KRITIS-Verordnung verstehen für betroffene Unternehmen
Die KRITIS-Verordnung ist kein abstrakt-theoretisches Regelwerk, das irgendwelche fernen Behörden betrifft – sie könnte direkt euer Unternehmen betreffen. Wenn ihr in Bereichen wie Energie, Wasser, Telekommunikation oder Finanzdienstleistungen tätig seid, müsst ihr wissen, welche Anforderungen auf euch zukommen und wie ihr diese erfolgreich umsetzt. Wir zeigen euch, was die KRITIS-Verordnung wirklich bedeutet, wer davon betroffen ist und wie ihr Compliance nicht als lästige Pflicht, sondern als Wettbewerbsvorteil nutzt.
Was ist die KRITIS-Verordnung?
Die KRITIS-Verordnung regelt die Sicherheit kritischer Infrastrukturen in Deutschland. KRITIS steht für «Kritische Infrastrukturen» – also Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf Gesellschaft, Wirtschaft und Sicherheit hätte.
Wir sprechen hier von Systemen, auf die sich der Staat und die Bevölkerung verlassen. Wenn eine Stromversorgung zusammenbricht oder ein Wasserwerk ausfällt, entsteht schnell eine Krisensituation. Deshalb verlangt der Staat von den Betreibern solcher Infrastrukturen spezifische Sicherheitsmaßnahmen.
Die Verordnung ist Teil eines umfassenderen Cybersicherheitsgesetzes und verpflichtet Betreiber kritischer Infrastrukturen, ihre IT-Systeme zu schützen, Vorfälle zu melden und regelmäßig ihre Sicherheitsmaßnahmen zu überprüfen. Es geht nicht nur um Abwehrmaßnahmen gegen Cyberangriffe – es geht um Resilienz und die Fähigkeit, kontinuierlich sichere Dienste zu erbringen.
Rechtsrahmen und Geltungsbereich
Die KRITIS-Verordnung basiert auf dem IT-Sicherheitsgesetz 2.0 und konkretisiert internationale Standards wie ISO 27001. Sie verpflichtet nicht alle Unternehmen, sondern richtet sich gezielt an Betreiber von kritischen Infrastrukturen.
Der Geltungsbereich ist klar definiert: Unternehmen müssen als KRITIS-Betreiber registriert sein, um die volle Last der Verordnung zu tragen. Allerdings gibt es auch Zulieferer und Dienstleister kritischer Infrastrukturen, die indirekt betroffen sind – beispielsweise durch Anforderungen an die Cybersicherheit in Verträgen.
Welche Branchen sind betroffen?
Die Verordnung erfasst Branchen mit kritischen Funktionen:
- Energie: Stromversorgung, Gas- und Wärewirtschaft
- Wasser: Trinkwasserversorgung und Abwasserwirtschaft
- Verkehr: Schienenverkehr, Luftfahrt, Schifffahrt
- Gesundheit: Krankenhäuser, Blutbanken, medizinische Versorgungseinrichtungen
- Finanzdienstleistungen: Banken, Versicherungen, kritische Marktinfrastrukturen
- Telekommunikation: Betreiber öffentlicher Telekommunikationsnetze
- Digitale Infrastruktur: Rechenzentren, Cloud-Dienstleister
Wichtig: Nicht jedes Unternehmen in diesen Branchen ist automatisch KRITIS-Betreiber. Die Schwellenwerte und Klassifizierungskriterien entscheiden darüber.
Schwellenwerte und Klassifizierung
Eine zentrale Frage lautet: Bin ich überhaupt ein KRITIS-Betreiber? Die Antwort hängt von Schwellenwerten ab, die branchenspezifisch unterschiedlich sind.
Für die Klassifizierung gelten quantitative Kriterien – etwa Mitarbeiterzahl, Umsatz oder Anzahl versorgter Kunden. Ein lokaler Wasserversorger mit 5.000 Kunden mag nicht unter die Verordnung fallen, während ein großer Energiekonzern eindeutig betroffen ist.
Darüber hinaus gibt es eine qualitative Bewertung: Bundesbehörden können Unternehmen als KRITIS-Betreiber einstufen, wenn deren Ausfall «erhebliche Auswirkungen auf die öffentliche Sicherheit» hätte. Diese Bewertung ist nicht immer transparent und kann überraschend ausfallen – deshalb sollte jedes Unternehmen in kritischen Branchen prüfen, ob es die Schwellenwerte erreicht oder überschreitet.
| Quantitative Schwellenwerte | Klare Zahlen (Mitarbeiter, Kunden, Umsatz) |
| Qualitative Bewertung | Behördliche Einzelfallentscheidung |
| Selbstmeldung | Unternehmen können sich proaktiv registrieren |
| Konsequenzen von Fehlklassifikation | Hohe Bußgelder und Compliance-Lücken |
Ein praktischer Tipp: Lässt euch unsicher seid, nehmt die Verordnung ernst und implementiert die geforderten Maßnahmen trotzdem. Das ist die sicherere Strategie als zu spät festzustellen, dass ihr doch KRITIS-Betreiber seid.
Anforderungen für KRITIS-Betreiber
Hat euer Unternehmen die Klassifizierung als KRITIS-Betreiber erhalten, werden die Anforderungen konkret. Wir müssen hier zwischen technischen, organisatorischen und administrativen Maßnahmen unterscheiden.
IT-Sicherheitsmaßnahmen
Dies ist das Herzstück der Verordnung. Wir müssen:
- Risikoanalyse durchführen: Identifizierung aller kritischen Systeme und potenzieller Bedrohungen
- IT-Sicherheitskonzept erarbeiten: Ein dokumentiertes Konzept mit konkreten Kontrollmaßnahmen
- Technische Kontrollen implementieren: Verschlüsselung, Zugangsschutz, Netzwerksegmentierung, Monitoring
- Regelmäßige Sicherheitsupdates: Patches und Konfigurationsmanagement
- Incident-Response-Plan: Vorbereitung auf Sicherheitsvorfälle
Dies sind nicht nur Papiertiger-Anforderungen – sie müssen gelebt und regelmäßig getestet werden. Penetrationstests, Sicherheitsaudits und Red-Team-Übungen sollten zum Standard gehören.
Meldepflichten und Dokumentation
Die zweite große Anforderungsgruppe betrifft Transparenz und Nachverfolgung:
- Vorfallmeldung: Erhebliche IT-Sicherheitsvorfälle müssen dem BSI (Bundesamt für Sicherheit in der Informationstechnik) gemeldet werden
- Fristgebundene Meldung: Meldung innerhalb von 24 Stunden nach Feststellung des Vorfalls
- Dokumentation: Alle Sicherheitsmaßnahmen, Tests und Vorfälle müssen dokumentiert sein
- Bestandsverzzeichnis: Übersicht aller IT-Systeme und deren kritikalität
- Bevollmächtigter für IT-Sicherheit: Bennung einer Verantwortungsperson
Viele Unternehmen unterschätzen die administrative Last dieser Anforderungen. Ein gut organisiertes Dokumentationssystem spart euch später Stress bei Audits und Inspektionen.
Implementierung und Compliance
Die Theorie ist eine Sache – die praktische Umsetzung eine andere. Wir haben gelernt, dass erfolgreiche Implementierung schrittweise und systematisch erfolgt.
Zunächst solltet ihr eine Orientierungsphase durchlaufen: Wird euer Unternehmen überhaupt als KRITIS-Betreiber klassifiziert? Dazu gehört eine ehrliche Selbstbewertung gegen die Schwellenwerte. Falls ja, startet die eigentliche Implementierung mit einer umfassenden Ist-Analyse.
In der Planungsphase definiert ihr die Gap zwischen aktuellem Zustand und Compliance-Anforderungen. Hier empfehlen wir, externe Auditor:innen einzubeziehen – die bringen Sicherheitsabstand und Objektivität mit.
Danach folgt die Umsetzungsphase: Ihr investiert in Technologie, schulet euer Personal und etabliert Prozesse. Ein typisches Unternehmen benötigt hier zwischen 6 und 18 Monaten, abhängig von Größe und aktuellem Sicherheitsniveau.
Abschließend die Überwachungsphase: Compliance ist kein Projekt mit Ende-Datum, sondern ein kontinuierlicher Prozess. Regelmäßige Überprüfungen, Updates und Anpassungen sind notwendig.
Ein häufiger Fehler: Unternehmen behandeln Compliance als IT-Problem allein. Das ist falsch. Es geht um Governance, und das bedeutet: Vorstand, Geschäftsführung und alle Abteilungen müssen involviert sein. Wenn die Cybersicherheit nur bei der IT-Abteilung verortet ist, wird es schwierig.
Häufige Herausforderungen bei der Umsetzung
Aus unserer Erfahrung mit vielen Unternehmen sehen wir immer wieder ähnliche Hürden:
Ressourcenmangel: Compliance kostet Zeit und Geld. Viele Unternehmen unterschätzen diesen Aufwand. Ein kleiner bis mittlerer KRITIS-Betreiber sollte mit mindestens einer Vollzeitstelle rechnen, oft sind es mehrere.
Altsysteme: Viele kritische Infrastrukturen laufen noch auf Hardware und Software, die ein Jahrzehnt alt ist. Diese Systeme sind oft nicht modulierbar und schwer zu updaten. Ihr könnt sie nicht einfach abschalten – die Produktion, Versorgung oder Dienste müssen laufen. Das macht die Sicherheitsimplementierung komplex.
Fachkräftemangel: Spezialist:innen für Cybersicherheit in kritischen Infrastrukturen sind selten und teuer. Viele Unternehmen kämpfen damit, ein kompetentes Team aufzubauen.
Unklarheit bei Anforderungen: Manche Anforderungen der Verordnung sind interpretationsbedürftig. Welcher Schwellenwert gilt genau? Was ist ein «erheblicher Vorfall»? Hier hilft der Austausch mit Brancheninitiativen oder mit dem BSI.
Kulturelle Widerstände: In manchen Unternehmen wird Sicherheit als Kostenfaktor statt als strategische Notwendigkeit wahrgenommen. Wenn die Geschäftsführung nicht hinter Compliance steht, wird es schwierig.
Unser Rat: Adressiert diese Herausforderungen früh und transparent. Sucht euch externe Partner – ob Beratungsunternehmen wie spinsey casino oder spezialisierte IT-Sicherheitsfirmen – und plant mit realistischen Zeitrahmen und Budgets.
