KRITIS bezeichnet Kritische Infrastrukturen, deren Ausfall die Versorgung gefährden würde; Betreiber unterliegen dem BSIG und seit 17. März 2026 dem KRITIS-Dachgesetz für physische Resilienz.
Kritische Infrastrukturen (KRITIS) sind Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefahren für die öffentliche Sicherheit nach sich ziehen würde. Dazu zählen unter anderem Energie- und Wasserversorgung, Gesundheit, Ernährung, Informationstechnik und Telekommunikation, Transport und Verkehr, Finanz- und Versicherungswesen, Siedlungsabfallentsorgung sowie Staat und Verwaltung. Welche Anlagen konkret als kritisch gelten, legen Schwellenwerte in der KRITIS-Verordnung fest, etwa die Zahl der versorgten Personen.
In Deutschland ist das BSI-Gesetz (BSIG) die zentrale Rechtsgrundlage für die IT-Sicherheit von KRITIS-Betreibern. Mit dem NIS2-Umsetzungsgesetz vom 6. Dezember 2025 wurde das BSIG neu gefasst; KRITIS-Betreiber bilden darin die am strengsten regulierte Gruppe innerhalb der „besonders wichtigen Einrichtungen“. Ergänzend ist am 17. März 2026 das KRITIS-Dachgesetz in Kraft getreten, das die europäische CER-Richtlinie umsetzt und erstmals die physische Resilienz kritischer Anlagen regelt.
Zwei Regelungsebenen: digital und physisch
- IT-Sicherheit (BSIG): Betreiber müssen angemessene organisatorische und technische Vorkehrungen nach Stand der Technik treffen, Systeme zur Angriffserkennung betreiben, erhebliche Störungen an das BSI melden und die Umsetzung regelmäßig gegenüber dem BSI nachweisen. Branchenspezifische Sicherheitsstandards (B3S) konkretisieren die Anforderungen je Sektor.
- Physische Resilienz (KRITIS-Dachgesetz): Betreiber registrieren sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), erstellen Risikoanalysen und Resilienzpläne und müssen Vorkehrungen gegen Naturgefahren, Sabotage, Terrorismus und Insider-Risiken treffen. Zutrittsschutz, Objektsicherheit und Personalzuverlässigkeit rücken damit in den regulatorischen Fokus.
Beide Ebenen greifen ineinander: Wer physisch Zugang zu einer Leitwarte oder einem Rechenzentrum erhält, umgeht in der Regel jede digitale Perimeterkontrolle.
Bedeutung für Unternehmen
KRITIS-Betreiber stehen unter besonderer Beobachtung staatlicher Akteure. Der BSI-Lagebericht 2025 nennt Ransomware als größte Bedrohung, und gerade in Versorgungsunternehmen trifft klassische Office-IT auf OT- und ICS-Umgebungen, die oft Jahrzehnte alt sind und nicht einfach gepatcht werden können. Ein Angreifer, der sich vom Büro-Netz in die Produktionssteuerung bewegt, verursacht keine Datenpanne, sondern einen Versorgungsausfall.
Typische Schwächen, die wir in Tests sehen: fehlende Netzwerksegmentierung zwischen IT und OT, Fernwartungszugänge von Herstellern ohne MFA, und Gebäude, in denen ein Besucherausweis und freundliches Auftreten bis in den Serverraum reichen. Das KRITIS-Dachgesetz macht aus dem letzten Punkt eine Compliance-Frage und liefert damit die Begründung für Physical Red Teaming.
Praxis-Hinweise
- Prüfen Sie Ihre Einstufung nach beiden Gesetzen und registrieren Sie sich bei BSI und BBK, soweit erforderlich.
- Führen Sie Angriffserkennung nicht nur ein, sondern testen Sie sie: Ein Assumed-Breach-Test zeigt, ob Ihr SOC Lateral Movement in Richtung OT bemerkt.
- Trennen Sie IT und OT konsequent und kontrollieren Sie jeden Übergang, einschließlich Fernwartung.
- Testen Sie den Zutrittsschutz kontrollierter kritischer Bereiche mit einem Physical Red Team, bevor es jemand anderes tut.
- Verzahnen Sie Business Continuity und Resilienzplan: Wiederanlauf nach Cyberangriff und nach physischem Schaden gehören in dieselbe Übung.
Die Darstellung dient der technischen Einordnung und ersetzt keine Rechtsberatung.