KRITIS-Betroffenheit: Sind Sie Betreiber einer kritischen Anlage?
Kritisch ist eine Anlage, wenn ihr Ausfall die Versorgung der Bevölkerung erheblich beeinträchtigen würde. Die Prüfung folgt einer festen Reihenfolge: Sektor, Anlagenkategorie, Schwellenwert, Betreiberrolle. Diese Seite erklärt die zehn Sektoren, die Leitlogik hinter den Schwellenwerten und warum Betreiber kritischer Anlagen immer zwei Gesetze beachten müssen.
- 10 Sektoren von Energie bis Siedlungsabfallentsorgung
- 500.000 versorgte Personen als Leitlogik der Schwellenwerte
- Verordnung legt Anlagenkategorien und konkrete Werte fest
- 2 Gesetze Dachgesetz und BSIG gelten für Betreiber kritischer Anlagen
In vier Schritten zur Einstufung
Die Betroffenheit wird je Anlage geprüft, nicht je Unternehmen. Ein Konzern kann eine kritische Anlage und zwanzig unkritische betreiben.
-
Sektor
Erbringt die Anlage eine Dienstleistung in einem der zehn Sektoren des Dachgesetzes? Wenn nicht, endet die Prüfung nach dem Dachgesetz hier. Prüfen Sie dann trotzdem die Betroffenheit nach dem BSIG, dessen Sektorenliste weiter reicht.
-
Anlagenkategorie
Gehört die Anlage zu einer Kategorie, die die KRITIS-Verordnung für diesen Sektor benennt, etwa ein Kraftwerk, ein Wasserwerk, ein Krankenhaus, ein Rechenzentrum oder eine Abfallbehandlungsanlage? Die Kategorie bestimmt die Messgröße.
-
Schwellenwert
Erreicht oder überschreitet die Anlage den Wert, den die Verordnung für die Kategorie festlegt? Gemessen wird in der Größe, die für die Versorgung aussagekräftig ist: Erzeugungsleistung, Durchsatz, Fallzahlen, angeschlossene Einwohner oder Transaktionsvolumen.
-
Betreiberrolle
Wer betreibt die Anlage und übt den bestimmenden Einfluss aus? Diese Stelle ist Betreiber der kritischen Anlage, registriert sie und verantwortet Resilienzplan und Nachweise. Bei Betriebsführungsverträgen und Konzernstrukturen ist das vertraglich zu klären.
Schriftlich festhalten: Dokumentieren Sie das Ergebnis jeder Prüfung mit den zugrunde gelegten Kennzahlen, der Fassung der Verordnung und dem Datum. Ein begründetes „nicht kritisch“ ist gegenüber Behörden, Prüfern und Versicherern ebenso wichtig wie eine Registrierung.
Welche Sektoren das Dachgesetz erfasst
Die Sektorenliste des Dachgesetzes folgt der CER-Richtlinie und ergänzt sie um Sektoren, die in Deutschland bereits als kritisch galten. Innerhalb der Sektoren benennt die KRITIS-Verordnung die Anlagenkategorien.
| Sektor | Typische Anlagen und Dienstleistungen |
|---|---|
| Energie | Stromerzeugung, Übertragungs- und Verteilnetze, Gasversorgung und -speicher, Mineralöl- und Kraftstoffversorgung, Fernwärme |
| Transport und Verkehr | Luftverkehr, Schienenverkehr, Schifffahrt und Häfen, Straßenverkehr einschließlich Verkehrssteuerung, öffentlicher Personenverkehr, Logistik |
| Finanz- und Versicherungswesen | Bargeldversorgung, Zahlungsverkehr, Wertpapier- und Derivatehandel, Versicherungsdienstleistungen |
| Gesundheit | Krankenhäuser und stationäre Versorgung, Labore, Herstellung und Vertrieb von Arzneimitteln und Medizinprodukten, Blut- und Plasmaversorgung |
| Wasser | Trinkwasserversorgung und Abwasserbeseitigung: Gewinnung, Aufbereitung, Verteilung, Kanalisation, Klärung |
| Ernährung | Herstellung, Verarbeitung und Verteilung von Lebensmitteln, Lebensmittelhandel und Logistik |
| Informationstechnik und Telekommunikation | Sprach- und Datenübertragung, Rechenzentren, Hosting, Internetknoten, Vertrauensdienste, DNS und Registrierungsstellen |
| Weltraum | Bodeninfrastrukturen für den Betrieb weltraumgestützter Dienste, etwa Navigation, Erdbeobachtung und Kommunikation |
| Öffentliche Verwaltung | Einrichtungen der Bundes- und Landesverwaltung, die für die Aufrechterhaltung staatlicher Funktionen erforderlich sind |
| Siedlungsabfallentsorgung | Sammlung, Behandlung und Beseitigung von Siedlungsabfällen einschließlich Deponien und Verbrennungsanlagen |
NIS2 reicht weiter: Das BSIG erfasst darüber hinaus Sektoren wie Post- und Kurierdienste, Chemie, verarbeitendes Gewerbe, digitale Dienste und Forschung, allerdings als besonders wichtige oder wichtige Einrichtung nach Unternehmensgröße, nicht als Betreiber einer kritischen Anlage. Wer im Dachgesetz nicht erfasst ist, kann im BSIG trotzdem Pflichten haben. Eine erste Einschätzung liefert der NIS2-Check auf jamorie.eu.
Die Leitlogik: rund 500.000 versorgte Personen
Der Gesetzgeber bemisst die Kritikalität einer Anlage am Versorgungsgrad. Die konkreten Werte je Anlagenkategorie stehen in der KRITIS-Verordnung, nicht im Gesetz.
-
Versorgungsgrad als Maßstab
Ausgangspunkt ist die Frage, wie viele Personen von der Anlage abhängen. Als Richtgröße gilt die Versorgung von rund 500.000 Personen. Eine Anlage, deren Ausfall so viele Menschen trifft, ist kritisch, unabhängig von Umsatz, Mitarbeiterzahl oder Rechtsform des Betreibers.
-
Messgröße je Anlagenkategorie
Weil sich Personen nicht direkt zählen lassen, übersetzt die Verordnung die Richtgröße je Kategorie in eine messbare Kennzahl: erzeugte oder verteilte Leistung, Durchsatz oder Menge, Fallzahlen, angeschlossene Einwohner, Transaktionen oder Passagiere. Wer die Kennzahl seiner Anlage kennt, kann die Einstufung selbst vornehmen.
-
Änderungen im Blick behalten
Die Verordnung wird fortgeschrieben und Anlagen verändern sich. Ein Ausbau, eine Fusion, eine neue Anlagenkategorie oder ein geänderter Wert kann eine bisher unkritische Anlage kritisch machen. Die Einstufung gehört deshalb in einen jährlichen Prüfzyklus und in jede Investitionsentscheidung.
Betreiber kritischer Anlagen unterliegen zwei Gesetzen
Wer den Schwellenwert erreicht, ist Betreiber einer kritischen Anlage nach dem Dachgesetz und zugleich nach dem BSIG. Beide Pflichtenkreise laufen parallel, mit zwei Behörden.
| KRITIS-Dachgesetz | BSIG (NIS2-Umsetzung) | |
|---|---|---|
| Behörde | Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) | Bundesamt für Sicherheit in der Informationstechnik (BSI) |
| Registrierung | Über die gemeinsame Plattform von BBK und BSI, spätestens drei Monate nach Einstufung | Als Betreiber einer kritischen Anlage beim BSI, über dieselbe Plattform |
| Kernpflichten | Risikoanalyse, Resilienzplan, Resilienzmaßnahmen spätestens zehn Monate nach Registrierung | Risikomanagement nach § 30 BSIG, Systeme zur Angriffserkennung, Meldepflicht |
| Meldungen | Kontaktstelle für Anfragen und Warnungen des BBK | Erhebliche Sicherheitsvorfälle binnen 24 Stunden, 72 Stunden und 1 Monat an das BSI |
| Nachweise | Resilienzplan und Umsetzung, auf Verlangen vorlegbar | Nachweis alle drei Jahre nach § 39 BSIG |
| Bußgelder | Bis 200.000 € (Resilienzplan, Nachweise), bis 100.000 € (Registrierung) | bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
Ein Vorgehen für beide Gesetze: Risikoanalyse, Notfallmanagement, Personalsicherheit und Lieferkette sind in beiden Gesetzen gefordert. Wer sie einmal integriert bearbeitet, erfüllt beide Pflichtenkreise mit einem Nachweis-Ordner. Was das Dachgesetz im Einzelnen verlangt, erklärt die Seite Pflichten nach dem KRITIS-Dachgesetz.
Einstufung mit Begründung in wenigen Wochen
Ergebnis ist eine schriftliche Einordnung je Anlage, die vor Behörden, Prüfern und Versicherern standhält, mit den Fristen, die daraus folgen.
-
Anlageninventar
Welche Betriebsstätten, Anlagen und Dienstleistungen betreiben Sie, in welchem Sektor, mit welchen Kennzahlen? Einschließlich Anlagen, die Sie für Dritte betreiben oder von Dritten betreiben lassen.
-
Abgleich mit Sektorenliste und Verordnung
Je Anlage: Sektor, Anlagenkategorie, Messgröße und Schwellenwert nach der KRITIS-Verordnung. Für Kategorien ohne festgelegten Wert eine begründete Einschätzung anhand der Leitlogik von rund 500.000 versorgten Personen.
- Prüfung von Konstellationen mit mehreren Standorten
- Klärung der Betreiberrolle bei Betriebsführung und Konzernstrukturen
-
Zweite Ebene: BSIG
Unabhängig vom Ergebnis prüfen wir die Betroffenheit als besonders wichtige oder wichtige Einrichtung nach dem BSIG anhand von Sektor und Unternehmensgröße, damit keine Pflicht übersehen wird.
-
Einordnung und Fahrplan
Schriftliche Einordnung je Anlage mit Begründung, Kennzahlen und Datum. Für kritische Anlagen der Fahrplan für Registrierung, Risikoanalyse, Resilienzplan und BSIG-Maßnahmen mit allen Fristen.
Vertiefung zu KRITIS
-
KRITIS-Übersicht
Dachgesetz und BSIG im Vergleich, unser Vorgehen für beide Gesetze und der Selbsttest für Betreiber kritischer Anlagen.
-
Pflichten nach dem Dachgesetz
Registrierung binnen drei Monaten, Risikoanalyse, Resilienzplan, Maßnahmen nach zehn Monaten, Bußgelder bis 200.000 €.
-
Resilienzplan
Aufbau eines Resilienzplans: Risikoanalyse, physische Sicherheit, Notfallvorsorge, Personal, Übungen und Nachweise, verzahnt mit BCM und § 30 BSIG.
Betroffenheit kurz beantwortet
Unser Unternehmen ist groß, aber keine unserer Anlagen erreicht den Schwellenwert. Sind wir KRITIS?
Nach dem Dachgesetz nicht. Maßgeblich ist die einzelne Anlage und ihr Beitrag zur Versorgung, nicht die Größe des Unternehmens. Prüfen Sie aber die zweite Ebene: Nach dem BSIG können Sie als besonders wichtige oder wichtige Einrichtung erfasst sein, wenn Sie in einem NIS2-Sektor tätig sind und die Größenschwellen erreichen. Diese Pflichten gelten unabhängig von der Einstufung als kritische Anlage.
Wo finden wir den konkreten Schwellenwert für unsere Anlage?
In der KRITIS-Verordnung, die für jede Anlagenkategorie je Sektor eine Messgröße und einen Wert festlegt. Die Leitlogik dahinter ist die Versorgung von rund 500.000 Personen. Solange für eine Anlagenkategorie kein Wert festgelegt ist, orientieren Sie sich an dieser Leitlogik und dokumentieren die Einschätzung. Wir prüfen die Verordnung für Ihre Kategorien und halten die Einordnung schriftlich fest.
Wir betreiben mehrere kleinere Standorte. Werden die zusammengerechnet?
Das hängt davon ab, wie die KRITIS-Verordnung die Anlagenkategorie definiert und ob die Standorte für die Erbringung der kritischen Dienstleistung zusammenwirken. Die Frage ist in der Praxis häufig entscheidend und sollte für jede Konstellation einzeln geprüft und begründet werden. Auch ein begründetes „nicht kritisch“ gehört mit den zugrunde gelegten Zahlen in die Akte.
Wer ist Betreiber, wenn Eigentümer und Betriebsführer auseinanderfallen?
Betreiber ist, wer die Anlage tatsächlich betreibt und den bestimmenden Einfluss auf ihre Beschaffenheit und ihren Betrieb ausübt. Bei Betriebsführungsverträgen, Pacht oder Konzernstrukturen ist das zu klären und vertraglich festzuhalten, denn Registrierung, Resilienzplan und Nachweise müssen von einer klar benannten Stelle verantwortet werden.
Was ändert sich, wenn unsere Anlage die Schwelle künftig erreicht?
Mit dem Erreichen des Schwellenwerts beginnt die Registrierungsfrist von drei Monaten, danach die Zehn-Monats-Frist für die Resilienzmaßnahmen. Parallel greifen die Pflichten des BSIG für Betreiber kritischer Anlagen, unter anderem Angriffserkennung und der Nachweis alle drei Jahre. Wer Anlagenerweiterungen, Zusammenschlüsse oder Wachstum plant, sollte die Einstufung in die Planung einbeziehen.
Marcel Rieger
Lassen Sie Ihre Anlagen einordnen
Im kostenlosen Erstgespräch gehen wir Ihre Anlagen durch, prüfen Sektor, Kategorie und Kennzahlen gegen die Verordnung und benennen die Fristen, die aus der Einstufung folgen.
- Einordnung je Anlage nach Dachgesetz und BSIG
- Klärung von Grenzfällen und Betreiberrolle
- Fahrplan für Registrierung und Umsetzung
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen