Betreiber Kritischer Infrastrukturen (KRITIS) unterliegen in Deutschland dem BSI-Gesetz (BSIG). Ob ein Unternehmen KRITIS-Betreiber ist, bestimmt die BSI-Kritisverordnung (BSI-KritisV) anhand von Anlagenkategorien und Schwellenwerten – etwa in den Sektoren Energie, Wasser, Ernährung, IT und TK, Gesundheit, Finanzen, Transport und Siedlungsabfallentsorgung.
Kernpflicht ist § 8a BSIG: angemessene organisatorische und technische Vorkehrungen nach dem Stand der Technik, seit dem IT-Sicherheitsgesetz 2.0 ausdrücklich inklusive Systemen zur Angriffserkennung. Die Wirksamkeit muss dem BSI alle zwei Jahre nachgewiesen werden. Mit der NIS2-Umsetzung wird das BSIG umfassend novelliert und der Kreis der verpflichteten Unternehmen deutlich erweitert.
Anlagen gegen die Schwellenwerte der BSI-KritisV abgleichen – auch bei Wachstum regelmäßig neu bewerten.
Kritische Dienstleistung und die dafür nötigen Systeme (inkl. OT) sauber abgrenzen.
Branchenspezifischen Sicherheitsstandard oder ISMS als Grundlage für den § 8a-Nachweis nutzen.
SIEM/IDS nach der BSI-Orientierungshilfe zur Angriffserkennung einführen und Reifegrad dokumentieren.
Penetrationstests und § 8a-Audits durch prüfende Stellen; Mängel mit Umsetzungsplan nacharbeiten.
Alle zwei Jahre Nachweisdokumente ans BSI übermitteln und Meldewege aktuell halten.
Bußgelder nach § 14 BSIG: je nach Verstoß bis zu 2 Mio. € (bei fehlenden Vorkehrungen oder Nachweisen), i. V. m. § 30 OWiG gegen Unternehmen bis zu 20 Mio. €. Mit der NIS2-Novelle steigen die Rahmen auf bis zu 10 Mio. € bzw. 2 % des weltweiten Umsatzes.
Penetrationstests sind fester Bestandteil der § 8a-Nachweisprüfung: Sie belegen den „Stand der Technik“ gegenüber prüfender Stelle und BSI – insbesondere für extern erreichbare Systeme und die Netztrennung zwischen IT und OT.
BSIG/KRITIS-Unterstützung von Sodu SecureAlle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).