{"id":34067,"date":"2026-11-08T18:35:30","date_gmt":"2026-11-08T17:35:30","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/kritis\/"},"modified":"2026-11-08T18:45:00","modified_gmt":"2026-11-08T17:45:00","slug":"kritis","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/recht-compliance\/kritis\/","title":{"rendered":"KRITIS"},"content":{"rendered":"

Was ist KRITIS?<\/h2>\n

KRITIS steht f\u00fcr Kritische Infrastrukturen; eine kritische Dienstleistung ist laut BSI eine Dienstleistung zur Versorgung der Allgemeinheit in den gesetzlich genannten Sektoren, deren Ausfall oder Beeintr\u00e4chtigung zu erheblichen Versorgungsengp\u00e4ssen oder zu Gef\u00e4hrdungen der \u00f6ffentlichen Sicherheit f\u00fchren w\u00fcrde. Nach \u00a7 28 Absatz 1 Nummer 1<\/strong> BSIG gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtung. Die BSI-Kritisverordnung legt fest, welche Anlagen im jeweiligen Sektor kritisch sind: Im Sektor Gesundheit und im Sektor Wasser etwa sind kritische Anlagen solche Anlagen oder Teile davon, die bestimmten Kategorien zuzuordnen sind und den Schwellenwert erreichen oder \u00fcberschreiten.<\/p>\n

KRITIS steht f\u00fcr Kritische Infrastrukturen; ob ein Versicherer rechtlich als Betreiber einer kritischen Anlage gilt, h\u00e4ngt nach der BSI-Kritisverordnung davon ab, ob er eine Anlage betreibt, die einer der dort genannten Kategorien zuzuordnen ist und den Schwellenwert erreicht oder \u00fcberschreitet. Als kritische Dienstleistungen im Sektor Finanzwesen nennt die Verordnung die Bargeldversorgung, den kartengest\u00fctzten und den konventionellen Zahlungsverkehr sowie den Handel mit Wertpapieren und Derivaten einschlie\u00dflich Verrechnung und Abwicklung; Versicherungsleistungen nennt sie dort nicht. Die BSI-Kritisverordnung verordnet das Bundesministerium des Innern im Einvernehmen unter anderem mit dem Bundesministerium f\u00fcr Wirtschaft und Energie; ein Schwellenwert ist darin ein Wert, bei dessen Erreichen oder dessen \u00dcberschreitung der Versorgungsgrad einer Anlage<\/strong> oder von Teilen davon als bedeutend anzusehen ist.<\/p>\n

Wie regelt das BSI-Gesetz KRITIS?<\/h2>\n

Das BSIG kn\u00fcpft Pflichten auch an Betreiber kritischer Anlagen, die nach \u00a7 28 Absatz 1 Nummer 1 als besonders wichtige Einrichtung gelten. Diese Betreiber sind nach \u00a7 31 verpflichtet, f\u00fcr die informationstechnischen Systeme, Komponenten und Prozesse, die f\u00fcr die Funktionsf\u00e4higkeit der kritischen Anlagen ma\u00dfgeblich sind, Systeme zur Angriffserkennung einzusetzen<\/strong> (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG); dabei soll der Stand der Technik eingehalten werden. Nach \u00a7 39 haben die Betreiber die Umsetzung der Ma\u00dfnahmen in Bezug auf kritische Anlagen zu einem vom Bundesamt im Benehmen mit dem Bundesamt f\u00fcr Bev\u00f6lkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, fr\u00fchestens drei Jahre nachdem sie erstmals oder sp\u00e4testens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschlie\u00dfend alle drei Jahre durch Sicherheitsaudits, Pr\u00fcfungen oder Zertifizierungen nachzuweisen; die Ausnahmen des \u00a7 28 bleiben vorbehalten.<\/p>\n

Bei einem erheblichen Sicherheitsvorfall muss die fr\u00fche Erstmeldung unverz\u00fcglich, sp\u00e4testens jedoch innerhalb von 24 Stunden<\/strong> nach Kenntniserlangung erfolgen und die Meldung \u00fcber den Sicherheitsvorfall unverz\u00fcglich, sp\u00e4testens jedoch innerhalb von 72 Stunden; weitere Schritte regelt \u00a7 32 (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG). Betreiber kritischer Anlagen \u00fcbermitteln dabei zus\u00e4tzlich Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen auf diese Dienstleistung, wenn der Vorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben k\u00f6nnte (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG).<\/p>\n

KRITIS im Vergleich<\/h2>\n\n\n\n\n\n\n\n
Kriterium<\/th>\nKRITIS<\/th>\nNIS2<\/th>\n<\/tr>\n<\/thead>\n
Begriff<\/td>\nDas BSIG spricht laut BSI nicht mehr von Kritischen Infrastrukturen, sondern von kritischen Anlagen.<\/td>\nNIS2 ist die Richtlinie (EU) 2022\/2555; die Pflichten besonders wichtiger und wichtiger Einrichtungen regelt in Deutschland das BSIG, etwa \u00a7 30 (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG).<\/td>\n<\/tr>\n
Einordnung<\/td>\nBetreiber kritischer Anlagen gelten nach \u00a7 28 Absatz 1 Nummer 1 BSIG als besonders wichtige Einrichtung und sind laut BSI eine Teilmenge der besonders wichtigen Einrichtungen.<\/td>\nDie Richtlinie gilt unabh\u00e4ngig von der Gr\u00f6\u00dfe der Einrichtungen auch f\u00fcr Einrichtungen, die nach Richtlinie (EU) 2022\/2557 als kritische Einrichtungen eingestuft wurden.<\/td>\n<\/tr>\n
Zus\u00e4tzliche Anforderungen<\/td>\nBetreiber kritischer Anlagen m\u00fcssen laut BSI in der Regel im Geltungsbereich der kritischen Anlage weitere Ma\u00dfnahmen ergreifen, die \u00fcber das Schutzniveau der Einrichtungen im Allgemeinen hinausgehen.<\/td>\nDie Ma\u00dfnahmen nach \u00a7 30 BSIG betreffen besonders wichtige Einrichtungen und wichtige Einrichtungen (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

KRITIS: Wann gilt ein Unternehmen als Betreiber einer kritischen Anlage?<\/h2>\n\n\n\n\n\n\n\n\n\n
Merkmal<\/th>\nWorauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n
Kritische Anlage und kritische Dienstleistung<\/td>\nKritische Anlagen sind laut BSI Anlagen, die f\u00fcr die Erbringung einer kritischen Dienstleistung erheblich sind; eine kritische Dienstleistung dient der Versorgung der Allgemeinheit in den gesetzlich genannten Sektoren, und ihr Ausfall oder ihre Beeintr\u00e4chtigung w\u00fcrde zu erheblichen Versorgungsengp\u00e4ssen oder zu Gef\u00e4hrdungen der \u00f6ffentlichen Sicherheit f\u00fchren.<\/td>\n<\/tr>\n
Sektorregel der BSI-Kritisverordnung<\/td>\nBeispielsweise sind im Sektor Gesundheit und im Sektor Wasser kritische Anlagen solche Anlagen oder Teile davon, die den genannten Kategorien zuzuordnen sind und den Schwellenwert erreichen oder \u00fcberschreiten.<\/td>\n<\/tr>\n
Kritische Dienstleistungen im Sektor Finanzwesen<\/td>\nIm Sektor Finanzwesen sind kritische Dienstleistungen im Sinne des \u00a7 56 Absatz 4 in Verbindung mit \u00a7 2 Nummer 24 des BSI-Gesetzes: die Bargeldversorgung, der kartengest\u00fctzte Zahlungsverkehr, der konventionelle Zahlungsverkehr sowie der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgesch\u00e4ften.<\/td>\n<\/tr>\n
Schwellenwert<\/td>\nEin Schwellenwert ist ein Wert, bei dessen Erreichen oder dessen \u00dcberschreitung der Versorgungsgrad einer Anlage oder von Teilen davon als bedeutend anzusehen ist (\u00a7 1 BSI-Kritisverordnung).<\/td>\n<\/tr>\n
Einstufung des Betreibers<\/td>\nNach \u00a7 28 Absatz 1 Nummer 1 BSIG gelten Betreiber kritischer Anlagen als besonders wichtige Einrichtung; laut BSI sind sie eine Teilmenge der besonders wichtigen Einrichtungen.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Betreiber kritischer Anlagen sind nach \u00a7 31 BSIG verpflichtet, f\u00fcr die f\u00fcr die Funktionsf\u00e4higkeit der kritischen Anlagen ma\u00dfgeblichen informationstechnischen Systeme, Komponenten und Prozesse Systeme zur Angriffserkennung einzusetzen; dabei soll der Stand der Technik eingehalten werden, und der erforderliche Aufwand soll nicht au\u00dfer Verh\u00e4ltnis zu den Folgen eines Ausfalls oder einer Beeintr\u00e4chtigung der betroffenen kritischen Anlage stehen (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG).<\/li>\n
  • Betreiber kritischer Anlagen haben die Umsetzung der Ma\u00dfnahmen nach \u00a7 30 Absatz 1 Satz 1 in Verbindung mit \u00a7 31 Absatz 1 und 2 Satz 1 in Bezug auf kritische Anlagen zu einem vom Bundesamt im Benehmen mit dem Bundesamt f\u00fcr Bev\u00f6lkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, fr\u00fchestens drei Jahre nachdem sie erstmals oder sp\u00e4testens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschlie\u00dfend alle drei Jahre dem Bundesamt durch Sicherheitsaudits, Pr\u00fcfungen oder Zertifizierungen nachzuweisen (\u00a7 39 BSIG, vorbehaltlich der Ausnahmen in \u00a7 28 BSIG).<\/li>\n
  • Laut BSI m\u00fcssen Betreiber kritischer Anlagen in der Regel im Geltungsbereich der kritischen Anlage weitere Ma\u00dfnahmen ergreifen, die \u00fcber das Schutzniveau der Einrichtungen im Allgemeinen hinausgehen.<\/li>\n
  • Zu den Ausnahmen nach \u00a7 28 BSIG geh\u00f6rt, dass die \u00a7\u00a7 30, 31, 32, 35, 36, 38 und 39 nicht f\u00fcr Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022\/2554 gelten und nicht f\u00fcr Unternehmen, f\u00fcr die die Anforderungen dieser Verordnung aufgrund von \u00a7 1a Absatz 2 und 2a des Kreditwesengesetzes oder \u00a7 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Betreiber kritischer Anlagen sind nach \u00a7 32 BSIG zus\u00e4tzlich verpflichtet, Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung zu \u00fcbermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben k\u00f6nnte (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG).<\/li>\n
    • Die fr\u00fche Erstmeldung erfolgt unverz\u00fcglich, sp\u00e4testens innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG).<\/li>\n
    • Die Meldung \u00fcber den Sicherheitsvorfall erfolgt unverz\u00fcglich, sp\u00e4testens innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall; weitere Schritte regelt \u00a7 32 BSIG.<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,413,412],"class_list":["post-34067","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-cybersecurity-rechts-compliancepflichten","glossary_intl_topic-recht-compliance"],"acf":{"card_description":"KRITIS: Kritische Infrastrukturen; als kritische Anlage gilt eine Anlage, die f\u00fcr eine kritische Dienstleistung erheblich ist.","nav_theme":"Recht & Compliance","nav_subtheme":"Cybersecurity-Rechts- & Compliancepflichten","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Kritische Infrastrukturen"},{"value":"Kritische Infrastruktur"}],"lead_definition":"KRITIS ist die Abk\u00fcrzung f\u00fcr Kritische Infrastrukturen; das BSIG spricht laut BSI nicht mehr von Kritischen Infrastrukturen, sondern von kritischen Anlagen, die f\u00fcr die Erbringung einer kritischen Dienstleistung erheblich sind.","at_a_glance":[{"bullet":"Betreiber kritischer Anlagen m\u00fcssen laut BSI in der Regel im Geltungsbereich der kritischen Anlage weitere Ma\u00dfnahmen ergreifen, die \u00fcber das Schutzniveau der Einrichtungen im Allgemeinen hinausgehen."},{"bullet":"Nach Angabe des BSI sind Betreiber kritischer Anlagen eine Teilmenge der besonders wichtigen Einrichtungen."},{"bullet":"Hat ein erheblicher Sicherheitsvorfall Auswirkungen auf die betriebene kritische Anlage oder k\u00f6nnte er sie haben, sind Betreiber nach \u00a7 32 BSIG zus\u00e4tzlich zu Angaben \u00fcber die Art der Anlage, die kritische Dienstleistung und die Auswirkungen verpflichtet (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG)."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Eine Anlage im Sektor Gesundheit, die einer der genannten Kategorien zuzuordnen ist und den Schwellenwert erreicht oder \u00fcberschreitet, kann als kritische Anlage gelten."},{"example":"Im Sektor Finanzwesen z\u00e4hlen etwa der kartengest\u00fctzte Zahlungsverkehr und die Bargeldversorgung zu den kritischen Dienstleistungen; ob eine Anlage daf\u00fcr erheblich ist und den Schwellenwert erreicht, bestimmt die BSI-Kritisverordnung."},{"example":"Hat ein erheblicher Sicherheitsvorfall Auswirkungen auf die vom Betreiber betriebene kritische Anlage oder k\u00f6nnte er sie haben, kann der Betreiber nach \u00a7 32 BSIG zus\u00e4tzlich zu Angaben \u00fcber die Art der Anlage, die kritische Dienstleistung und die Auswirkungen verpflichtet sein (vorbehaltlich der Ausnahmen in \u00a7 28 BSIG)."},{"example":"Ein Versicherer gilt nicht schon deshalb als Betreiber einer kritischen Anlage, weil er zur Versicherungsbranche geh\u00f6rt; ma\u00dfgeblich ist, ob er eine Anlage betreibt, die einer Kategorie der BSI-Kritisverordnung zuzuordnen ist und den Schwellenwert erreicht oder \u00fcberschreitet."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34077,33690,34071],"pillar_link":null,"sources":[{"publisher":"","name":"Kritische Infrastrukturen","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Regulierte-Wirtschaft\/Kritische-Infrastrukturen\/kritis_node.html","doc_type":"","group":"used"},{"publisher":"","name":"BSI-KritisV - Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz","url":"https:\/\/www.gesetze-im-internet.de\/bsi-kritisv\/BJNR095800016.html","doc_type":"2026","group":"used"},{"publisher":"","name":"\u00a7 32 BSIG","url":"https:\/\/www.gesetze-im-internet.de\/bsig_2025\/__32.html","doc_type":"2026","group":"used"},{"publisher":"","name":"\u00a7 28 BSIG","url":"https:\/\/www.gesetze-im-internet.de\/bsig_2025\/__28.html","doc_type":"2026","group":"used"},{"publisher":"","name":"\u00a7 31 BSIG","url":"https:\/\/www.gesetze-im-internet.de\/bsig_2025\/__31.html","doc_type":"2026","group":"used"},{"publisher":"","name":"\u00a7 39 BSIG","url":"https:\/\/www.gesetze-im-internet.de\/bsig_2025\/__39.html","doc_type":"2026","group":"used"},{"publisher":"","name":"Richtlinie (EU) 2022\/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/9b84d482-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"\u00a7 2 BSIG","url":"https:\/\/www.gesetze-im-internet.de\/bsig_2025\/__2.html","doc_type":"","group":"used"},{"publisher":"","name":"\u00a7 30 BSIG","url":"https:\/\/www.gesetze-im-internet.de\/bsig_2025\/__30.html","doc_type":"2026","group":"used"},{"publisher":"","name":"\u00a7 1 BSI-KritisV","url":"https:\/\/www.gesetze-im-internet.de\/bsi-kritisv\/__1.html","doc_type":"2026","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-08"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t