KRITIS-Verordnung 2026: Welche Pflichten Betreiber wirklich treffen

Mit Inkrafttreten der NIS-2-Richtlinie und der parallelen Anpassung der BSI-KritisV verdichtet sich der Pflichtenkatalog für Betreiber kritischer Infrastrukturen in Deutschland im Jahr 2026 erheblich. Die Bundesregierung hat das KRITIS-Dachgesetz und das NIS2UmsuCG vorgelegt, die zusammen die bisherige Trennung zwischen IT-Sicherheit und physischer Resilienz aufheben und einen einheitlichen Pflichtenrahmen für rund 29.500 betroffene Unternehmen in Deutschland schaffen. Die Schwellenwerte der BSI-KritisV bleiben in den meisten Sektoren auf 500.000 versorgten Personen kalibriert, aber der Anwendungsbereich erweitert sich um neue Sektoren wie öffentliche Verwaltung, Lebensmittelversorgung und digitale Infrastruktur, und die Sanktionsdrohung steigt auf bis zu 10 Millionen Euro oder zwei Prozent des Konzernumsatzes für wesentliche Einrichtungen.

Dieser Beitrag erklärt im Detail, welche Pflichten Betreiber 2026 konkret treffen, wie sich die BSI-KritisV vom KRITIS-Dachgesetz und der NIS-2-Umsetzung abgrenzt, welche Schwellenwerte für welchen Sektor gelten, wie die Nachweiserbringung nach § 8a Abs. 3 BSIG funktioniert, welche Meldepflichten innerhalb von 24 und 72 Stunden bestehen und welche Sanktionen drohen. Er fokussiert die operative Sicht eines Informationssicherheitsbeauftragten, nicht die regulatorische Theorie, und zeigt am Ende, wie CIVAC als Compliance-Plattform und Officer-as-a-Service die Pflichten in zwei Werktagen handhabbar macht, statt in zwei bis sechs Wochen wie im klassischen Beratungsmarkt.

Die BSI-KritisV ist eine Rechtsverordnung des Bundesministeriums des Innern und für Heimat auf der Grundlage des § 10 BSIG. Sie konkretisiert, welche Anlagen, Systeme und Einrichtungen als Kritische Infrastruktur im Sinne des § 2 Abs. 10 BSIG gelten, und definiert dafür sektorspezifische Schwellenwerte. Sie ersetzt nicht das BSIG selbst, sondern ergänzt es um die quantitativen Kriterien, ab denen ein Unternehmen als KRITIS-Betreiber gilt. Die Pflichten selbst stehen weiterhin im BSIG, ergänzt um die neuen Vorschriften aus dem NIS2UmsuCG und dem KRITIS-Dachgesetz, die ab 2026 in Kraft treten und das deutsche Recht an die NIS-2-Richtlinie und die CER-Richtlinie der EU anpassen.

Die Verordnung gliedert sich in neun Sektoren: Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, Siedlungsabfallentsorgung sowie staatliche Verwaltung. Für jeden Sektor sind in den Anlagen der Verordnung Schwellenwerte definiert, ab denen die Pflichten greifen. Im Energiesektor liegt die Schwelle für Stromversorgung bei jährlich 3.700 GWh, im Wassersektor bei 22 Millionen Kubikmetern, im Gesundheitssektor bei 30.000 vollstationären Behandlungsfällen pro Jahr. Die Schwellenwerte beruhen auf dem Regelfall von 500.000 versorgten Personen, sind aber sektorspezifisch ausdifferenziert. Für die operative Bewertung der eigenen Betroffenheit ist die jährliche Selbsteinschätzung anhand der Anlagen der BSI-KritisV der erste Schritt. Wer die Schwelle überschreitet, ist verpflichtet, sich beim BSI als Betreiber anzumelden und einen Informationssicherheitsbeauftragten zu benennen, die Kontaktstelle für Informationssicherheit gegenüber dem BSI zu benennen und die operative Erreichbarkeit auch außerhalb der üblichen Geschäftszeiten zu gewährleisten. Eine vertiefte Übersicht der Sektoren und Schwellenwerte liefert auch das BSI auf seinen Themenseiten und in den jährlich aktualisierten Lageberichten zur IT-Sicherheit in Deutschland.

Mit der Umsetzung der NIS-2-Richtlinie über das NIS2UmsuCG erweitert sich der Anwendungsbereich der KRITIS-Regulierung 2026 erheblich, ohne dass die BSI-KritisV selbst alle neuen Adressaten erfasst. Die NIS-2-Richtlinie kennt zwei Kategorien: wesentliche Einrichtungen und wichtige Einrichtungen, jeweils unterteilt in Sektoren mit hoher und sehr hoher Kritikalität. Wesentliche Einrichtungen sind großflächig die klassischen KRITIS-Sektoren plus Anbieter digitaler Dienste über bestimmten Größenkriterien. Wichtige Einrichtungen umfassen die mittleren und mittelgroßen Unternehmen in den NIS-2-Sektoren, die unterhalb der KRITIS-Schwellenwerte bleiben, aber dennoch der NIS-2-Pflichtenlast unterliegen. Insgesamt rechnet die Bundesregierung mit etwa 29.500 betroffenen Unternehmen in Deutschland.

Neu in den Anwendungsbereich gelangen unter anderem mittelgroße Anbieter von Rechenzentrumsdiensten, Anbieter öffentlich zugänglicher elektronischer Kommunikationsdienste, Anbieter von Cloud-Diensten, ICT-Dienstleister, ausgewählte Anbieter von Postdiensten, mittlere Wasserversorger, Lebensmittelhersteller mit kritischen Mengen, ausgewählte chemische Hersteller und Unternehmen der öffentlichen Verwaltung. Aus dem Raster fallen praktisch keine bestehenden KRITIS-Betreiber, da die Schwellenwerte der BSI-KritisV im Wesentlichen beibehalten werden. Für Unternehmen, die unsicher sind, ob sie betroffen sind, empfiehlt sich eine strukturierte Schwellenwertprüfung mit Dokumentation pro Sektor und Anlagentyp. Die Selbsteinschätzung ist juristisch belastbar nur dann, wenn sie schriftlich, datiert und mit Berechnungsgrundlagen versehen vorliegt. Der Prüfer ruft an, der Nachweis liegt bereit. CIVAC liefert eine Vorlage für die Schwellenwertprüfung als Teil der siebenunddreißig Audit-Vorlagen, einschließlich der Sektordefinitionen aus der BSI-KritisV in der jeweils aktuellen Fassung, der parallelen Einordnung nach NIS-2-Kriterien und einer dokumentierten jährlichen Wiederholung der Prüfung mit eindeutigem Stichtag und Versionsstand. Damit ist die Selbsteinschätzung jederzeit im Audit reproduzierbar und liefert dem BSI auf Anfrage eine belastbare Argumentationsgrundlage.

Die zentralen Pflichten der KRITIS-Betreiber gliedern sich 2026 in sechs Hauptblöcke, die operativ nebeneinander zu erfüllen sind. Erstens die Registrierung beim BSI als Betreiber Kritischer Infrastruktur nach § 8b BSIG mit Angabe der Kontaktstelle und der Erreichbarkeit. Zweitens die Bestellung eines Informationssicherheitsbeauftragten beziehungsweise einer Kontaktstelle für Informationssicherheit nach § 38 BSIG-neu, mit dokumentierter Berichtslinie an die Geschäftsleitung und Vertretungsregelung. Drittens die Umsetzung angemessener technischer und organisatorischer Maßnahmen nach Stand der Technik gemäß § 8a Abs. 1 BSIG, einschließlich Kryptografie, Zugangskontrollen, Schwachstellenmanagement, Lieferkettensicherheit und Geschäftskontinuitätsmanagement.

Viertens die Meldung erheblicher Sicherheitsvorfälle gemäß § 8b BSIG mit den neuen NIS-2-Fristen: 24h-Frühwarnung, 72h-Folgemeldung und Abschlussbericht binnen eines Monats. Frist läuft ab Kenntnis. Fünftens die Nachweiserbringung über die Umsetzung der Sicherheitsmaßnahmen alle zwei Jahre gemäß § 8a Abs. 3 BSIG, regelmäßig durch eine prüfungsberechtigte Stelle, mit Mängelliste und Abhilfeplan. Sechstens die Information der Geschäftsleitung und die Pflicht des Top-Managements zur Genehmigung und Überwachung der Maßnahmen, mit persönlicher Haftung der Geschäftsleitung nach § 38 NIS2UmsuCG, wenn Sorgfaltspflichten verletzt werden. Diese sechs Blöcke sind kein optionaler Maßnahmenkatalog, sondern bilden den Pflichtenkern. CIVAC bildet alle sechs Blöcke in einem Workspace ab und stellt die siebenunddreißig Audit-Vorlagen, die ISO/IEC 27001:2022-Controls und den 24h/72h-Meldepfad zentral bereit, einschließlich der Berichtsvorlagen für die Geschäftsleitung und der Schulungsmodule für Vorstand und Aufsichtsrat. Bestellurkunde, unterschrieben, abgelegt, belegbar. Die Pflichtenkette ist damit in einer einzigen Arbeitsumgebung dokumentiert, statt verteilt über E-Mails, Tabellen und PDFs auf verschiedenen Laufwerken zu liegen, was im Audit regelmäßig zur Beweismittelschwäche führt.

Die Schwellenwerte der BSI-KritisV sind in den Anlagen 1 bis 8 der Verordnung sektorspezifisch geregelt und werden 2026 in Teilen aktualisiert. Im Energiesektor gilt eine Anlage als KRITIS, wenn sie Strom in Höhe von mindestens 3.700 GWh pro Jahr erzeugt, übertragen oder verteilt, Gas in Höhe von mindestens 5.190 GWh pro Jahr durchsetzt oder Mineralöl im Umfang von mindestens 420.000 Tonnen pro Jahr umschlägt. Im Wassersektor liegt die Schwelle bei 22 Millionen Kubikmetern Trinkwasser pro Jahr beziehungsweise dem Anschluss von 500.000 Einwohnerwerten an die Abwasserentsorgung. Im Gesundheitssektor sind Krankenhäuser ab 30.000 vollstationären Behandlungsfällen pro Jahr betroffen, Hersteller von verschreibungspflichtigen Medikamenten ab 4,65 Millionen Packungen pro Jahr.

Im Sektor Informationstechnik und Telekommunikation gelten gestaffelte Schwellenwerte für Internet-Knoten, DNS-Resolver, Trust Service Provider, Rechenzentren und Cloud-Anbieter. Ein Rechenzentrum ist beispielsweise ab einer vertraglich zugesicherten Leistung von 3,5 MW betroffen. Im Finanzsektor liegt die Schwelle für Zahlungsverkehrsabwicklung bei 5,9 Milliarden Euro Volumen pro Jahr. Im Transportsektor sind Flughäfen ab 20 Millionen Passagieren, Seehäfen ab 5,4 Millionen Tonnen Umschlag und Schienenverkehrsbetreiber ab definierten Personenkilometern betroffen. Wer unsicher ist, muss die Schwellenwertberechnung dokumentiert vornehmen, mit Datengrundlage und Stichtag. Eine fehlende Schwellenwertdokumentation wird im Audit als eigenständiger Mangel gewertet. Audit-fest, dokumentiert, § 10 BSIG-fest. Die CIVAC-Vorlage für die Schwellenwertprüfung enthält die jeweils aktuellen Sektorwerte und führt Sie strukturiert durch die Berechnung, einschließlich der Anlagen-Definitionen, der parallelen NIS-2-Einordnung und einer Vorlage für die jährliche Wiederholungsprüfung mit Stichtag, Datenquelle und Unterschrift des verantwortlichen Beauftragten. Eine FAQ dazu findet sich auf civac.de/faq.

Die Nachweispflicht nach § 8a Abs. 3 BSIG ist die operativ aufwendigste Pflicht im KRITIS-Regime. Betreiber müssen alle zwei Jahre dem BSI nachweisen, dass die nach § 8a Abs. 1 BSIG geforderten technischen und organisatorischen Maßnahmen tatsächlich umgesetzt sind. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. In der Praxis wählen die meisten Betreiber eine Prüfung nach einem branchenspezifischen Sicherheitsstandard wie B3S in Kombination mit einer ISO/IEC 27001-Zertifizierung. Der Prüfbericht muss von einer prüfungsberechtigten Stelle erstellt sein, die nach § 8a Abs. 3 Satz 2 BSIG vom BSI anerkannt ist.

Der Nachweis umfasst mindestens vier Bestandteile. Erstens eine vollständige Liste der umgesetzten Maßnahmen mit Referenz zu den ISO/IEC 27001:2022-Controls und dem branchenspezifischen Sicherheitsstandard. Zweitens eine Mängelliste mit Bewertung des Risikos und einem verbindlichen Abhilfeplan mit Verantwortlichkeiten und Fristen. Drittens den Prüfbericht der prüfungsberechtigten Stelle mit Datum, Unterschrift und Geltungsbereich. Viertens die schriftliche Stellungnahme der Geschäftsleitung zur Mängelliste und zum Abhilfeplan mit Genehmigungsvermerk. Wer den Nachweis nicht oder zu spät einreicht, riskiert ein Bußgeld nach § 14 BSIG und eine Anordnung zur Mängelbeseitigung mit kurzer Frist, die im schlimmsten Fall den Betrieb einschränkt. Die CIVAC-Plattform pflegt das Maßnahmenregister mit Referenz zu allen 93 ISO/IEC 27001:2022-Controls, dokumentiert die Mängelliste und den Abhilfeplan revisionssicher und liefert die Vorlage für die Stellungnahme der Geschäftsleitung. Der Prüfer ruft an, der Nachweis liegt bereit, mit vollständiger Beweismittelkette und Datierung jeder einzelnen Maßnahme über die volle Zwei-Jahres-Periode des Prüfungszyklus, ohne nachträgliche Rekonstruktion aus E-Mail-Archiven oder verteilten SharePoint-Ordnern. Eine Übersicht der Plattform-Leistungen findet sich auf civac.de/facts.

Mit der Umsetzung der NIS-2-Richtlinie ändern sich die Meldepflichten für KRITIS-Betreiber 2026 grundlegend. Bisher galt eine einstufige Meldepflicht erheblicher Sicherheitsvorfälle nach § 8b BSIG ohne feste Frist. Künftig gelten drei gestaffelte Meldungen mit klaren Fristen. Erstens die Frühwarnung innerhalb von 24 Stunden nach Kenntnis des Vorfalls. Sie umfasst eine Erstbeschreibung, eine vorläufige Risikoeinschätzung und gegebenenfalls den Verdacht auf eine grenzüberschreitende Auswirkung. Zweitens die Vorfallsmeldung innerhalb von 72 Stunden nach Kenntnis, mit aktualisierter Risikoeinschätzung, Beschreibung der Indikatoren der Kompromittierung und der bisher ergriffenen Maßnahmen. Drittens der Abschlussbericht binnen eines Monats nach Kenntnis, mit detaillierter Vorfallsanalyse, Ursachenfeststellung und ergriffenen Maßnahmen.

Die Fristen laufen ab Kenntnis des Vorfalls, nicht ab der internen Eskalation oder der Bestätigung durch die IT-Forensik. Das bedeutet praktisch, dass der Meldepfad redundant aufgestellt sein muss, mit Vertretungsregelung und Erreichbarkeit außerhalb der Geschäftszeiten. Wer die 24h-Frühwarnung um auch nur zwei Stunden überzieht, dokumentiert einen Pflichtverstoß, der im Audit aufschlägt und in Wiederholungsfällen sanktionsbewehrt ist. Frist läuft ab Kenntnis. Die CIVAC-Plattform stellt den 24h-/72h-Meldepfad mit eigenem Timer, eskalierender Benachrichtigung an den Informationssicherheitsbeauftragten und den Vorstand, vorgefertigten Meldetexten in deutscher Sprache und einer direkten Schnittstelle zum BSI-Meldeportal bereit. Der Pfad ist im Workspace mit Vertretungsregelung hinterlegt und wird mindestens einmal jährlich durch ein Tabletop-Szenario geübt, einschließlich der ehrlichen Messung der tatsächlich erreichten Reaktionszeiten an Wochenenden und Feiertagen. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Die Rolle des Informationssicherheitsbeauftragten ist in dieser Pflichtenkette die entscheidende, und ihre operative Verankerung im Tagesgeschäft ist die einzige Garantie für ein Bestehen der ersten ernsthaften BSI-Prüfung.

Mit dem NIS2UmsuCG zieht der deutsche Gesetzgeber die Sorgfaltspflichten der Geschäftsleitung in der Informationssicherheit erstmals so eng wie in der Bilanzbuchhaltung. Die Geschäftsleitung muss die nach § 8a BSIG geforderten Sicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und an regelmäßigen Schulungen teilnehmen. Verletzt sie diese Pflichten und entsteht dem Unternehmen daraus ein Schaden, haftet sie persönlich gegenüber der Gesellschaft nach den Grundsätzen der Business Judgement Rule und nach § 43 GmbHG beziehungsweise § 93 AktG. Das ist keine neue zivilrechtliche Haftungsgrundlage, aber die Beweislastumkehr und die ausdrückliche Verankerung im NIS2UmsuCG machen Klagen nach Vorfällen wahrscheinlicher.

Praktisch bedeutet das, dass die Geschäftsleitung eine schriftliche Genehmigung des Sicherheitsmaßnahmenkatalogs nachweisen muss, regelmäßig mindestens jährlich an einer Schulung teilnehmen muss und in den Vorfallsmeldungen als Adressat der Information aufzuführen ist. Eine reine Delegation an den Informationssicherheitsbeauftragten reicht nicht aus, da die Aufsichtspflicht beim Vorstand verbleibt. Der Informationssicherheitsbeauftragte berät, die Geschäftsleitung entscheidet. Eine dokumentierte Berichtslinie mit quartalsweiser schriftlicher Berichterstattung an die Geschäftsleitung und eine archivierte Genehmigung des Maßnahmenkatalogs sind die wirksamste Vorsorge gegen persönliche Haftung. Bestellurkunde, unterschrieben, abgelegt, belegbar. Die CIVAC-Plattform liefert die Berichtsvorlagen, die Schulungsmodule und das Genehmigungs-Workflow für die Geschäftsleitung als Standard, einschließlich der Audit-Spur, die im Streitfall den Sorgfaltsnachweis ermöglicht. Damit reduziert sich das persönliche Haftungsrisiko der Geschäftsleitung auf ein zumutbares Niveau, ohne dass operative Sicherheitsentscheidungen verlangsamt werden. Zusätzlich liefert die Plattform Vorlagen für die D&O-Versicherung und die Berichterstattung an den Aufsichtsrat in der nach Aktien- und GmbH-Recht erwarteten Tiefe, sodass auch die Governance-Seite gegenüber Anteilseignern dokumentiert nachvollziehbar bleibt.

Der Sanktionsrahmen für KRITIS-Pflichtverstöße verdichtet sich 2026 erheblich. Bisher griff § 14 BSIG mit Bußgeldern bis zu 100.000 Euro, vereinzelt bis zu 2 Millionen Euro für besonders schwere Verstöße. Mit der NIS2UmsuCG steigen die Höchstsätze für wesentliche Einrichtungen auf bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Konzernumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt der Höchstsatz bei bis zu 7 Millionen Euro oder ein Komma vier Prozent des weltweiten Konzernumsatzes. Die Bußgelder können kumulativ verhängt werden für unterschiedliche Pflichtverstöße, zum Beispiel verspätete Meldung plus unzureichende Maßnahmen plus verfehlter Nachweis.

Neben dem Bußgeld kann das BSI nach § 8b BSIG Anordnungen zur Mängelbeseitigung mit kurzer Frist treffen, in extremen Fällen kann der Betrieb einer Anlage angeordnet werden, einzustellen oder einzuschränken, wenn eine erhebliche Gefährdung der Versorgungssicherheit besteht. Im Fall einer öffentlich gewordenen Versorgungsstörung kommen Reputationsschäden und zivilrechtliche Schadensersatzforderungen der betroffenen Kunden hinzu. Die wirtschaftliche Gesamtwirkung eines wesentlichen Pflichtverstoßes übersteigt damit den Bußgeldbetrag in den meisten Fällen erheblich. Wer die Pflichten ernst nimmt, schützt das Unternehmen, die Geschäftsleitung und die Versorgungssicherheit zugleich. CIVAC liefert nicht nur die Werkzeuge zur Pflichterfüllung, sondern auch die jederzeit prüfbare Beweismittelkette, die im Sanktionsverfahren Bußgeldmilderung oder Verfahrenseinstellung ermöglicht, etwa wenn der Betreiber nachweisen kann, dass ein einzelner Pflichtverstoß isoliert war und die übrigen Sorgfaltspflichten erfüllt wurden. Der Prüfer ruft an, der Nachweis liegt bereit. Eine vertiefte Übersicht zu Sanktionen findet sich auf civac.de/faq.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Für KRITIS-Betreiber bedeutet das konkret: Die Plattform stellt die Werkzeuge für die Erfüllung aller sechs Pflichtblöcke bereit, einschließlich der Schwellenwertdokumentation, der Maßnahmenregister nach § 8a BSIG, der Nachweisvorbereitung nach § 8a Abs. 3 BSIG, des 24h-/72h-Meldepfades nach § 8b BSIG und der Berichtsvorlagen für die Geschäftsleitung. Die Plattform ist nach ISO/IEC 27001:2022 zertifiziert, hostet ausschließlich in der Europäischen Union und liefert siebenunddreißig einsatzbereite Audit-Vorlagen mit. Die Officer-Bestellung erfolgt innerhalb von zwei Werktagen, gegenüber dem klassischen Markt mit zwei bis sechs Wochen. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Das Dual-Modell gibt Ihnen die Wahl. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Wenn Sie bereits einen qualifizierten internen Informationssicherheitsbeauftragten haben, übernimmt dieser die Plattform als operative Arbeitsumgebung mit Maßnahmenregister, Vorlagen, Meldepfaden und Berichten. Wenn Sie eine externe Bestellung benötigen, übernehmen unsere Informationssicherheitsbeauftragten innerhalb von zwei Werktagen die Rolle, unterzeichnen die Bestellurkunde mit der Geschäftsleitung, registrieren das Unternehmen beim BSI als Kontaktstelle und beginnen unmittelbar mit der Schwellenwertdokumentation, der Maßnahmenbewertung und dem ersten Tabletop-Test des Meldepfades. Die Mehrheit der KRITIS-Betreiber in unserem Portfolio kombiniert beides: interne Sicherheitsverantwortung für den laufenden Betrieb, externe Officer-Funktion für die regulatorische Berichts- und Nachweispflicht. Aus dem Lesen einen Auftrag machen. Schreiben Sie eine kurze Briefing-Mail an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Sie erhalten innerhalb eines Werktags ein verbindliches Angebot mit benannten Beauftragten, Lizenzumfang, Startdatum und Implementierungsfahrplan für die Vier-Wochen-Standardeinführung.