KRITIS-Pflicht: Welche Betreiber 2026 unter die verschärfte Regulierung fallen

Die Pflichten für Betreiber Kritischer Infrastrukturen (KRITIS) erweitern sich 2026 erheblich. Drei Regelwerke greifen ineinander: das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes, das KRITIS-Dachgesetz (KRITIS-DachG) und die KRITIS-Verordnung (KritisV). Schätzungen des BMI gehen von rund 29.500 betroffenen Unternehmen in Deutschland aus, ein Vielfaches der bisherigen rund 2.000 KRITIS-Betreiber.

Dieser Beitrag erklärt die konkreten Schwellenwerte, die Registrierungspflicht beim Bundesamt für Sicherheit in der Informationstechnik (BSI), die alle zwei Jahre fälligen Nachweise und die operativen Konsequenzen für den Informationssicherheitsbeauftragten. Eine vertiefende regulatorische Einordnung der NIS-2-Umsetzung finden Sie auf civac.de/news/nis-2-umsetzung-deutschland-2026.

Die KRITIS-Verordnung (KritisV) definiert in ihrer aktuellen Fassung zehn Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung, Staat und Verwaltung sowie Medien und Kultur. Mit dem KRITIS-DachG kommen weitere Sektoren hinzu, darunter Raumfahrt und chemische Industrie.

Schwellenwerte sind sektorspezifisch und basieren auf dem Versorgungsgrad. Beispiele aus der KritisV: Stromerzeugung ab 420 MW installierter Netto-Nennleistung, Wasserversorgung ab 500.000 versorgten Personen, Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr, Rechenzentren ab 3,5 MW Leistung.

Die Schwellenwerte werden 2026 voraussichtlich abgesenkt. Bereits im Referentenentwurf des KRITIS-DachG sind kleinere Versorgungsgrade vorgesehen, sodass deutlich mehr Betreiber als bisher unter die Regulierung fallen.

NIS-2 unterscheidet zwischen wesentlichen Einrichtungen (essential entities) und wichtigen Einrichtungen (important entities). Die Klassifikation richtet sich nach Sektor, Mitarbeiterzahl ab 250 oder 50, und Jahresumsatz ab 50 Mio. oder 10 Mio. Euro. Diese Schwellen ergänzen die KRITIS-Schwellen, ersetzen sie aber nicht.

Mehrere Schwellenwerte können parallel greifen. Ein Stromnetzbetreiber kann gleichzeitig KRITIS-Betreiber nach KritisV (sektoral) und wesentliche Einrichtung nach NIS-2 (universal) sein. Die strengere Pflicht setzt sich durch.

Nach § 8b BSIG-neu (in der NIS-2-Umsetzungsfassung) müssen sich KRITIS-Betreiber innerhalb von vier Monaten nach Inkrafttreten der Pflicht oder nach Überschreiten der Schwellenwerte beim BSI registrieren. Die Registrierung erfolgt über das BSI-Meldeportal mit Angaben zu Betreiber, Anlage und Kontaktstelle.

Die Pflicht zur Selbstregistrierung ist eine wesentliche Verschärfung. Vor NIS-2 musste das BSI die Betreiber identifizieren und anschreiben. Künftig liegt die Holschuld beim Betreiber, das Übersehen der eigenen KRITIS-Eigenschaft ist kein Entschuldigungsgrund.

Mit der Registrierung verbunden ist die Benennung einer ständig erreichbaren Kontaktstelle für sicherheitsrelevante Vorfälle. Diese Kontaktstelle ist nicht identisch mit dem Informationssicherheitsbeauftragten, kann aber in seiner Person zusammenfallen.

Die Registrierungsdaten werden alle zwei Jahre überprüft und aktualisiert. Veränderungen im Betreiberkreis (Verkauf, Fusion, Umstrukturierung) müssen unverzüglich gemeldet werden. Frist läuft ab Kenntnis.

Der CIVAC-Workspace führt einen Stammdatensatz für KRITIS-Registrierungen mit Versionierung, Erinnerungsfunktion zur Zwei-Jahres-Aktualisierung und Vorlagen für die BSI-Meldeformulare. Bestellurkunde, unterschrieben, abgelegt, belegbar.

§ 8a BSIG-neu verpflichtet KRITIS-Betreiber, alle zwei Jahre dem BSI gegenüber den Stand der getroffenen Vorkehrungen nachzuweisen. Der Nachweis erfolgt durch Audit eines vom BSI anerkannten Prüfers, durch ISO/IEC 27001:2022-Zertifikat mit ergänzenden KRITIS-Anforderungen, oder durch sektorspezifische Standards wie B3S.

Branchenspezifische Sicherheitsstandards (B3S) sind anerkannte Konkretisierungen für einzelne Sektoren, zum Beispiel B3S Krankenhaus, B3S Wasser, B3S Energie. Sie sind nicht zwingend, aber erleichtern den Nachweis erheblich, weil das BSI sie als angemessen anerkannt hat.

Der Prüfungsumfang ist breiter als eine reine ISO-27001-Prüfung. Geprüft werden nicht nur die ISMS-Controls, sondern die spezifische Resilienz gegen ausfallbedingte Gefährdungen der kritischen Funktion. Ein Stromnetzbetreiber muss nachweisen, dass auch bei IT-Ausfall die Netzführung weiter möglich ist.

Nachweisdefizite sind Bußgeldtatbestände nach § 14 BSIG-neu. Bußgelder reichen bis 20 Mio. Euro oder 2 Prozent des weltweiten Konzernumsatzes (jeweils der höhere Betrag), bei wesentlichen Einrichtungen. Wichtige Einrichtungen drohen bis 10 Mio. Euro oder 1,4 Prozent.

Der Informationssicherheitsbeauftragte ist für die Vorbereitung und Begleitung der Nachweisprüfung operativ verantwortlich. Audit-fest, dokumentiert, § 8a-fest.

Vorfälle mit erheblichen Auswirkungen auf die kritische Funktion müssen gemeldet werden. Die Fristen aus NIS-2 (übernommen in BSIG-neu) sind strikt: 24 Stunden Frühwarnung nach Kenntnis, 72 Stunden formelle Meldung, ein Monat Abschlussbericht.

Die 24-Stunden-Frühwarnung enthält erste Informationen: Art des Vorfalls, mutmaßlicher Hergang, betroffene Systeme, vermutete Ursache. Sie ist bewusst niedrigschwellig gehalten, weil zum Zeitpunkt der Meldung selten vollständige Klarheit besteht.

Die 72-Stunden-Meldung vertieft den Befund: Schadensumfang, betroffene Datenkategorien, ergriffene Gegenmaßnahmen, Auswirkungen auf andere Betreiber. Mehrere Datenpannen-Schnittstellen sind möglich: parallel kann eine DSGVO-Meldung nach Art. 33 DSGVO an die Landesdatenschutzbehörde fällig werden, mit eigener 72-Stunden-Frist.

Der Abschlussbericht nach einem Monat dokumentiert Ursachenanalyse, Wirksamkeit der Gegenmaßnahmen, Lessons Learned und geplante Verbesserungen. Er ist die Grundlage für die Beurteilung durch das BSI und kann in nachfolgende Bußgeldverfahren einfließen.

Operative Konsequenz: KRITIS-Betreiber brauchen einen vorbereiteten Meldepfad mit klaren Eskalationsstufen, Vorlagen für die drei Meldedokumente und einer benannten 24/7-Kontaktstelle. Der Prüfer ruft an, der Nachweis liegt bereit.

Drei Regelwerke greifen 2026 parallel. Das BSIG-neu (NIS-2-Umsetzungsgesetz) regelt die Cybersicherheit kritischer Anlagen. Das KRITIS-DachG ergänzt die physische Sicherheit und die Resilienz gegen nicht-cyberbedingte Gefährdungen wie Sabotage, Naturereignisse und Pandemien. Die KritisV definiert sektorale Schwellenwerte.

Wer in mehreren Regelungsbereichen verpflichtet ist, sollte die Anforderungen nicht doppelt aufbauen, sondern in einem integrierten Sicherheitsmanagement bündeln. ISO/IEC 27001:2022 mit den 93 Controls bildet den IT-Teil, ergänzt um Business-Continuity-Anforderungen aus ISO 22301 für die physische Resilienz.

Aufsicht ist mehrgleisig: BSI für IT-Sicherheit, sektorale Aufsichtsbehörden (BaFin, Bundesnetzagentur, Eisenbahn-Bundesamt) für betriebliche Sicherheit, Landesinnenministerien für Katastrophenschutz, Bundeskriminalamt für Sabotagebezug. Eine zentrale Compliance-Steuerung im Unternehmen ist deshalb wichtiger als bisher.

Branchenverbände (BDEW Energie, DWA Wasser, DKG Krankenhaus, BDI Industrie) bieten sektorspezifische Auslegungshilfen. Diese sind nicht rechtsverbindlich, beeinflussen aber die Verwaltungspraxis und die Akzeptanz von Nachweismethoden.

Im CIVAC-Workspace bildet ein Mapping die Pflichten aus allen drei Regelwerken auf die internen Controls ab. Eine Maßnahme deckt typischerweise mehrere regulatorische Anforderungen ab. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

NIS-2 und KRITIS-DachG erweitern den Pflichtenkreis auf die Lieferkette. KRITIS-Betreiber müssen Risiken aus Dienstleistern, Software-Lieferanten und Cloud-Anbietern systematisch bewerten und vertraglich absichern. Eine reine Standardklausel im Vertrag genügt nicht.

Konkret verlangt § 8a Abs. 3 BSIG-neu, dass Sicherheitsanforderungen auch gegenüber Drittparteien durchgesetzt werden. Audit-Rechte, Sub-Dienstleister-Klauseln, Meldepflichten bei Vorfällen, Kündigungsrechte bei Sicherheitsdefiziten gehören in die Standardvertragsarchitektur.

Software-Lieferketten gewinnen besondere Bedeutung. Die SBOM-Initiative der CISA und parallele Bestrebungen auf EU-Ebene verlangen Transparenz über die Komponenten kommerzieller Software. KRITIS-Betreiber sollten bei kritischer Software eine Software Bill of Materials einfordern.

Cloud-Anbieter sind die häufigste Drittpartei kritischer Funktionen. Hier verschärft die EU-AI-Verordnung in Kombination mit DORA für Finanzdienstleister die Anforderungen. Sovereign-Cloud-Lösungen mit EU-Datenresidenz und EU-Eigentumsstruktur sind in vielen Sektoren bereits Beschaffungsstandard.

Der CIVAC-Workspace bietet ein Lieferanten-Auditor-Modul mit Vorlagen für Sicherheits-Due-Diligence, jährlicher Risikobewertung und Re-Audit-Erinnerungen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen.

Ein zentraler Bruch der NIS-2-Umsetzung gegenüber dem alten Recht ist die persönliche Haftung der Geschäftsleitung. § 38 BSIG-neu verpflichtet Geschäftsführer und Vorstände persönlich, die Umsetzung der Sicherheitsanforderungen zu überwachen und zu billigen.

Verletzungen dieser Pflicht führen nicht nur zu Unternehmensbußgeldern, sondern können persönliche Haftung nach § 43 GmbHG oder § 93 AktG auslösen. Die Beweislast liegt im Streitfall bei der Geschäftsleitung: Wer nicht dokumentiert hat, dass er angemessene Sorgfalt walten ließ, haftet.

Konkret heißt das: regelmäßige Risiko-Berichte des ISB an die Geschäftsleitung, dokumentierte Entscheidungen zu Maßnahmen und Restrisiken, Genehmigung wesentlicher Sicherheitsbudgets durch das Leitungsorgan. Diese Vorgänge müssen aktenkundig sein, nicht nur informell besprochen.

D&O-Versicherungen sollten auf NIS-2-spezifische Ausschlüsse geprüft werden. Standardpolicen schließen vorsätzliche Pflichtverletzungen aus, decken aber Fahrlässigkeit. Die Grenze zwischen grober Fahrlässigkeit und Vorsatz ist im Cyber-Kontext schwierig, ein Update der Police 2026 ist ratsam.

Schulungspflicht für die Geschäftsleitung ist neu. Nach § 38 Abs. 3 BSIG-neu müssen Mitglieder des Leitungsorgans Schulungen zur Cybersicherheit absolvieren. Eine jährliche Auffrischung mit dokumentiertem Nachweis ist marktüblicher Standard.

Das NIS-2-Umsetzungsgesetz tritt voraussichtlich Anfang 2026 in Kraft, mit gestaffelten Übergangsfristen. Registrierung beim BSI: vier Monate ab Inkrafttreten beziehungsweise ab Überschreiten der Schwellenwerte. Volle Umsetzung der Sicherheitsanforderungen: 24 Monate ab Inkrafttreten.

Der erste Nachweis nach § 8a BSIG-neu ist 24 Monate nach Inkrafttreten fällig, danach im Zwei-Jahres-Rhythmus. Wer 2026 noch keinen Plan hat, verliert die Hälfte des verfügbaren Zeitfensters auf Bestandsaufnahme und Konzeption.

Ein realistischer Vorbereitungspfad gliedert sich in vier Phasen: Bestandsaufnahme (zwei bis drei Monate), Konzeption (drei Monate), Implementierung (zwölf Monate), Nachweisvorbereitung und Audit (drei bis sechs Monate). Wer alles parallel angehen will, scheitert an Ressourcenknappheit.

Quick wins für die ersten 90 Tage: Identifikation der KRITIS-Eigenschaft mit Schwellenwertcheck, Benennung von ISB und Meldekontakt, Risiko-Inventur der wichtigsten Systeme, Lückencheck gegen ISO/IEC 27001:2022 Annex A. Diese Vorarbeiten kosten wenig und ermöglichen valide Aufwandsschätzungen.

Externe Unterstützung in der Konzeptionsphase ist häufig wirtschaftlicher als die ausschließlich interne Erarbeitung. Der externe ISB kann temporär oder dauerhaft tätig werden, mit Bestellurkunde und klarer Berichtslinie an die Geschäftsleitung.

Die KRITIS-Pflichten 2026 erfordern eine integrierte Sicht: Schwellenwertcheck, Registrierung, Risiko-Inventur, Maßnahmenplan, Schulung, Vorfallmeldepfad, Nachweis-Audit. Fragmentierte Werkzeuge (Excel für Inventur, Word für Maßnahmen, separates Meldetool) reißen Schnittstellen auf und verlängern die Vorbereitungszeit deutlich.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Der Workspace bündelt KRITIS-spezifische Vorlagen, NIS-2-konforme Meldepfade mit 24- und 72-Stunden-Uhr, ISO/IEC 27001:2022-Mapping über 93 Controls und ein Lieferanten-Auditor-Modul für die Drittparteienanforderung aus § 8a BSIG-neu.

Modell eins: Sie lizenzieren den Workspace für Ihre internen Beauftragten. Ihr ISB führt die KRITIS-Compliance selbst, gestützt durch 490 einsatzbereite Audit-Vorlagen, Stammdatenführung und automatische Erinnerungen für die Zwei-Jahres-Nachweisprüfung.

Modell zwei: Sie lassen unsere Beauftragten bestellen. Ein erfahrener externer Informationssicherheitsbeauftragter übernimmt die operative Verantwortung, mit Bestellurkunde, Berichtslinie an Ihre Geschäftsleitung und einer SLA von zwei Werktagen statt der branchenüblichen zwei bis sechs Wochen.

Beide Modelle nutzen denselben Workspace und denselben Audit-Trail. KRITIS-Betreiber wechseln häufig zu Beginn vom externen ISB zum hybriden Modell, sobald interne Kapazität aufgebaut ist. Die Plattform bleibt konstant.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir starten typischerweise mit einem Schwellenwertcheck und einer 30-Tage-Roadmap für die ersten Schritte.