Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz

Die BSI-KritisV ist eine bundesrechtliche Verordnung auf Grundlage des BSI-Gesetzes. Sie konkretisiert, welche Anlagen wegen ihrer Bedeutung für die Versorgung der Allgemeinheit als kritische Anlagen gelten, indem sie Sektoren, kritische Dienstleistungen, Anlagenkategorien und Schwellenwerte festlegt. Systematisch ergänzt sie das BSI-Gesetz als untergesetzliche Konkretisierungsnorm und dient der Bestimmung des Adressatenkreises der dort geregelten Pflichten. Inhaltlich erfasst sie insbesondere die Sektoren Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanzwesen, Transport und Verkehr, Siedlungsabfallentsorgung sowie Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende. • Der Anwendungsbereich erfasst Betreiber von Anlagen oder gemeinsam betriebenen Anlagen in den genannten Sektoren, sofern die jeweilige Anlage einer festgelegten Kategorie zugeordnet ist und den sektorspezifischen Schwellenwert erreicht oder überschreitet. Einbezogen sind auch Software, IT-Dienste, zentrale Steuerungs- und Überwachungssysteme sowie verbundene Nebeneinrichtungen, soweit sie für die kritische Dienstleistung erforderlich sind. Mehrere Anlagen können als gemeinsame Anlage gelten, wenn ein betrieblicher oder räumlich-betrieblicher Zusammenhang besteht; bei gemeinsamem Betrieb ist jede beteiligte Person pflichtverantwortlich. Ausnahmen oder Sonderregeln bestehen insbesondere bei einzelnen Kategorien hinsichtlich des Zeitpunkts der KRITIS-Eigenschaft, bei enger nur betrieblicher statt räumlich-betrieblicher Verbindung sowie im Gesundheitssektor, wo die Zusammenrechnung für Krankenhäuser nicht gilt. • In der Praxis bedeutet die Verordnung vor allem eine formalisierte Einstufungsprüfung durch Betreiber: Anlage und Nebenanlagen sind der richtigen Kategorie zuzuordnen, der Versorgungsgrad ist regelmäßig – meist bis zum 31. März des Folgejahres – zu ermitteln und mit dem Schwellenwert abzugleichen. Wird der Schwellenwert erreicht, gilt die Anlage regelmäßig ab dem 1. April des Folgejahres als kritisch. Maßgeblich sind dabei häufig zentrale IT- und Steuerungssysteme sowie zusammenhängende Anlagenverbünde, nicht nur klassische physische Infrastrukturen.

Stand: 30.06.2026

Betreiber kritischer Anlagen: • Pflicht: Die eigene Anlage, ihre notwendigen Anlagenteile, Verfahrensschritte und Nebeneinrichtungen der zutreffenden Anlagenkategorie zuordnen. • Pflicht: Den Versorgungsgrad der Anlage für das zurückliegende Kalenderjahr regelmäßig, in der Regel bis zum 31. März des Folgejahres, ermitteln. • Pflicht: Prüfen, ob der jeweilige sektorspezifische Schwellenwert erreicht oder überschritten wird und ob dadurch die Anlage als kritische Anlage gilt. • Empfehlung: Die Einstufungsprüfung auch auf zentrale Steuerungs-, Überwachungs-, Logistik- und IT-Systeme sowie auf verbundene Anlagen erstrecken. Gemeinsame Betreiber einer Anlage: • Pflicht: Jeder Mitbetreiber trägt die Verantwortung für die Erfüllung der Betreiberpflichten bei gemeinsam betriebener Anlage. • Pflicht: Gemeinsam genutzte Anlagenteile und betriebliche Zusammenhänge bei der Einstufung als einheitliche Anlage berücksichtigen. • Pflicht: Die Ermittlung des Versorgungsgrads abgestimmt und nachvollziehbar durchführen. • Empfehlung: Verantwortlichkeiten, Datenquellen und Bewertungsmaßstäbe vertraglich und organisatorisch eindeutig festlegen. Betreiber mehrerer verbundener Anlagen: • Pflicht: Prüfen, ob mehrere Anlagen wegen engen räumlichen und betrieblichen oder nur betrieblichen Zusammenhangs als gemeinsame Anlage gelten. • Pflicht: Schwellenwerte gegebenenfalls auf Basis der zusammengefassten Anlage bewerten. • Pflicht: Sonderregeln einzelner Sektoren und Kategorien zur Zusammenrechnung beachten. • Empfehlung: Standortübergreifende Verbünde und zentrale Leit-, Handels-, Dispositions- oder Verwaltungssysteme gesondert erfassen.