Die Betroffenheit ist kein Ermessen, sondern eine Prüffolge aus dem Gesetz: Sektor → Anlage oder Einrichtung → Schwellenwert → Rechtsfolge. Unter das KRITIS-Dachgesetz fällt, wer eine Anlage in einem der zehn gesetzlich genannten Sektoren betreibt, die für die Erbringung einer kritischen Dienstleistung erheblich ist. Unter NIS2 fällt, wer in einem der Sektoren der Anlagen 1 und 2 des BSI-Gesetzes tätig ist und die Größenschwelle erreicht. Die vollständigen Listen beider Regelwerke: Sektoren und Einrichtungsarten.
Warum der Staat diese Unternehmen verpflichtet
Das KRITIS-Dachgesetz verpflichtet Betreiber, Maßnahmen zu treffen, um Vorfälle zu verhindern, die Anlage physisch zu schützen, auf Vorfälle zu reagieren und deren Auswirkungen zu begrenzen sowie die kritische Dienstleistung nach einem Vorfall zügig wiederherzustellen (§ 13 Absatz 1 Nummer 1 bis 4 KRITISDachG). Das BSI-Gesetz verfolgt für dieselben Betreiber das Ziel, Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der eingesetzten Systeme zu vermeiden und die Auswirkungen von Sicherheitsvorfällen gering zu halten (§ 30 Absatz 1 BSIG). Zuständig sind das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe für die physische Resilienz und das Bundesamt für Sicherheit in der Informationstechnik für die Informationssicherheit. Die Ausgangslage im Einzelnen: Warum KRITIS und NIS2.
KRITIS — betroffen ist, wer kritische Anlagen betreibt
Die Prüffolge nach dem KRITIS-Dachgesetz:
- Sektor — die kritische Dienstleistung liegt in einem der zehn Sektoren des § 4 Absatz 1 KRITISDachG: Energie · Transport und Verkehr · Finanzwesen · Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende · Gesundheitswesen · Wasser · Ernährung · Informationstechnik und Telekommunikation · Weltraum · Siedlungsabfallentsorgung (vollständige Liste).
- Anlage — maßgeblich ist die Anlage, nicht die Firmengröße. „Anlage“ ist nach § 2 KRITISDachG eine Betriebsstätte, eine ortsfeste oder ortsveränderliche technische Installation, eine Maschine, ein Gerät oder Software; „kritische Anlage“ ist eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist.
- Erheblichkeit — welche Anlagen als erheblich gelten, bestimmt das Bundesministerium des Innern durch Rechtsverordnung (§ 5 Absatz 1 KRITISDachG). Kriterien sind nach § 5 Absatz 2 unter anderem die Zahl der versorgten Einwohner, die Abhängigkeit anderer Sektoren, Dauer und Ausmaß möglicher Ausfallfolgen, der Marktanteil und das betroffene geografische Gebiet. [PRÜFEN: Das Gesetz selbst nennt keinen Zahlenwert. Der in der Praxis verbreitete Wert von 500.000 versorgten Personen stammt aus der bisherigen BSI-Kritisverordnung; die Verordnung nach § 5 lag im Mai 2026 als Referentenentwurf vor. Vor Livegang Stand prüfen.]
- Rechtsfolge — Registrierung, Risikoanalyse, Resilienzplan und Meldepflicht mit den Fristen der Seite KRITIS, dazu die persönliche Umsetzungs- und Überwachungspflicht der Geschäftsleitung nach § 20 KRITISDachG.
Typischerweise betroffen sind Stadtwerke mit Strom-, Gas-, Fernwärme- oder Wassernetzen, regionale Energieversorger und Netzbetreiber, Kraftwerks- und Umspannwerksbetreiber, Wasserwerke und Kläranlagen, Verkehrsunternehmen, Bahnhöfe, Flughäfen und Häfen, große Kliniken sowie Rechenzentren und Telekommunikationsnetze.
NIS2 — betroffen ist, wer die Größenschwelle in einem gelisteten Sektor erreicht
Das BSI-Gesetz führt die erfassten Einrichtungen in zwei Anlagen: Anlage 1 mit sieben Sektoren (Liste) und Anlage 2 mit sieben weiteren Sektoren (Liste). Die Einstufung ergibt sich aus der Anlage und der Größe:
| Kategorie | Herkunft | Schwelle |
|---|---|---|
| Besonders wichtige Einrichtungen | Anlage 1 BSIG | ab 250 Beschäftigte oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme |
| Wichtige Einrichtungen | Anlage 1 oder Anlage 2 BSIG | ab 50 Beschäftigte oder über 10 Mio. € Umsatz und über 10 Mio. € Bilanzsumme |
[PRÜFEN: Größenschwellen und die Zuordnung der Kategorien stammen aus einer Sekundärquelle (Abruf 01.08.2026) und sind vor Livegang an §§ 28 und 29 BSIG zu prüfen.] Unabhängig von der Größe gelten unter anderem qualifizierte Vertrauensdiensteanbieter, TLD-Registrierungsstellen, DNS-Diensteanbieter und Anbieter öffentlicher Telekommunikationsnetze als erfasst; Betreiber kritischer Anlagen zählen zugleich zu den besonders wichtigen Einrichtungen [PRÜFEN: § 28 BSIG].
Rund 29.500 Unternehmen und Bundesbehörden fallen unter NIS2, gegenüber rund 4.500 im früheren KRITIS-System. Für Betreiber kritischer Anlagen gelten dabei verschärfte Anforderungen (§ 31 BSIG) und eine eigene Nachweispflicht: Sie müssen die Umsetzung ihrer Maßnahmen dem BSI alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nachweisen (§ 39 BSIG).
Der Verkehrssektor im europäischen Rahmen
Bahnhöfe, Häfen und Busbahnhöfe gehören zur Verkehrsinfrastruktur; der Sektor Verkehr steht sowohl in § 4 Absatz 1 Nummer 2 KRITISDachG als auch in Anlage 1 Nummer 2 des BSI-Gesetzes, dort gegliedert in Luftverkehr, Schienenverkehr, Schifffahrt und Straßenverkehr. Die europäischen Richtlinien — (EU) 2022/2557 für die Resilienz, (EU) 2022/2555 für die Informationssicherheit — geben denselben Rahmen unionsweit vor; die Bedrohungslage ist entsprechend europäisch zu betrachten. [PRÜFEN: Sektorenzuschnitt Verkehr in beiden Richtlinien am Normtext; Belege zur Bedrohungslage nur aus amtlichen Lageberichten, Auswahl in U3.]
Beides zugleich
Wer eine kritische Anlage betreibt, trägt beide Pflichtenkreise: den physischen Schutz nach dem KRITIS-Dachgesetz und die Netz- und Informationssicherheit nach NIS2. Die Nachweise greifen dabei ineinander: Die für die physische Resilienz zuständige Behörde kann sich Bestandteile der nach § 39 BSIG vorgelegten Nachweise übersenden lassen (§ 16 Absatz 1 KRITISDachG).
Selbstprüfung in drei Schritten
- Sektor: Steht Ihre Tätigkeit in einer der Listen? Sektoren und Einrichtungsarten
- Schwelle: Ist Ihre Anlage für die Erbringung einer kritischen Dienstleistung erheblich (KRITIS)? Erreichen Sie 50 Beschäftigte oder 10 Mio. € Umsatz und Bilanzsumme (NIS2)?
- Folge: Dann bestehen Registrierungs-, Nachweis- und Meldepflichten — die Fristen stehen auf den Seiten KRITIS und NIS2. Die amtliche Prüfung bietet das BSI mit der NIS-2-Betroffenheitsprüfung [externer Link auf bsi.bund.de — zählt nicht zur internen Verlinkung].
Ihre Anlage fällt darunter oder liegt nahe an der Schwelle? Anfrage stellen — oder zuerst die Technik ansehen: Systemköpfe · Zur Rubrik-Übersicht: Rechtsgrundlagen