Kritische Infrastrukturen im neuen Rechtsrahmen

Kritische Anlagen sind Anlagen von hoher Bedeutung für die Versorgung der Allgemeinheit, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde. Das KRITIS-Dachgesetz, auf das § 2 Nummer 22 BSIG für den Anlagenbegriff verweist, ordnet sie zehn Sektoren zu: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Ob eine konkrete Anlage kritisch ist, bestimmt die BSI-KritisV anhand von Anlagenkategorien und Schwellenwerten; als Regelschwelle gelten 500.000 versorgte Personen. Die bisherige Verordnung gilt zunächst fort – für die neue KritisV nach dem KRITIS-Dachgesetz liegt seit dem 26. Mai 2026 ein Referentenentwurf des BMI vor, der noch keine Rechtskraft hat.

Das NIS2-Umsetzungsgesetz hat das BSI-Gesetz zum 6. Dezember 2025 neu gefasst – ohne allgemeine Übergangsfristen. Betreiber kritischer Anlagen gelten nach § 28 BSIG stets als besonders wichtige Einrichtungen und tragen damit alle NIS2-Grundpflichten: Risikomanagementmaßnahmen nach § 30 BSIG, Registrierung innerhalb von drei Monaten nach der Einstufung (§ 33 BSIG) sowie die Meldung erheblicher Sicherheitsvorfälle an das BSI – mit Erstmeldung unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, Folgemeldung binnen 72 Stunden und Abschlussmeldung spätestens einen Monat nach der Meldung (§ 32 BSIG). Hinzu kommen für kritische Anlagen Zusatzpflichten, die über die allgemeinen NIS2-Anforderungen hinausgehen: Systeme zur Angriffserkennung und regelmäßige Nachweise.

Betreiber kritischer Anlagen müssen die Umsetzung ihrer Maßnahmen nach §§ 30 und 31 BSIG gegenüber dem BSI durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen – erstmals drei Jahre nach der erstmaligen oder erneuten Einstufung, danach alle drei Jahre. Der Nachweiszyklus wurde damit gegenüber der alten Rechtslage (§ 8a Abs. 3 BSIG a. F.: alle zwei Jahre) verlängert; den konkreten Zeitpunkt des ersten Nachweises bestimmt das BSI. Die Ergebnisse der Audits, Prüfungen oder Zertifizierungen sind dem BSI einschließlich der dabei aufgedeckten Sicherheitsmängel zu übermitteln; bei Mängeln kann das BSI die Vorlage eines Beseitigungsplans sowie den Nachweis der Beseitigung verlangen.

Seit Mai 2023 müssen Betreiber kritischer Anlagen Systeme zur Angriffserkennung (SzA) einsetzen; die Pflicht ist heute in § 31 BSIG verankert. Die Systeme müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten, fortwährend Bedrohungen identifizieren und vermeiden sowie Beseitigungsmaßnahmen für eingetretene Störungen vorsehen – nach dem Stand der Technik und unter einem Verhältnismäßigkeitsvorbehalt: Der Aufwand darf nicht außer Verhältnis zu den Folgen eines Ausfalls stehen. Maßstab für Umsetzung und Prüfung ist die BSI-Orientierungshilfe zum Einsatz von Systemen zur Angriffserkennung (Version 1.1, Stand 18.11.2024) mit MUSS-, SOLLTE- und KANN-Anforderungen in den Bereichen Protokollierung, Detektion und Reaktion sowie einem sechsstufigen Umsetzungsgradmodell, dessen Ergebnis in den Nachweis nach § 39 BSIG einfließt.

Mit dem KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026, setzt Deutschland die CER-Richtlinie (EU) 2022/2557 um und schafft erstmals einen bundeseinheitlichen Rechtsrahmen für den physischen Schutz kritischer Anlagen in zehn Sektoren. Zentrale Anlaufstelle ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Betreiber müssen sich binnen drei Monaten, nachdem ihre Anlage als kritisch gilt – frühestens ab dem 17. Juli 2026 – über eine gemeinsame Registrierungsmöglichkeit von BBK und BSI registrieren (§ 8 KRITIS-DachG), im Bedarfsfall, mindestens jedoch alle vier Jahre eigene Risikoanalysen durchführen (§ 12), geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Resilienzmaßnahmen umsetzen und dokumentieren (§ 13) sowie erhebliche Störungen innerhalb von 24 Stunden melden (§ 18). Damit rücken neben der IT auch bauliche Sicherung, Zutrittsschutz, Redundanzen und Krisenorganisation in den Pflichtenkatalog.

BSIG und KRITIS-Dachgesetz greifen ineinander: Das BSIG setzt die NIS2-Richtlinie (EU) 2022/2555 um und adressiert die Cybersicherheit, das Dachgesetz die physische Resilienz nach CER. Beide knüpfen an denselben Begriff der kritischen Anlage an – die Registrierung kritischer Anlagen erfolgt einheitlich nach § 8 KRITIS-DachG, worauf § 33 Absatz 2 BSIG ausdrücklich verweist. Betreiber kritischer Anlagen bilden damit eine Teilmenge der NIS2-regulierten Einrichtungen mit zusätzlichen Pflichten: Angriffserkennung, Dreijahres-Nachweise und physische Resilienzmaßnahmen. In der Praxis bietet sich ein integriertes Managementsystem an, das ISMS, Business Continuity und physischen Schutz gemeinsam steuert, statt beide Regelwerke getrennt zu bedienen.