Kritische Infrastrukturen umfassen Organisationen und Einrichtungen, die wesentliche Dienste bereitstellen. Beispiele sind Energie, Wasser, Gesundheit, Transport, Telekommunikation und Teile des Finanzwesens. In Deutschland wird die Abkürzung KRITIS verwendet; genauer rechtlicher Umfang und Schwellenwerte hängen von der jeweils geltenden Gesetzgebung ab.
Das Sicherheitsziel geht über Vertraulichkeit hinaus. Verfügbarkeit, sicherer Betrieb, Lieferketten, physische Abhängigkeiten und Wiederherstellung sind zentral, weil ein technischer Vorfall die Gesellschaft außerhalb der Organisation treffen kann.
Was ändert sich in der Sicherheitsplanung?
- - Wesentliche Dienste und Abhängigkeiten identifizieren, nicht nur Server.
- - Operational Technology und administrative Wege angemessen trennen.
- - Widerstandsfähige Kommunikation und manuelle Rückfallverfahren vorbereiten.
- - Incident Response, Wiederherstellung und Zusammenarbeit mit Behörden testen.
KRITIS, besonders wichtige und wichtige Einrichtungen
Seit Inkrafttreten des deutschen NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 gelten neue Registrierungs- und Meldepflichten des BSIG. Betreiber kritischer Anlagen bilden eine besonders relevante Teilmenge; daneben erfasst das Gesetz weitere besonders wichtige und wichtige Einrichtungen. Ob eine Organisation betroffen ist, ergibt sich aus Sektor, Einrichtungsart, Größenmerkmalen, Anlagen und gesetzlichen Schwellenwerten. Eine bloße Branchenbezeichnung genügt nicht für die rechtliche Einordnung.
| Betrachtung | Leitfrage | Beispiel |
|---|---|---|
| Dienst | Welche Versorgung oder gesellschaftliche Funktion muss erhalten bleiben? | Stromverteilung, Trinkwasser, Krankenhausversorgung oder Telekommunikation. |
| Anlage und IT/OT | Welche technischen Komponenten ermöglichen den Dienst? | Leittechnik, Identitäten, Rechenzentrum, Cloud, Netz und Fernwartung. |
| Abhängigkeit | Welche Ausfälle außerhalb der eigenen Organisation wirken unmittelbar? | Energie, Lieferant, Plattform, Personal, Standort oder Kommunikationsprovider. |
| Auswirkung | Welche Folgen entstehen für Bevölkerung, Wirtschaft und öffentliche Sicherheit? | Versorgungsunterbrechung, Gesundheitsgefahr oder Kaskadeneffekt. |
Cybersecurity und physische Resilienz zusammendenken
Kritische Dienste hängen nicht nur von Software ab. Zutritt, Ersatzteile, Energie, Kühlung, Personal und Kommunikation können denselben Prozess unterbrechen. Der 2026 erweiterte Rahmen zum physischen Schutz ändert nichts daran, dass die konkrete Betroffenheit und Pflichten anhand der aktuellen gesetzlichen Texte und BSI-Informationen geprüft werden müssen. Übungen sollten deshalb kombinierte Szenarien und manuelle Rückfallverfahren einbeziehen.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.