KRITIS: Wann ist eine Leistung kritisch?

Kritisch ist zuerst die erbrachte Leistung

Trinkwasser, Energie, Gesundheitsversorgung und andere grundlegende Leistungen werden im Alltag leicht als selbstverständlich behandelt. Sichtbar wird ihre Bedeutung häufig erst, wenn sie fehlen. KRITIS betrachtet deshalb nicht lediglich den Wert eines Gebäudes oder die Zahl seiner Server. Entscheidend ist, welche kritische Dienstleistung eine Anlage ermöglicht und welche Folgen ihre Beeinträchtigung haben kann.

Für die Unternehmensleitung lohnt sich diese Perspektive auch unabhängig von der rechtlichen Einstufung. Eine kleine Komponente kann für die Versorgung wichtiger sein als ein teures Verwaltungssystem. Umgekehrt ist nicht jede geschäftskritische Anwendung automatisch eine kritische Anlage im gesetzlichen Sinn. „Für uns unverzichtbar“ und „rechtlich KRITIS“ sind zwei unterschiedliche Aussagen, die beide sorgfältig betrachtet werden sollten.

Der Überblick entsteht vom Ergebnis her: Welche Leistung erbringen wir, wer ist darauf angewiesen, in welchem Umfang und für welchen Zeitraum wäre eine Unterbrechung tragbar? Anschließend werden die dafür notwendigen Standorte, Anlagen, Menschen und externen Leistungen zugeordnet. So wird deutlich, was Schutzmaßnahmen tatsächlich erhalten sollen. Eine Sicherheitsdiskussion ohne diesen Bezug endet leicht bei der Frage, welches Produkt gerade angeboten wird.

Diese Seite erklärt das Grundprinzip und den gesetzlichen Rahmen. Die konkrete Zuordnung einer Anlage erfordert die einschlägigen Sektor-, Anlagen- und Schwellenwertregelungen sowie gegebenenfalls behördliche Feststellungen. Eine allgemeine Beschreibung ersetzt diese Prüfung nicht.

NIS2 und KRITIS: verwandte, aber eigene Prüfungen

NIS2 und KRITIS haben einen gemeinsamen Zweck: wichtige Leistungen widerstandsfähiger machen. Sie setzen jedoch an unterschiedlichen rechtlichen Kategorien und Schwerpunkten an. Das BSI-Gesetz regelt insbesondere Cybersicherheit für wichtige und besonders wichtige Einrichtungen. Das KRITIS-Dachgesetz richtet den Blick auf die physische Resilienz kritischer Anlagen und die dafür erforderliche Organisation. In einem Betrieb können beide Bereiche zusammenkommen.

Eine Wasseraufbereitung kann beispielsweise durch manipulierte Steuerung, einen Stromausfall, Hochwasser oder fehlendes Personal beeinträchtigt werden. Für die Menschen, die Wasser benötigen, ist der Ursprung des Ausfalls zunächst zweitrangig. Für Maßnahmen, Behördenzuständigkeiten und Meldungen ist er dagegen wichtig. Die Organisation braucht deshalb eine gemeinsame Lagebetrachtung und eine präzise Zuordnung der jeweiligen Pflichten.

Aus „Wir sind nicht KRITIS“ folgt keine automatische Ausnahme von NIS2. Ebenso ersetzt eine NIS2-Einordnung nicht die Prüfung kritischer Anlagen. Betreiber kritischer Anlagen haben zudem besondere Anforderungen im BSI-Gesetz, etwa zur Angriffserkennung. Diese Verbindungen sollten in einem gemeinsamen Anforderungsverzeichnis sichtbar sein, damit dieselbe Aufgabe nicht dreimal organisiert wird und eine vierte versehentlich liegen bleibt.

Rechtsstand und Beginn der Pflichten unterscheiden

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten. Daraus folgt nicht, dass jede darin beschriebene Betreiberpflicht für jede denkbare Anlage seit diesem Tag unmittelbar läuft. Die konkrete Anwendung hängt unter anderem von Bestimmungsregelungen, Registrierung und den gesetzlich vorgesehenen Zeitpunkten ab. Gerade in einer Einführungsphase ist diese Unterscheidung entscheidend.

§ 8 Absatz 7 KRITISDachG knüpft die erstmalige Geltung bestimmter Pflichten an die Registrierung: Die Risikoanalyse nach § 12 greift erstmals neun Monate danach; die Pflichten nach §§ 13, 18 und 20 erstmals zehn Monate danach. Für die Registrierung selbst nennt § 8 grundsätzlich drei Monate ab dem Zeitpunkt, zu dem eine Anlage als kritische Anlage gilt. Die konkrete Fristberechnung muss daher von der tatsächlichen Einordnung und Registrierung ausgehen.

Praktisch bedeutet das: Rechtsstand und operative Vorbereitung parallel bearbeiten. Eine aktualisierte Anlagenübersicht, belastbare Ansprechpartner und ein geübter Notfallablauf verlieren ihren Wert nicht, wenn sich eine Ausführungsregel konkretisiert. Umgekehrt darf ein vorhandener Notfallplan nicht mit dem pauschalen Vermerk „gesetzlich erledigt“ versehen werden, solange Anforderungen und Nachweise nicht abgeglichen sind.

Die eigene Einordnung nachvollziehbar aufbauen

Am Anfang steht eine strukturierte Beschreibung der kritischen Dienstleistung und der Anlagen, die sie ermöglichen. Zu welcher rechtlichen Einheit gehören die Anlagen? Wer betreibt sie tatsächlich? Welche Versorgungsleistung wird erbracht und wie wird ihr Umfang ermittelt? Diese Fragen sind besonders wichtig, wenn Infrastruktur gemeinsam genutzt, ausgelagert oder in mehreren Gesellschaften betrieben wird.

In die Dokumentation gehören verwendete Daten, Berechnungsmethoden, Quellen und offene Fragen. Eine Schwellenwertbetrachtung ohne nachvollziehbare Bezugsgröße hilft wenig. Ebenso kann eine vor Jahren erstellte Einordnung durch Wachstum, neue Leistungen oder veränderte Anlagen überholt sein. Die Prüfung braucht deshalb einen Verantwortlichen und konkrete Auslöser für eine Aktualisierung.

Bei Unsicherheit ist gezielte Klärung sinnvoll: Welche Vorschrift ist unklar, welche Anlage ist betroffen und welche Daten fehlen? Mit dieser Vorbereitung lässt sich eine fachliche oder behördliche Rückfrage wesentlich präziser stellen. Eine allgemeine Frage nach „KRITIS ja oder nein“ verdeckt häufig mehrere unterschiedliche Sachverhalte. Erst den Sachverhalt klären, dann die Zuordnung treffen – das spart erstaunlich viele Grundsatzdiskussionen.

Abhängigkeiten sichtbar machen und Risiken bewerten

Kritische Leistungen entstehen aus einem Zusammenspiel. Eine Anlage benötigt Strom, Kommunikation, Steuerung, Betriebsmittel, Personal und häufig externe Spezialisten. Hinzu kommen räumliche Abhängigkeiten: Zwei Systeme können technisch getrennt und trotzdem vom gleichen Keller, Stromverteiler oder Zufahrtsweg abhängig sein. Redundanz auf dem Papier schützt nicht vor einer gemeinsamen Ausfallursache.

§ 12 KRITISDachG fordert eine Risikoanalyse und Risikobewertung unter Einbeziehung nationaler Bewertungen und anderer vertrauenswürdiger Quellen. Dabei sind auch Abhängigkeiten von anderen kritischen Dienstleistungen und die Bedeutung der eigenen Leistung für andere Sektoren zu berücksichtigen. Die gesetzliche Mindesthäufigkeit ist nicht der sinnvolle Takt für jede einzelne Änderung: Eine neue Anlage oder ein gravierender Befund kann eine frühere Neubewertung erfordern.

Ein anschaulicher Einstieg sind konkrete Szenarien: Der Strom fällt länger aus. Ein Standort ist nicht erreichbar. Ein wichtiger Dienstleister wird kompromittiert. Eine Steuerung liefert unplausible Werte. Für jedes Szenario werden Auswirkungen, bestehende Schutzmaßnahmen, erkennbare Lücken und mögliche Ersatzverfahren betrachtet. Mein Modell der fünf Dimensionen kann das Gespräch strukturieren; eine erforderliche methodische Risikoanalyse ersetzt es nicht.

Zur Bewertung gehören Annahmen. Wie lange reicht der Treibstoff tatsächlich? Wie schnell ist Ersatzpersonal verfügbar? Welche andere Anlage kann Leistung übernehmen? Ungeprüfte Antworten sollten als Annahmen gekennzeichnet werden. Das ist keine Schwäche der Dokumentation, sondern ihr Nutzen: Sie zeigt, wo eine Entscheidung auf Wissen beruht und wo ein Test oder eine weitere Klärung nötig ist.

Resilienz heißt vorsorgen und wieder handlungsfähig werden

Resilienz umfasst die Fähigkeit, Vorfälle zu verhindern, ihre Auswirkungen zu begrenzen und kritische Dienstleistungen wiederherzustellen. § 13 KRITISDachG beschreibt entsprechende Ziele und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen. Beispiele sind Objektschutz, Zugangskontrollen, Alarmabläufe, Notstrom, alternative Lieferketten sowie Schulungen und Übungen. Die Auswahl muss zur Risikoanalyse und zum Betrieb passen.

Ein Resilienzplan verbindet diese Bausteine. Er sollte erkennen lassen, warum eine Maßnahme erforderlich ist, wie sie funktioniert und wer sie im Ereignisfall ausführt. Ein Verzeichnis von Produkten reicht ebenso wenig wie eine allgemeine Absichtserklärung. Hilfreich sind konkrete Zuständigkeiten, erreichbare Vertretungen, Entscheidungsbefugnisse, Alarmierung, Ersatzverfahren und Kriterien für den geordneten Wiederanlauf.

Die Geschäftsleitung muss insbesondere die Zielkonflikte entscheiden: Welche Leistung hat Vorrang? Welcher Notbetrieb ist vertretbar? Welche Ressourcen werden bereitgestellt? Dabei helfen festgelegte Grenzen und vorbereitete Entscheidungen. In einer Störung ist Zeit knapp. Es ist dann ungünstig, wenn zunächst geklärt werden muss, wer einen bereits bekannten Notfallplan überhaupt aktivieren darf.

Übungen prüfen die Verbindung zwischen Papier und Wirklichkeit. Ein Notstromtest ohne Last, ein ungetesteter Lieferantenwechsel oder eine veraltete Telefonliste geben nur begrenzt Sicherheit. Die Ergebnisse fließen in den PDCA-Kreislauf: Annahmen und Ziele planen, Maßnahmen umsetzen, Wirkung prüfen, Abweichungen beheben. Die nächste Übung muss dann zeigen, ob die Verbesserung tatsächlich angekommen ist.

Praxisbeispiel: Stromausfall in der Wasserversorgung

Das folgende Beispiel ist bewusst vereinfacht und keine technische Betriebsanweisung. Ein Betreiber betrachtet die Versorgung bei einem länger andauernden Stromausfall. Die Aufbereitung hat eine Ersatzstromversorgung. Auf den ersten Blick scheint die Lage geklärt. Die gemeinsame Betrachtung zeigt jedoch: Ein Teil der Kommunikation benötigt ebenfalls Strom, die Treibstoffnachlieferung ist nur mündlich besprochen und die Schlüsselregelung für den nächtlichen Zugang ist unklar.

Jetzt geht es nicht darum, einen Schuldigen zu finden. Zunächst werden Zusammenhänge und Folgen geklärt. Wie lange lässt sich die Leistung unter den tatsächlichen Bedingungen aufrechterhalten? Wer erkennt den Ausfall und löst die Alarmierung aus? Welche Kommunikationsmittel funktionieren noch? Welche Personen sind erforderlich und wie erreichen sie den Standort? Erst daraus entstehen belastbare Prioritäten.

Der Betreiber konkretisiert die Nachversorgung, prüft die Ersatzkommunikation und organisiert einen realistischen Funktionstest. Verantwortliche und Vertretungen bestätigen ihre Aufgaben. Anschließend wird der Ablauf gemeinsam mit den betroffenen Fachbereichen ausgewertet. Ein festgestellter Engpass erhält einen Termin und einen erneuten Nachweis. Damit wird eine einzelne technische Einrichtung Teil eines funktionierenden Gesamtsystems.

Die entscheidende Aussage lautet nicht „Wir haben ein Aggregat“, sondern „Wir können diese Leistung unter diesen Bedingungen für diesen Zeitraum aufrechterhalten“. Genau diese Präzision braucht die Leitung. Hoffnung ist keine Strategie; bei der Versorgung wird sie auch durch einen besonders dicken Notfallordner nicht belastbarer.

Meldungen, Datenschutz und KI sinnvoll verbinden

Bei einem Vorfall müssen betriebliche Bewältigung und rechtliche Bewertung zusammenlaufen. Das KRITIS-Dachgesetz enthält ein eigenes Meldewesen; das BSI-Gesetz regelt erhebliche Sicherheitsvorfälle im jeweiligen Anwendungsbereich. Für die konkrete Organisation sind die geltenden Verfahren, Fristen und Zuständigkeiten zu prüfen. Eine zentrale interne Koordination ist sinnvoll, ohne unterschiedliche gesetzliche Voraussetzungen pauschal gleichzusetzen.

Datenschutz ergänzt die Betrachtung dort, wo personenbezogene Daten verarbeitet werden: beispielsweise bei Zutrittskontrollen, Videoüberwachung, Personalplanung oder Vorfalldokumentation. Sicherheitszwecke machen solche Verarbeitungen nicht automatisch unbegrenzt zulässig. Erforderlichkeit, Zugriffsrechte und weitere datenschutzrechtliche Bedingungen gehören in die Gestaltung. Bei Datenverletzungen müssen zusätzliche Pflichten gesondert bewertet werden.

KI kann bei der Auswertung von Signalen oder Dokumenten unterstützen. In kritischen Abläufen müssen jedoch Datenqualität, Fehlentscheidungen, Berechtigungen und menschliche Eingriffsmöglichkeiten besonders klar sein. Ein automatisiertes System, dessen Empfehlung niemand nachvollziehen kann, ist keine verlässliche Ersatzorganisation. Fallback-Verfahren und die Abhängigkeit vom Anbieter gehören deshalb ebenso in die Bewertung wie der erwartete Nutzen.

Was die Geschäftsführung regelmäßig sehen sollte

Ein sinnvoller Bericht beantwortet wenige konkrete Fragen: Welche kritischen Leistungen und Abhängigkeiten haben sich verändert? Welche wesentlichen Risiken sind offen? Welche Maßnahmen sind überfällig? Was haben Tests und Vorfälle gezeigt? Welche Entscheidung ist jetzt erforderlich? Dazu gehören verantwortliche Personen und nachvollziehbare Termine. Ein Prozentwert zur „KRITIS-Erfüllung“ ist ohne Bewertungsgrundlage wenig hilfreich.

Typische Denkfehler sind eine rein technische Betrachtung, ungeprüfte Redundanz, die Verwechslung von Einkauf und Wirksamkeit sowie das Warten auf den nächsten Prüfungstermin. Ebenso problematisch ist eine überladene Organisation, in der niemand die zentralen Abläufe mehr findet. Der Maßstab bleibt die Fähigkeit, eine wichtige Leistung unter schwierigen Bedingungen zu erhalten oder geordnet wiederherzustellen.

Als nächster Schritt empfiehlt sich eine gemeinsame Übersicht aus Leistung, Anlagen, Abhängigkeiten, Verantwortlichen und offenen Annahmen. Daraus folgen rechtliche Klärungen und ein priorisiertes Arbeitsprogramm. Ein bestehendes ISMS oder Kontinuitätsmanagement kann die Organisation tragen. Eine zusätzliche parallele Dokumentenwelt sollte nur entstehen, wenn sie tatsächlich eine bisher ungedeckte Aufgabe erfüllt.