KRITIS: Kritische Infrastrukturen und ihre Pflichten

Was als kritische Infrastruktur gilt

Kritische Infrastrukturen versorgen die Bevölkerung mit lebenswichtigen Gütern und Dienstleistungen. Dazu zählen unter anderem die Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr sowie Siedlungsabfallentsorgung.

Ob ein Unternehmen als Betreiber einer kritischen Anlage gilt, hängt von Schwellenwerten ab, die sich meist an der Zahl der versorgten Menschen orientieren. Die genauen Werte legt eine Verordnung fest.

KRITIS, NIS2 und KRITIS-Dachgesetz im Überblick

KRITIS und NIS2

Mit der Umsetzung der europäischen NIS2-Richtlinie wurde das BSI-Gesetz grundlegend überarbeitet. Betreiber kritischer Anlagen bilden dort die Gruppe mit den strengsten Anforderungen. Daneben erfasst NIS2 viele weitere „wichtige“ und „besonders wichtige“ Einrichtungen, die bisher nicht unter KRITIS fielen. Details im Eintrag NIS2.

Pflichten zur IT-Sicherheit

Betreiber kritischer Anlagen müssen angemessene technische und organisatorische Maßnahmen umsetzen, Systeme zur Angriffserkennung einsetzen, erhebliche Sicherheitsvorfälle melden und die Umsetzung regelmäßig gegenüber dem BSI nachweisen. Zu den Maßnahmen gehören ausdrücklich auch Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

Das KRITIS-Dachgesetz: physische Resilienz

Während das BSI-Gesetz die IT-Sicherheit regelt, kümmert sich das KRITIS-Dachgesetz um den physischen Schutz: Risikobewertungen, Resilienzpläne und Maßnahmen gegen Naturgefahren, Sabotage oder Terror. Es wurde im Januar 2026 vom Bundestag beschlossen und ist am 17. März 2026 in Kraft getreten.

Was das für Backup und Wiederherstellung bedeutet

Für KRITIS-Betreiber ist die schnelle Wiederherstellung kein Komfort, sondern Teil der Versorgungssicherheit. Gefragt sind unveränderliche Backups, georedundante Kopien, ein geübter IT-Notfallplan und nachweisbar getestete Wiederherstellungen.