Betreiber kritischer Anlagen
Definition
Betreiber kritischer Anlagen sind Unternehmen, die Infrastrukturen betreiben, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit, die Versorgung der Bevölkerung oder die wirtschaftliche Leistungsfähigkeit Deutschlands hätte. Diese Kategorie existierte bereits im BSIG in der Fassung vor NIS2 und wurde durch das KRITIS-DachG um physische Sicherheitsanforderungen erweitert, die über die rein digitalen Anforderungen des NIS2UmsuCG hinausgehen und ganzheitliche Resilienz gegen Cyberangriffe sowie physische Bedrohungen wie Sabotage oder Naturkatastrophen sicherstellen sollen. Typische Beispiele sind Energieversorger, Wasserwerke und Krankenhauszentralen mit bundesweiter Versorgungsrelevanz.
Rechtsgrundlage
Die Definition von Betreibern kritischer Anlagen findet sich in § 2 Abs. 10 BSIG sowie in der BSI-KritisV, die konkrete Schwellenwerte für einzelne Sektoren und Teilsektoren vorschreibt. Mit dem KRITIS-DachG, in Kraft seit dem 17.03.2026, gelten zusätzliche Anforderungen an physische Resilienz, geregelt in §§ 6 ff. KRITIS-DachG, das die CER-Richtlinie (EU) 2022/2557 in deutsches Recht umsetzt. Betreiber kritischer Anlagen fallen gemäß § 28 Abs. 1 Nr. 3 BSIG automatisch in die Kategorie der besonders wichtigen Einrichtungen und unterliegen der strengsten Aufsicht mit anlasslosen Prüfungen durch das BSI.
Praktische Implikation
Unternehmen, die bereits als KRITIS-Betreiber nach altem Recht eingestuft waren, müssen ihre vorhandenen Sicherheitskonzepte an die erweiterten NIS2-Anforderungen anpassen und zusätzlich physische Schutzmaßnahmen gemäß KRITIS-DachG integrieren. Eine ganzheitliche Risikobetrachtung, die IT-Sicherheit und physische Sicherheit zusammenführt, ist für diese Einrichtungen besonders wichtig. Das integrierte Sicherheitskonzept sollte alle relevanten Bedrohungsszenarien abbilden und regelmäßig aktualisiert werden. Die parallelen Aufsichtszuständigkeiten von BSI und Bundesamt für Bevölkerungsschutz erfordern eine koordinierte Nachweisführung gegenüber beiden Behörden, was eine zentrale Compliance-Koordination unerlässlich macht. Empfehlenswert ist ein jährliches übergreifendes Sicherheitsreview, das beide regulatorischen Dimensionen abdeckt und alle Maßnahmenstatus dokumentiert.
Verwandte Begriffe
Verwandte Inhalte
Leistungen
Checklisten
Glossar
Vergleiche
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen