Praxisorientierte Einordnung zu KRITIS-Betroffenheit prüfen: Kriterien und nächste Schritte für Betreiber: Anforderungen verstehen, Risiken priorisieren und eine belastbare Umsetzung für KRITIS aufbauen.
Ob ein Unternehmen als Betreiber einer kritischen Anlage gilt, lässt sich nicht allein aus Branche, Umsatz oder Mitarbeiterzahl ableiten. Entscheidend ist, ob ein konkreter Rechtsträger eine in der geltenden Verordnung definierte Anlagenkategorie betreibt und den zugehörigen Schwellenwert erreicht oder überschreitet. Zusätzlich muss unabhängig davon geprüft werden, ob das Unternehmen nach dem BSI-Gesetz als besonders wichtige oder wichtige Einrichtung gilt.
Seit dem Inkrafttreten des neuen BSI-Gesetzes und des KRITIS-Dachgesetzes ist diese Doppelprüfung besonders wichtig. Die BSI-Kritisverordnung wurde 2026 aktualisiert, soll aber mit Inkrafttreten der neuen Rechtsverordnung nach KRITIS-Dachgesetz außer Kraft treten. Eine Betroffenheitsakte muss deshalb neben der fachlichen Berechnung auch Versionsstand, Stichtag und Rechtsmonitoring enthalten.
Warum die Betroffenheitsprüfung zwei Ergebnisse benötigt
Das erste Ergebnis lautet: Betreibt der Rechtsträger eine kritische Anlage? Dafür sind Anlagenkategorie, kritische Dienstleistung und Schwellenwert maßgeblich. Betreiber kritischer Anlagen gelten nach § 28 BSIG zugleich als besonders wichtige Einrichtungen und unterliegen zusätzlichen Anforderungen.
Das zweite Ergebnis lautet: Ist der Rechtsträger unabhängig von einer kritischen Anlage als besonders wichtige oder wichtige Einrichtung erfasst? Hierfür kombiniert das BSI-Gesetz Einrichtungsarten aus den Anlagen 1 und 2 mit Größenmerkmalen und Sondertatbeständen. Ein Unternehmen unterhalb eines KRITIS-Schwellenwerts kann somit dennoch NIS2-reguliert sein.
Schritt 1: Den richtigen Rechtsträger bestimmen
In Konzernen betreibt nicht zwingend die Muttergesellschaft die technische Anlage. Betreiber kann eine Tochter, Zweckgesellschaft, kommunale Gesellschaft oder gemeinschaftliche Organisation sein. Verträge, Genehmigungen, Eigentum, Betriebsführung und tatsächliche Entscheidungsgewalt liefern Hinweise auf die Verantwortlichkeit.
Die Prüfung dokumentiert Firma, Rechtsform, Sitz, Registerdaten, Beteiligungsverhältnisse und Betreiberrolle. Zentral bereitgestellte IT-, Personal- oder Sicherheitsleistungen werden als Abhängigkeiten erfasst, aber nicht vorschnell dem falschen Rechtsträger zugerechnet. Bei geteilter Betriebsführung ist die Verantwortung juristisch und operativ zu klären.
Schritt 2: Tätigkeiten den Sektoren zuordnen
Die derzeitige BSI-Kritisverordnung enthält Anhänge für Energie, Wasser, Ernährung, Informationstechnik und Telekommunikation, Gesundheit, Finanzwesen, Transport und Verkehr, Siedlungsabfallentsorgung sowie Leistungen der Sozialversicherung und Grundsicherung. Nicht der allgemeine Unternehmenszweck, sondern die tatsächlich erbrachte kritische Dienstleistung ist entscheidend.
Ein Industrieunternehmen kann beispielsweise neben seiner Produktion eine Energieanlage betreiben. Ein IT-Unternehmen kann Hosting, Rechenzentrums- oder Vertrauensdienste erbringen. Jede relevante Tätigkeit wird deshalb separat geprüft. Eine Negativentscheidung nur anhand des primären Branchencodes ist nicht belastbar.
Schritt 3: Die genaue Anlagenkategorie finden
Jeder Verordnungsanhang definiert Anlagenkategorien und häufig zusätzliche Begriffe. Im Sektor Wasser werden etwa Gewinnungsanlage, Wasserwerk, Verteilungssystem, Kanalisation, Kläranlage und Leitzentrale unterschieden. Im ITK-Sektor existieren Kategorien für Zugangsnetze, Übertragungsnetze, DNS, Rechenzentren, Serverfarmen und weitere Dienste.
Die reale technische Einheit wird mit Wortlaut und sektorspezifischen Definitionen abgeglichen. Eine interne Bezeichnung wie „Plattform“ oder „Standort“ sagt wenig aus. Architektur, Prozessbeschreibung und Betriebsverantwortung müssen zeigen, welcher gesetzlichen Kategorie die Einheit entspricht.
Schritt 4: Zusammenzurechnende Anlagen erkennen
Die Verordnung enthält je nach Sektor Regeln für Anlagen, die in engem betrieblichen Zusammenhang stehen. Kriterien können gemeinsames Gelände, gemeinsame Betriebseinrichtungen, vergleichbarer oder identischer technischer Zweck und gemeinsame Leitung sein. Dadurch kann eine Gruppe einzeln kleiner Anlagen gemeinsam den Schwellenwert erreichen.
Die Berechnung erfasst deshalb nicht nur einzelne Inventarnummern. Sie untersucht technische Kopplung, Leitstellen, gemeinsame Ressourcen, Organisation und Standort. Die Entscheidung über Aggregation wird begründet; Diagramme und Verantwortungsmatrizen machen sie später nachvollziehbar.
Schritt 5: Das richtige Bemessungskriterium verwenden
Schwellenwerte beruhen auf sehr unterschiedlichen Größen: Wassermenge, angeschlossene Einwohner, stationäre Fallzahl, produzierte Menge, Teilnehmeranschlüsse, Rechenzentrumsleistung, Serverinstanzen oder abgewickelte Transaktionen. Ein ungeeigneter interner KPI kann zu einem falschen Ergebnis führen.
Für jede Kategorie werden Einheit, Messpunkt, Zeitraum und Datenquelle exakt aus der aktuellen Verordnung übernommen. Umrechnungen und Schätzungen sind nachvollziehbar zu dokumentieren. Wenn die Verordnung eine spezielle Formel oder pauschalierte Berechnung anbietet, wird genau diese Methodik verwendet.
Schritt 6: Verlässliche Betriebsdaten beschaffen
Finanzberichte oder Management-Dashboards enthalten nicht immer die regulatorisch benötigte Größe. Die Prüfung bindet Betrieb, Controlling, Technik, Abrechnung und gegebenenfalls externe Betreiber ein. Rohdaten, Auswertelogik und Plausibilisierung werden gespeichert, ohne unnötige sensible Daten zu vervielfältigen.
Bei variierenden Leistungen wird der in der Verordnung definierte Bezugszeitraum angewendet. Jahresdurchschnitte, Kalenderjahreswerte und Stichtagsgrößen dürfen nicht vermischt werden. Fehlende Daten werden als Unsicherheit markiert und mit einem konservativen Szenario ergänzt.
Schritt 7: Schwellenwert und Nähe zur Schwelle bewerten
Erreicht oder überschreitet die Anlage den Schwellenwert, liegt grundsätzlich eine kritische Anlage im Sinne der einschlägigen Regelung vor. Das Ergebnis sollte den exakten berechneten Wert, den gesetzlichen Schwellenwert und die Differenz ausweisen.
Liegt die Anlage knapp darunter, endet die Arbeit nicht. Wachstum, Übernahmen, technische Konsolidierung oder geänderte Berechnung können die Einstufung kurzfristig verändern. Ein Frühwarnwert und regelmäßige Messung verhindern, dass die Registrierung erst lange nach Überschreitung beginnt.
Schritt 8: Stichtage und Übergangsrecht beachten
Die BSI-Kritisverordnung verweist auf die künftige Rechtsverordnung nach dem KRITIS-Dachgesetz und tritt mit deren Inkrafttreten außer Kraft. Gleichzeitig bestehen Übergangsregeln für bisherige KRITIS-Betreiber und ihre Nachweisfristen. Eine statische Vorlage ohne Rechtsstand kann deshalb schnell veraltet sein.
Jede Betroffenheitsentscheidung nennt Prüfdatum, verwendete Gesetzesfassung, Verordnungsanhang und zugrunde liegendes Geschäftsjahr. Ein Rechtsmonitor beobachtet Bundesgesetzblatt, BSI und BBK. Bei Inkrafttreten neuer Schwellenwerte wird die Analyse gezielt neu gerechnet.
Schritt 9: Sonderbestimmung unterhalb von Schwellen prüfen
Das KRITIS-Dachgesetz ermöglicht in bestimmten Konstellationen die Bestimmung von Betreibern beziehungsweise Anlagen auch außerhalb allgemeiner Schwellenlogik. Ebenso kennt das BSI-Gesetz Sondertatbestände bei Einrichtungsarten. Deshalb darf „unter Schwelle“ nicht automatisch als endgültiges „nicht reguliert“ verstanden werden.
Die Prüfung erfasst individuelle Bescheide, sektorale Aufsicht, besondere Bedeutung, grenzüberschreitende Bezüge und andere spezialgesetzliche Regelungen. Offene Punkte werden mit zuständigen Stellen oder qualifizierter Rechtsberatung geklärt. Die fachliche Berechnung bleibt davon getrennt dokumentiert.
Schritt 10: NIS2-Einrichtungsart bestimmen
Anlagen 1 und 2 des BSI-Gesetzes listen Einrichtungsarten, die aus der NIS2-Systematik übernommen wurden. Der Rechtsträger wird anhand seiner entgeltlich angebotenen Waren oder Dienstleistungen und nicht nur anhand eines Registergegenstands zugeordnet. Mehrere Tätigkeiten können parallel einschlägig sein.
Für jede Einrichtungsart werden Leistungsbeschreibung, Kundenkreis, geografischer Bezug und operative Einheit belegt. Abgrenzungsfragen, etwa zwischen Managed Service Provider, Cloud-Dienst und interner IT, werden anhand der gesetzlichen Definitionen entschieden.
Schritt 11: Größenkriterien korrekt berechnen
Für viele Einrichtungsarten sind Mitarbeiterzahl, Jahresumsatz und Jahresbilanzsumme relevant. § 28 unterscheidet besonders wichtige und wichtige Einrichtungen und enthält konkrete Schwellenkombinationen. Verbund- und Partnerunternehmen können die Berechnung beeinflussen; die jeweils einschlägigen Regeln sind sauber anzuwenden.
Personal, Finance und Legal dokumentieren Berechnungsstichtag, Vollzeitäquivalente beziehungsweise maßgebliche Beschäftigtenzahl, Abschlüsse und Konzernbeziehungen. Ein Überschreiten nur einer Größenkomponente kann je nach gesetzlicher Verknüpfung anders wirken als die Kombination mehrerer Werte.
Schritt 12: Sektorspezifische Ausnahmen und Aufsicht prüfen
Telekommunikation, Energie, Finanzwesen und weitere Bereiche können spezialgesetzlichen Pflichten und anderen Aufsichtsbehörden unterliegen. Das BSI-Gesetz enthält Ausnahmen und Abgrenzungen, damit Anforderungen nicht widersprüchlich doppelt angewendet werden. Diese Regelungen beziehen sich teilweise nur auf bestimmte Anlagen oder Tätigkeiten.
Die Betroffenheitsmatrix nennt deshalb je Verpflichtung die zuständige Behörde und Rechtsgrundlage. Eine sektorale Ausnahme von einzelnen BSIG-Paragrafen ist kein pauschaler Ausschluss sämtlicher Cyber- oder KRITIS-Pflichten.
Schritt 13: Ergebnis in einer Entscheidungsmatrix festhalten
Eine gute Matrix trennt Rechtsträger, Tätigkeit, Sektor, Anlagenkategorie, Bemessungswert, Schwellenwert, Betreiberstatus, NIS2-Einrichtungsart, Größenklasse und Sonderregel. Jede Zeile verweist auf Datenquelle und Verantwortlichen. Unsicherheiten erhalten eine konkrete Klärungsmaßnahme.
Das Management erhält daraus eine verständliche Zusammenfassung mit drei Kategorien: betroffen, derzeit nicht betroffen oder klärungsbedürftig. Der Anhang enthält die fachlichen Details. So bleibt die Entscheidung revisionsfähig, ohne die Leitung mit Rohdaten zu überlasten.
Welche Beispiele die Schwellenlogik zeigen
Ein Wasserwerk wird anhand der jährlich aufbereiteten Trinkwassermenge bewertet; die aktuelle Verordnung nennt für diese Kategorie 22 Millionen Kubikmeter pro Jahr. Eine Kläranlage wird dagegen anhand ihrer Ausbaugröße in Einwohnerwerten beurteilt. Gleicher Sektor bedeutet also nicht gleiches Bemessungskriterium.
Ein Rechenzentrum im Housing-Modell wird über vertraglich vereinbarte Leistung in Megawatt betrachtet, während eine Hosting-Serverfarm physische und virtuelle Instanzen im Jahresdurchschnitt zählt. Die richtige Kategorie entscheidet über Datenquelle und Ergebnis.
Was nach positiver KRITIS-Einstufung sofort folgt
Der Betreiber etabliert die erforderliche Registrierung und hält Kontaktdaten aktuell. Er bestimmt die für die kritische Anlage maßgeblichen Systeme, Komponenten und Prozesse, setzt die Risikomanagementmaßnahmen aus §§ 30 und 31 um und integriert Systeme zur Angriffserkennung. Geschäftsleitung und Meldeprozess werden vorbereitet.
Parallel wird die Nachweisfrist nach § 39 ermittelt. Für bisherige KRITIS-Betreiber sind Übergangsregeln zum letzten Nachweis nach altem Recht zu berücksichtigen. Ein Projektplan ordnet jede Pflicht einem Eigentümer und einem belastbaren Nachweis zu.
Was nach positiver NIS2-Einstufung folgt
Besonders wichtige oder wichtige Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten registrieren, Risikomanagementmaßnahmen umsetzen, erhebliche Sicherheitsvorfälle nach dem mehrstufigen Verfahren melden und Geschäftsleitungsanforderungen erfüllen. Der genaue Start einzelner operativer Pflichten hängt von gesetzlichen Übergängen und eingerichteten Meldewegen ab.
Betreibt die Einrichtung zusätzlich eine kritische Anlage, werden die KRITIS-spezifischen höheren Anforderungen und Nachweise ergänzt. Ein gemeinsames Programm verhindert doppelte Policies, trennt aber die unterschiedlichen Scopes und Nachweispflichten.
Was bei einem negativen Ergebnis zu tun ist
Ein negatives Ergebnis wird ebenfalls dokumentiert. Die Akte enthält geprüfte Kategorien, Werte, Annahmen und Gründe. Sie definiert Trigger für eine Neubewertung: organisches Wachstum, Akquisition, neue Dienstleistung, Anlagenzusammenlegung, geänderte Verordnung oder individueller Behördenkontakt.
Mindestens jährlich oder passend zum Bemessungszeitraum werden die relevanten Kennzahlen aktualisiert. Laut BSI-Schulungsleitfaden sollen Schwellenwerte in vielen Fällen jährlich bis Ende März nachvollziehbar ermittelt werden. Das Unternehmen plant den internen Datenabruf entsprechend früh.
Eine kompakte Prüfreihenfolge
- Alle potenziell betroffenen Rechtsträger und Betreiberrollen erfassen.
- Tätigkeiten den KRITIS-Sektoren und NIS2-Einrichtungsarten zuordnen.
- Anlagenkategorie, enge betriebliche Zusammenhänge und Bemessungskriterium bestimmen.
- Aktuelle Betriebsdaten beschaffen, Schwellenwert rechnen und Rechtsstand dokumentieren.
- NIS2-Größenkriterien, Sonderfälle, Ausnahmen und sektorale Aufsicht separat prüfen.
- Ergebnis genehmigen, registrieren beziehungsweise Wiedervorlage und Trigger festlegen.
Typische Fehler in Betroffenheitsanalysen
Häufig werden Mitarbeitergrenzen auf kritische Anlagen angewendet oder KRITIS-Schwellenwerte mit NIS2-Größenkriterien vermischt. Ebenso kritisch sind veraltete Anhänge, unklare Betreiberrollen, fehlende Zusammenrechnung verbundener Anlagen und ungeprüfte Schätzwerte.
Ein weiterer Fehler ist die Analyse nur auf Konzernebene. Pflichten treffen konkrete Rechtsträger und Anlagen. Gemeinsame Kontrollen können zentral erbracht werden, die regulatorische Verantwortung und Registrierung müssen dennoch korrekt zugeordnet bleiben.
Fazit: Betroffenheit ist eine wiederkehrende Messung
Eine verlässliche KRITIS-Betroffenheitsprüfung verbindet Recht, Technik und belastbare Betriebsdaten. Sie trennt kritische Anlage und NIS2-Einrichtungsstatus, dokumentiert den geltenden Rechtsstand und berücksichtigt Schwellenwertnähe sowie bevorstehende Verordnungsänderungen.
BlackMount unterstützt Unternehmen beim KRITIS-Betroffenheitscheck, bei der Berechnung sektoraler Schwellenwerte und bei der Überführung eines positiven Ergebnisses in Registrierung, Sicherheitsprogramm und Nachweisplanung.
