KRITIS

Seit dem NIS2-Umsetzungsgesetz vom Dezember 2025 und dem KRITIS-Dachgesetz vom März 2026 hat KRITIS zwei Säulen. Das BSI-Gesetz regelt die Cybersicherheit, das KRITIS-Dachgesetz die physische Resilienz, also den Schutz vor Sabotage, Naturereignissen und Ausfällen. Beide knüpfen an denselben Begriff an. § 2 BSIG verweist für die kritische Anlage auf das KRITIS-Dachgesetz, und dort ist sie eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist. Registriert werden Betreiber kritischer Anlagen beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam mit dem BSI eingerichtete Stelle, spätestens drei Monate, nachdem ihre Anlage als kritisch gilt.

Welche Anlage kritisch ist, ergibt sich aus Schwellenwerten, die sich am Regelschwellenwert von 500.000 versorgten Personen orientieren. Bis die neue Verordnung nach dem KRITIS-Dachgesetz in Kraft tritt, gilt dafür die BSI-Kritisverordnung, die inzwischen Verordnung zur Bestimmung kritischer Anlagen heißt. Im Sektor Wasser liegt die Schwelle bei 22 Millionen m³ Trinkwasser im Jahr und bei Kläranlagen bei 500.000 Einwohnerwerten, im Sektor Energie bei 3.700 GWh im Jahr für Stromverteilernetze und 104 MW für Erzeugungsanlagen. Einen Entwurf der neuen Verordnung hat das Bundesinnenministerium im Mai 2026 vorgelegt, nach den bisher veröffentlichten Auswertungen bleibt der Regelschwellenwert darin erhalten.

Betreiber kritischer Anlagen gelten nach § 28 BSIG unabhängig von ihrer Größe als besonders wichtige Einrichtungen und tragen die weitestgehenden Pflichten. § 31 BSIG verlangt Schutzmaßnahmen über das allgemeine Niveau hinaus, soweit der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls steht, und ausdrücklich Systeme zur Angriffserkennung. Nach § 39 BSIG belegen sie die Umsetzung alle drei Jahre gegenüber dem BSI durch Audits, Prüfungen oder Zertifizierungen. Branchen können dafür eigene Sicherheitsstandards vorschlagen, deren Eignung das BSI feststellt, die sogenannten B3S. Für Wasser und Abwasser ist das der B3S WA von DVGW und DWA, für Energieanlagen und Netze gilt der IT-Sicherheitskatalog der Bundesnetzagentur.

Für die Leittechnik heißt das vor allem Nachweisbarkeit. Leitzentralen sind in der Verordnung eine eigene Anlagenkategorie, bemessen an allen Anlagen, die sie steuern oder überwachen. Ihre Konfiguration gehört also in denselben Nachweis wie die Stationen. Im Audit fällt irgendwann die Frage nach der letzten Änderung an einer bestimmten Anlage. Die Antwort sollte dann aus einer Änderungshistorie kommen und nicht aus Schichtbuch und Erinnerung.