BSI Kritisverordnung
Was ist die BSI Kritisverordnung?
Die BSI Kritisverordnung legt fest, welche Anlagen in Deutschland als Kritische Infrastrukturen gelten. Dafür ordnet sie Anlagen bestimmten Sektoren zu und definiert messbare Schwellenwerte. Erreicht oder überschreitet eine Anlage den jeweiligen Grenzwert, können für ihren Betreiber besondere Pflichten zur IT-Sicherheit, Störungsmeldung und Nachweisführung gelten.
Die BSI Kritisverordnung konkretisiert das BSI-Gesetz. Die amtliche Bezeichnung lautet Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz, kurz BSI-KritisV. Entscheidend ist nicht allein die Branche eines Unternehmens, sondern ob eine konkrete Anlage einer definierten Kategorie entspricht und den zugehörigen Schwellenwert erreicht.
Was die BSI Kritisverordnung regelt
Die BSI Kritisverordnung bestimmt anhand objektiver Kriterien, welche Anlagen für die Versorgung der Bevölkerung von besonderer Bedeutung sind. Der grundlegende Orientierungswert entspricht einer Versorgung von 500.000 Personen. Die Anhänge der Verordnung übertragen diesen Wert auf sektorspezifische Größen, beispielsweise erzeugte Energiemengen, angeschlossene Nutzer, behandelte Fälle oder transportierte Mengen.
Die Verordnung erfasst Anlagen aus acht Sektoren:
Ein Unternehmen wird nicht automatisch zum KRITIS-Betreiber, weil es beispielsweise Energie liefert, Lebensmittel produziert oder medizinische Leistungen anbietet. Die konkrete Anlage muss zuerst unter eine Anlagenkategorie der BSI Kritisverordnung fallen. Anschließend ist zu berechnen, ob der dort festgelegte Schwellenwert erreicht oder überschritten wird.
Wie die KRITIS-Prüfung funktioniert
Die Prüfung nach der BSI Kritisverordnung erfolgt anlagenbezogen. Ein Betreiber muss sämtliche relevanten Anlagen einzeln erfassen, der passenden Anlagenkategorie zuordnen und die vorgeschriebene Berechnungsgröße bestimmen. Maßgeblich sind die Definitionen und Formeln des jeweiligen Anhangs, nicht eine unternehmensinterne Einschätzung der gesellschaftlichen Bedeutung.
Ein belastbarer Prüfprozess umfasst vier Schritte:
Ein häufiger Denkfehler besteht darin, den gesamten Konzernumsatz oder die Gesamtzahl aller Kunden mit einem Schwellenwert zu vergleichen. Die BSI Kritisverordnung knüpft regelmäßig an bestimmte Anlagen und Versorgungsleistungen an. Mehrere Standorte können getrennt zu bewerten oder unter den in der Verordnung genannten Bedingungen zusammenzurechnen sein. Dokumentiere deshalb Datenquelle, Bezugszeitraum, Anlagenabgrenzung und Berechnung.
Pflichten für KRITIS-Betreiber
Fällt eine Anlage unter die BSI Kritisverordnung, ergeben sich die eigentlichen Betreiberpflichten aus dem BSI-Gesetz. Dazu gehören angemessene organisatorische und technische Vorkehrungen zum Schutz der informationstechnischen Systeme, Komponenten und Prozesse, die für den Betrieb der Kritischen Infrastruktur maßgeblich sind.
Zu den zentralen Aufgaben gehören insbesondere:
Der zweijährige Nachweisrhythmus bedeutet nicht, dass Sicherheitsmaßnahmen nur alle zwei Jahre geprüft werden müssen. Veränderungen an Systemen, Dienstleistern, Zugriffsrechten oder Netzwerkarchitekturen können das Risiko bereits während des laufenden Nachweiszeitraums verändern. Ein kontinuierliches Verzeichnis der betriebsrelevanten Systeme erleichtert sowohl die Risikobewertung als auch den späteren Nachweis.
Abgrenzung zu NIS2 und KRITIS-Dachgesetz
Der Unterschied zwischen der BSI Kritisverordnung, NIS2 und dem KRITIS-Dachgesetz liegt vor allem im Regelungsgegenstand. Die BSI Kritisverordnung klassifiziert bestimmte kritische Anlagen anhand von Kategorien und Schwellenwerten. NIS2 erweitert den europäischen Rahmen für Cybersicherheit und erfasst Unternehmen stärker anhand von Sektor, Unternehmensgröße und Art der Tätigkeit. Das KRITIS-Dachgesetz richtet den Blick zusätzlich auf die physische Resilienz kritischer Anlagen.
| Regelwerk | Schwerpunkt | Zentrale Einordnung |
|---|---|---|
| BSI Kritisverordnung | Klassifizierung kritischer Anlagen | Anlagenkategorie und Schwellenwert |
| NIS2-Regelungen | Cybersicherheit betroffener Einrichtungen | Sektor, Tätigkeit und Unternehmensmerkmale |
| KRITIS-Dachgesetz | Physische Resilienz Kritischer Infrastrukturen | Kritische Dienstleistungen, Anlagen und Risiken |
Eine Einstufung nach der BSI Kritisverordnung und eine Betroffenheit durch NIS2 sind getrennt zu prüfen. Ein Unternehmen kann unter neue Cybersicherheitsvorgaben fallen, obwohl keine einzelne Anlage den bisherigen KRITIS-Schwellenwert erreicht. Für die Prüfung in 2026 solltest du deshalb nicht nur die BSI Kritisverordnung, sondern auch den aktuellen Stand des BSI-Gesetzes und der deutschen NIS2-Umsetzung berücksichtigen.
BSI Kritisverordnung im Online-Marketing
Die BSI Kritisverordnung enthält keine besonderen SEO-, SEA- oder GEO-Vorgaben. Marketing-Systeme können dennoch sicherheitsrelevant werden, wenn sie für eine kritische Versorgungsleistung benötigt werden. Das betrifft beispielsweise Kundenportale, Terminplattformen, Standortinformationen, Störungsmeldungen, DNS-Dienste, Hosting-Infrastrukturen oder Schnittstellen zwischen Website und Betriebssystemen.
Eine reine Image-Website wird nicht automatisch zum kritischen System. Ermöglicht eine Website dagegen den Zugang zu einer wesentlichen Dienstleistung, muss ihre Funktion im Informationsverbund geprüft werden. Ein technischer Ausfall kann dann neben verlorenem organischem Traffic und pausierten SEA-Kampagnen auch die Kommunikation mit Kunden oder die Erbringung der kritischen Leistung beeinträchtigen.
Für SEO und Webentwicklung empfiehlt sich eine dokumentierte Trennung zwischen öffentlichem Content-System und betriebsrelevanten Anwendungen. Zugriffsrechte, Formulare, Schnittstellen, DNS, Weiterleitungen und externe Skripte sollten bereits bei einem Website-Relaunch erfasst werden. Ein technisches SEO-Audit ersetzt keine KRITIS-Prüfung, kann aber öffentlich erkennbare Fehler bei Erreichbarkeit, Weiterleitungen und technischer Auslieferung aufdecken.
Dokumentation für die Einstufung
Eine nachvollziehbare KRITIS-Dokumentation sollte Anlagenverzeichnis, Betreiberzuordnung, Anlagenkategorie, Berechnungszeitraum, Eingangsdaten, Formel und Ergebnis enthalten. Zusätzlich ist festzuhalten, wer die Daten geliefert und wann die Einordnung zuletzt geprüft hat. Diese Struktur macht spätere Aktualisierungen kontrollierbar, wenn sich Kapazitäten, Standorte oder gesetzliche Schwellenwerte ändern.
Die BSI Kritisverordnung sollte mindestens bei folgenden Ereignissen erneut geprüft werden:
Häufige Fragen zur BSI Kritisverordnung
Für wen gilt die BSI Kritisverordnung?
Die BSI Kritisverordnung betrifft Betreiber von Anlagen aus den geregelten Sektoren, wenn die konkrete Anlage einer definierten Kategorie entspricht und den zugehörigen Schwellenwert erreicht oder überschreitet. Branche und Unternehmensgröße allein reichen für die Einstufung nicht aus.
Muss sich ein KRITIS-Betreiber selbst beim BSI melden?
Betreiber müssen ihre Betroffenheit eigenständig prüfen und die gesetzlich vorgesehene Kontaktstelle gegenüber dem BSI benennen. Eine vorherige Aufforderung durch das BSI ist für die Einordnung nicht erforderlich.
Gilt für alle Sektoren derselbe KRITIS-Schwellenwert?
Der grundlegende Versorgungsmaßstab orientiert sich an 500.000 Personen. Die konkreten Schwellenwerte unterscheiden sich jedoch nach Anlagenkategorie und werden beispielsweise als Kapazität, Jahresmenge, Nutzerzahl oder Fallzahl angegeben.
Ist jedes Unternehmen der kritischen Infrastruktur automatisch KRITIS-Betreiber?
Nein. Entscheidend ist die einzelne Anlage und deren Bemessungswert nach der BSI Kritisverordnung. Ein Unternehmen kann gesellschaftlich bedeutsame Leistungen erbringen, ohne dass eine Anlage den geregelten Schwellenwert erreicht.
Wie oft muss die KRITIS-Einstufung geprüft werden?
Eine regelmäßige Neubewertung ist sinnvoll, weil Kapazitäten, Anlagenstrukturen und gesetzliche Vorgaben verändert werden können. Spätestens bei wesentlichen betrieblichen Änderungen und vor jedem Sicherheitsnachweis sollten Berechnung und Anlagenabgrenzung kontrolliert werden.
Kann eine Website unter die KRITIS-Sicherheitsmaßnahmen fallen?
Eine Website kann zum relevanten Informationsverbund gehören, wenn sie für die Erbringung oder Steuerung einer kritischen Dienstleistung erforderlich ist. Eine reine Marketing-Website erfüllt diese Voraussetzung normalerweise nicht allein aufgrund ihrer Reichweite.
Wenn du technische Website-Risiken und ihre Auswirkungen auf SEO, SEA und digitale Geschäftsprozesse einordnen möchtest, kannst du einen unverbindlichen Potenzialcheck anfragen.
Sie haben noch Fragen?
