, um in die Detail-Prüfung einzusteigen.

Schritt 2: Mengenwertabgleich. Für jeden KRITIS-Sektor sind Bemessungsgrundlagen definiert: Personen versorgt, Tonnen pro Jahr, Megawatt installierte Leistung, Anzahl Fälle, Bilanzsumme. Erfassen Sie die letzten drei Geschäftsjahre. Erreicht eine Anlage in einem dieser Jahre den Mengenwert, gilt sie als KRITIS-Anlage gemäß § 2 Abs. 1 Nr. 1 BSIG.

Schritt 3: Größenklassen-Check. Unabhängig vom KRITIS-Ergebnis prüfen Sie Mitarbeitende (VZE zum 31.12.), Jahresumsatz und Bilanzsumme der letzten zwei Geschäftsjahre. Konsolidieren Sie verbundene Unternehmen. Erreicht die Gruppe die NIS-2-Schwellen und liegt der Hauptzweck in einem NIS-2-Sektor, sind Sie betroffen.

Schritt 4: Konsequenzen-Mapping. Daraus folgt: KRITIS plus NIS-2 (wesentlich), nur KRITIS, nur NIS-2 (wesentlich oder wichtig), keines von beidem. Pro Konstellation gelten unterschiedliche Meldepfade, Pflichten und Bußgeldrahmen. Die CIVAC-FAQ dokumentiert die Pflichtenmatrix für jede Konstellation.

Mit 490 Audit-Vorlagen, einem strukturierten Workspace und Bestellurkunden für 25 Beauftragten-Rollen führt CIVAC die Prüfung in 90 Minuten durch. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

Die Aufsichtsbehörde (BSI für KRITIS, BSI für NIS-2-wesentlich, jeweilige Landesbehörde für ergänzende Aspekte) prüft Dokumente, nicht Aussagen. Die Schwellenwertprüfung ist nur belastbar, wenn sieben Artefakte audit-fest abgelegt sind. Fehlt eines, beginnt die Prüfung von vorn, was Wochen kostet und Bußgelder erleichtert.

Erstens die Sektor- und Anlagen-Karte mit NACE-Codes, Standorten und Anlagenkategorien. Zweitens der Mengenwertnachweis je Anlage mit Versorgungsdaten, Leistungsdaten oder Fallzahlen aus dem operativen System. Drittens der Konzernverbund-Nachweis mit Beteiligungsstruktur, ggf. handelsregisterlich belegt.

Viertens der Beschäftigungs- und Umsatznachweis aus HR und Jahresabschluss, idealerweise testiert. Fünftens das Ergebnisdokument der Betroffenheitsanalyse mit Datum, Verantwortlichem und Schlussfolgerung. Sechstens der Bestellungsnachweis für den Informationssicherheitsbeauftragten gemäß § 8a Abs. 5 BSIG-neu, sofern KRITIS oder NIS-2 wesentlich.

Siebtens die Berichtslinie an die Geschäftsleitung mit Frequenz, Berichtsformat und Eskalationspfad. Die Berichtslinie ist nicht nur eine Pflicht, sondern ein Steuerungsinstrument. Wer Berichtslinien nicht definiert, hat im Ernstfall keinen Pfad für die 24-Stunden-Frühwarnung und die 72-Stunden-Folgemeldung nach NIS-2.

Der CIVAC-Workspace strukturiert die sieben Artefakte als Pflichtfelder. EU-Datenresidenz, ISO/IEC 27001:2022 ISMS mit 93 Controls und ein dokumentierter Bestellungsworkflow sorgen dafür, dass die Schwellenwertprüfung selbst auditierbar ist. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Wer den Workspace lizenziert, baut Schwellenwertprüfung, Mengenwertnachweis und Betroffenheitsanalyse intern auf. Wer keine eigene Kapazität hat, lässt unsere Beauftragten bestellen und übergibt den Workspace an den externen ISB von CIVAC. Beide Modelle sind audit-fest.

Die Schwellenwertprüfung ist Voraussetzung für die Registrierung. Wer KRITIS-Anlagenbetreiber ist, registriert die Anlage beim BSI und benennt eine Kontaktstelle nach § 8b Abs. 3 BSIG, erreichbar 24/7. Wer NIS-2 unterfällt, registriert sich nach Inkrafttreten des NIS2UmsuCG binnen drei Monaten beim BSI über das Meldeportal.

Die Meldepflichten unterscheiden sich. KRITIS-Betreiber melden erhebliche IT-Störungen unverzüglich. NIS-2 verschärft auf einen klaren Pfad: 24 Stunden Frühwarnung, 72 Stunden Folgemeldung mit Erstbewertung, ein Monat Abschlussbericht. Die Datenpannenmeldung nach Art. 33 DSGVO bleibt parallel bestehen, ebenfalls 72 Stunden.

Frist läuft ab Kenntnis. Kenntnis hat das Unternehmen, sobald die Geschäftsleitung oder eine Person mit Berichtslinienzugang den Vorfall erfasst. Das macht die Berichtslinie zum kritischen Hebel: ein definierter Meldeweg verkürzt die Kenntnisnahme von Tagen auf Minuten und sichert die Einhaltung der 24-Stunden-Frist.

Sanktionen kumulieren. Bußgelder NIS-2 bis 10 Mio. Euro oder 2 Prozent Konzernumsatz für wesentliche Einrichtungen, bis 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen. Geschäftsleitungshaftung nach § 38 NIS2UmsuCG, persönliche Verantwortung der Leitungsorgane. Reputationsschäden durch öffentliche Bekanntmachung schwerer Verstöße sind regulatorisch gedeckt.

KRITIS-Bußgelder reichen nach § 14 BSIG bis 2 Mio. Euro pro Verstoß. § 130 OWiG ergänzt die Aufsichtspflichtverletzung der Leitung mit bis zu 10 Mio. Euro. Wer ohne Schwellenwertprüfung agiert, hat im Bußgeldverfahren kein Entlastungsdokument und keine belegbare Sorgfaltsleistung.

CIVAC integriert den 24/72-Meldepfad in den Workspace. Eine Vorfallserfassung löst automatisch die Frühwarnung an die zuständige Behörde aus, dokumentiert Zeitstempel und sichert die Beweiskette. Der Prüfer ruft an, der Nachweis liegt bereit.

Fünf Fehler treten in der Praxis wiederholt auf. Erstens die isolierte KRITIS-Prüfung ohne NIS-2-Abgleich. Wer in keinem KRITIS-Mengenwert liegt, schließt fälschlich auf Pflichtfreiheit. Tatsächlich greift NIS-2 mit weiterem Sektorzuschnitt und niedrigeren Schwellen. Die Pflichtenmatrix bleibt unerkannt, die Registrierung unterbleibt.

Zweitens die unzureichende Konzernkonsolidierung. KMU-Status nach EU-Empfehlung 2003/361/EG entfällt, sobald eine beherrschende Stellung besteht. Ein eigenständig wirkender 80-Mitarbeitenden-Betrieb verliert KMU-Status, wenn die Mutter konsolidiert über 250 MA liegt. Wer das übersieht, prüft mit falscher Größenklasse.

Drittens die Verwendung veralteter Mengenwerte. Die BSI-KritisV wurde mehrfach novelliert, zuletzt 2024. Wer mit den 2017er-Mengenwerten arbeitet, prüft an aktuellen Schwellen vorbei. Das Ergebnis ist formal richtig, materiell falsch. Die Aufsicht akzeptiert nur die Mengenwerte der zum Stichtag geltenden Verordnungsfassung.

Viertens das Fehlen der Berichtslinie. Die Schwellenwertprüfung ist abgeschlossen, aber niemand ist verantwortlich für den jährlichen Re-Check. Sektor wechselt, Größe wächst, Mengenwerte ändern sich, das Ergebnis bleibt im Schrank. Im nächsten Audit ist die Prüfung 24 Monate alt und damit nicht mehr belastbar.

Fünftens die fehlende Beauftragten-Bestellung. NIS-2 verlangt eine Verantwortung für Informationssicherheit, KRITIS-Betreiber bestellen einen ISB. Ohne dokumentierte Bestellurkunde ist die organisatorische Voraussetzung nicht erfüllt, selbst wenn fachlich qualifizierte Personen tätig sind. Audit-fest, dokumentiert, § 8a-fest.

CIVAC begegnet diesen Fehlern durch strukturierte Audit-Vorlagen, automatische Re-Check-Erinnerungen und einen integrierten Bestellungsworkflow. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Die Prüfung lässt sich an einem Vormittag schaffen, wenn die Inputs vorliegen. Block 1 (15 Minuten): Sektor-Mapping. Drucken Sie den Handelsregisterauszug und den Geschäftsverteilungsplan. Markieren Sie die NACE-Codes Ihrer Tätigkeit. Gleichen Sie gegen die zehn KRITIS-Sektoren und die 18 NIS-2-Sektoren ab. Ergebnis: Sektor-Treffer ja oder nein, mit Begründung.

Block 2 (20 Minuten): Mengenwertabgleich. Holen Sie die operativen Kennzahlen der letzten drei Geschäftsjahre. Pro Anlage erfassen Sie den Bemessungswert (Versorgungspersonen, Tonnen, MW, Fälle) und vergleichen mit der jeweiligen Anlage der BSI-KritisV. Ergebnis: KRITIS-Anlage ja oder nein, je Anlage einzeln.

Block 3 (20 Minuten): Größenklassen-Check. Aus HR und Jahresabschluss ziehen Sie Mitarbeitende VZE und Umsatz beziehungsweise Bilanzsumme. Konsolidieren Sie den Konzernverbund. Vergleichen Sie gegen die NIS-2-Schwellen 50/250 Mitarbeitende und 10/50 Mio. Euro. Ergebnis: NIS-2 wesentlich, wichtig oder nicht betroffen.

Block 4 (15 Minuten): Konsequenzen-Mapping. Pro Konstellation halten Sie fest: Registrierungspflicht ja/nein, Meldepfad 24/72, ISB-Pflicht ja/nein, Bußgeldrahmen, nächster Re-Check. Ergebnis: ein Einseiter mit Status, Pflichten, Fristen und Verantwortlichem.

Block 5 (20 Minuten): Dokumentation und Bestellurkunde. Sieben Artefakte ablegen, Bestellurkunde für den passenden Beauftragten ausstellen, Berichtslinie an die Geschäftsleitung festlegen. Der CIVAC-Workspace enthält die Vorlagen für alle fünf Blöcke vorausgefüllt, sodass die 90 Minuten realistisch sind.

Wer den Plan einmal durchläuft, hat einen jährlichen Re-Check-Rhythmus etabliert. Im zweiten Jahr verkürzt sich die Prüfung auf 45 Minuten, weil nur Veränderungen dokumentiert werden müssen. Das ist der Unterschied zwischen aktenschrankgeführter und softwaregeführter Compliance.

Die Schwellenwertprüfung ist die Eintrittskarte in eine strukturierte KRITIS- und NIS-2-Compliance. Wer das Ergebnis sauber dokumentiert hat, kann den nächsten Schritt gestalten: ISMS aufbauen, Beauftragten bestellen, Meldepfade testen, ISO/IEC 27001:2022 mit 93 Controls implementieren, Lieferantenaudits aufsetzen.

CIVAC bietet zwei Modelle. Das erste Modell: Sie lizenzieren den Workspace für Ihren internen ISB. 490 Audit-Vorlagen, integrierte Bestellurkunden, NIS-2-Meldepfad 24/72, ISO 27001-Kontrollen, EU-Datenresidenz. Ihr Beauftragter arbeitet in der Plattform, Sie behalten Personalhoheit und Kompetenzaufbau im Haus.

Das zweite Modell: Sie lassen unsere Beauftragten bestellen. CIVAC stellt einen externen ISB, Datenschutzbeauftragten oder eine andere Rolle aus dem Portfolio von 25 Beauftragten-Rollen. SLA: 2 Werktage zur Aufnahme, statt 2 bis 6 Wochen bei klassischer Personalsuche. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Beide Modelle teilen den gleichen Workspace, die gleichen Audit-Vorlagen und die gleichen Meldepfade. Der Unterschied liegt ausschließlich in der Trägerschaft des Beauftragten. Wer wachsen will, beginnt extern und übernimmt später intern. Wer Spezialwissen punktuell braucht, kombiniert interne Rollen mit externen Spezialbeauftragten.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Wege beginnen mit einer 90-minütigen Schwellenwertprüfung, die wir gemeinsam in Ihrer Audit-Vorlage durchführen. Der Prüfer ruft an, der Nachweis liegt bereit.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir vereinbaren einen 30-Minuten-Termin, in dem wir Sektor-Treffer, Größenklasse und Pflichtenmatrix sichten und ein passendes Modell vorschlagen.