Was gehört zur kritischen Infrastruktur? Der vollständige KRITIS-Leitfaden 2025

Was gehört zur kritischen Infrastruktur?

Was ist KRITIS?

KRITIS (Kritische Infrastrukturen) sind Einrichtungen und Organisationen, die für das Funktionieren des Gemeinwesens essenziell sind. Ein Ausfall oder eine Störung kann zu:

• langanhaltenden Versorgungsausfällen
• erheblichen Beeinträchtigungen der öffentlichen Ordnung
• weitreichenden gesellschaftlichen Folgen

führen.

Wann gilt etwas als kritische Infrastruktur?

Nicht jede Einrichtung mit öffentlichem Nutzen ist automatisch KRITIS. Entscheidend sind:

1. Systemische Bedeutung

Eine Organisation gilt als KRITIS, wenn ihr Ausfall zu erheblichen Versorgungslücken oder Sicherheitsproblemen führen würde.

2. Schwellenwerte (BSI-KritisV)

Je nach Sektor gelten unterschiedliche quantitative Kriterien, z. B.:

• Energie: eingespeiste Leistung
• Krankenhäuser: ≥ 30.000 stationäre Patienten/Jahr
• Wasser: tägliche Fördermenge
• IT: Anschlussleistung von Rechenzentren

3. Funktionaler Beitrag

Auch stark vernetzte oder unverzichtbare Einrichtungen werden einbezogen.

Die Einordnung erfolgt über:

• Selbstidentifikation oder
• Behördliche Einstufung

Mehr dazu im Blog „KRITIS Identifikation“.

Die 9 KRITIS-Sektoren im Überblick

Das BSI definiert neun Sektoren:

1. Energie
2. Informationstechnik und Telekommunikation
3. Wasser
4. Ernährung
5. Gesundheit
6. Finanz- und Versicherungswesen
7. Transport und Verkehr
8. Staat und Verwaltung
9. Medien und Kultur

Jeder Sektor umfasst Einrichtungen, deren Ausfall die Gesellschaft massiv beeinträchtigen würde.

Beispiele aus der Praxis

• Krankenhaus

  „

  Mehr als 30.000 vollstationäre Patienten/Jahr → KRITIS im Gesundheitssektor

• Rechenzentrum

  „

  Anschlussleistung > 3,5 MW → KRITIS im IT-Sektor

• Lebensmittelgroßhändler

  „

  Versorgung mehrerer Millionen Menschen → potenziell KRITIS

Diese Beispiele zeigen: KRITIS betrifft weit mehr als Strom und Wasser – auch Logistik, IT oder Handel können KRITIS-relevant sein.

Gesetzliche Grundlagen & Schutzkonzepte

Wesentliche Rechtsquellen:

• BSI-Gesetz (BSIG) – Sicherheitsanforderungen & Meldepflichten
• BSI-Kritisverordnung (BSI-KritisV) – Schwellenwerte & Sektorzuordnung
• NIS2-Richtlinie – erweitert Sektoren & verschärft Sicherheitsvorgaben

Typische Schutzmaßnahmen:

• Einführung eines ISMS (ISO 27001 oder BSI IT-Grundschutz)
• Durchführung von Risikoanalysen
• Notfallmanagement (BCM) gemäß BSI 200-4
• Sicherheitsrichtlinien, Zugangskontrollen, Schulungen

Warum der Schutz kritischer Infrastrukturen wichtiger wird

Gründe:

• zunehmende Digitalisierung → mehr Angriffsflächen
• Cyberangriffe auf Versorger & Kliniken nehmen zu
• Klimawandel → Extremwetter & Versorgungsrisiken
• geopolitische Spannungen
• Ausbau von NIS2 & KRITIS-Dachgesetz

Resilienz wird damit zur Pflicht – nicht zur optionalen Maßnahme.

Fazit

KRITIS ist das Rückgrat unserer Gesellschaft. Wer versteht, welche Einrichtungen KRITIS-relevant sind, welche Pflichten gelten und welche Risiken bestehen, kann frühzeitig die passenden Maßnahmen ergreifen und die eigene Resilienz stärken.

Q&A (Deutsch)

Was zählt zur kritischen Infrastruktur? Einrichtungen aus Energie, Wasser, Gesundheit, IT, Ernährung, Verkehr, Staat, Medien, Finanzen und Abfallentsorgung, deren Ausfall schwerwiegende Folgen hätte.

Wer legt fest, was KRITIS ist? Die Einstufung erfolgt nach gesetzlichen Vorgaben, insbesondere nach der BSI-KritisV.

Ist jedes Krankenhaus oder IT-Unternehmen automatisch KRITIS? Nein. Nur wenn Schwellenwerte überschritten werden (z. B. > 30.000 stationäre Patienten/Jahr).

Welche Pflichten haben KRITIS-Betreiber? ISMS einführen, Vorfälle melden, Risikoanalysen durchführen, organisatorische & technische Maßnahmen umsetzen.

Ändert sich etwas durch NIS2 oder das KRITIS-Dachgesetz? Ja – mehr Unternehmen werden erfasst, Vorgaben werden strenger und umfassender.