Langfristiger Partner für digitale Souveränität und Resilienz

Beide Regelwerke decken zehn kritische Sektoren ab, darunter Energie, Transport & Verkehr, Finanzwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung, Weltraum und Ernährung. Diese Sektoren orientieren sich an den Grundlagen der CER-Richtlinie. 

Nein. Ein Unternehmen wird erst dann als KRITIS-Betreiber eingestuft, wenn es bestimmte Schwellenwerte erfüllt, die die Bedeutung der Anlage für die Versorgungssicherheit definieren. 

• Die Betreiber müssen eine Selbsteinschätzung auf Basis der BSI-Kritisverordnung vornehmen.
• Die finale Prüfung erfolgt häufig durch ein KRITIS-Audit (Auditor/Prüfer), das gesetzlich alle zwei Jahre vorgeschrieben ist.  

• Versorgungsgrad: Kritisch ist eine Anlage typischerweise dann, wenn ihr Ausfall mehr als 500.000 Menschen betreffen würde. Dieser von vielen Bundesländern und des Deutschen Städtetages als zu hoch kritisierte Regelschwellwert ist in einer Protokollerklärung der Bundesregierung bereits zur Überprüfung im weiteren Verfahren angekündigt worden. Weiterhin können kritische Anlagen, für die Länderbehörden zuständig sind, nach eigenen Kriterien der Bundesländer zusätzlich als Unternehmen erfasst werden.
• Technische Grenzwerte: Dazu gehören z. B. Megawatt Leistung (Strom), Kubikmeter Kapazität (Wasser) oder Standortkriterien (Rechenzentren). Diese sind in der BSI-KRITIS-Verordnung definiert. 

CER betrachtet nicht nur technische Anlagen, sondern auch „kritische Einrichtungen“, deren Dienstleistungen für das Gemeinwesen essenziell sind – etwa Verwaltung, Labore oder Teile der Logistik. Damit können auch Unternehmen ohne klassische Anlagen KRITIS-relevant werden. 

Das Dachgesetz schafft erstmals bundeseinheitliche Mindeststandards für die physische Sicherheit kritischer Infrastrukturen in Deutschland – ergänzt um Meldepflichten, Risikoanalysen, Resilienzpläne und Aufsicht durch BBK/BSI. 

Laut BMI liegt die Verantwortung grundsätzlich beim Betreiber selbst, unabhängig davon, ob die Einrichtung staatlich oder privat geführt wird. 

Zentrale Pflichten wie Registrierung, Risikoanalyse, Schutzmaßnahmen und Meldewesen treten ab Veröffentlichung der KRITIS-DACH-Gesetz-Verordnung in Kraft. (voraussichtlich ab Ende Q2/ Anfang Q3 2026)

Das KRITIS-Dachgesetz schafft keine eigene Haftungsnorm für Geschäftsleiter. Wer Pflichten wie Risikoanalyse, Resilienzplan, Meldeketten oder Schutzmaßnahmen unzureichend organisiert, riskiert jedoch persönliche Haftung nach § 43 GmbHG / § 93 AktG (Organisations/Aufsichtsverschulden). 

Die EU CER-Richtlinie (Critical Entities Resilience Directive, Richtlinie (EU) 2022/2557) ist ein europäisches Gesetz, das am 16. Januar 2023 in Kraft getreten ist. Ihr Ziel: Die Widerstandsfähigkeit (Resilienz) sogenannter kritischer Einrichtungen in der EU deutlich zu stärken sowie Risikoanalysen, Resilienzmaßnahmen und das Meldewesen zu verbessern. CER-Richtlinie: Neue Pflichten für kritische Infrastrukturen