KRITIS Beratung: Pflichten für Betreiber kritischer Anlagen nach BSIG und KRITIS-Dachgesetz

Was Betreiber kritischer Anlagen nach BSI-Gesetz und KRITIS-Dachgesetz tun müssen, welche Fristen gelten und wo der Rechtsrahmen noch offen ist.

Betreiber kritischer Anlagen unterliegen zwei Gesetzen: dem BSI-Gesetz (BSIG) für die IT-Sicherheit und dem seit dem 17. März 2026 geltenden KRITIS-Dachgesetz für die physische Resilienz. Die Süddeutsche Datenschutzgesellschaft mbH (SDG) unterstützt Sie bei beidem, von der Betroffenheitsprüfung über die Nachweisprüfung nach § 39 BSIG bis zum Resilienzplan.

Nach dem BSIG gelten Betreiber kritischer Anlagen unabhängig von ihrer Größe als besonders wichtige Einrichtungen. Zusätzlich zu den allgemeinen NIS2-Pflichten brauchen sie Systeme zur Angriffserkennung und müssen die Umsetzung alle drei Jahre gegenüber dem BSI nachweisen. Das KRITIS-Dachgesetz verlangt Registrierung, Risikoanalyse, Resilienzplan und die Meldung von Vorfällen an das BBK. Welche Pflichten wann greifen, erläutert unser Beitrag zum KRITIS-Dachgesetz.

Der Rechtsrahmen ist noch im Übergang. Welche Anlagen kritisch sind, soll eine gemeinsame Rechtsverordnung für BSIG und KRITIS-Dachgesetz festlegen, die bei Redaktionsschluss erst als Entwurf vorlag. Bis dahin gilt für das BSIG die bisherige BSI-KritisV fort. Wer heute danach Betreiber ist, hat die Pflichten nach dem BSIG also bereits jetzt.

So unterstützen wir Betreiber kritischer Anlagen

Wir beraten und unterstützen Sie bei der Umsetzung, für die IT-Sicherheit ebenso wie für die physische Resilienz.

IT-Sicherheit nach BSIG

  • Betroffenheitsprüfung nach BSI-KritisV und, sobald verfügbar, nach der neuen Verordnung
  • Gap-Analyse gegen §§ 30 und 31 BSIG
  • ISMS nach ISO 27001 als Grundlage für Ihre Nachweise, mit einem Geltungsbereich, der von Anfang an sauber definiert ist
  • Systeme zur Angriffserkennung: Konzept, Anforderungen an Ihre Dienstleister und Vorfallprozesse
  • Vorbereitung der Nachweisprüfung nach § 39 BSIG, etwa mit einem Friendly Audit als Generalprobe

Physische Resilienz nach KRITIS-Dachgesetz

  • Registrierung über die gemeinsame Registrierungsmöglichkeit von BSI und BBK
  • Risikoanalyse und Risikobewertung nach § 12 KRITIS-DachG
  • Resilienzmaßnahmen und Resilienzplan nach § 13 KRITIS-DachG
  • Meldeprozess für Vorfälle nach § 18 KRITIS-DachG
  • Business Continuity Management durch zertifizierte BC-Beauftragte

Beide Säulen verzahnen wir: eine gemeinsame Risikoanalyse, ein Notfall- und Krisenmanagement und ein Meldeprozess für BSIG und KRITIS-Dachgesetz. Das erspart Ihnen doppelte Arbeit. Dauerhaft empfehlen wir einen externen Informationssicherheitsbeauftragten (ISB): Das Gesetz nennt ihn meist nicht beim Namen, verlangt aber eine verantwortliche Steuerung, die ohne ISB nicht zu leisten ist. Für Ihre Geschäftsleitung bieten wir Schulungen nach § 38 Abs. 3 BSIG an.

  1. Erstgespräch Wir klären kostenfrei Ihre Ausgangslage, Ihre Anlagen und die nächsten Schritte.
  2. Betroffenheit und Geltungsbereich Juristen und IT-Spezialisten aus unserem Team prüfen, ob und mit welchen Anlagen Sie erfasst sind, und grenzen den Geltungsbereich ab.
  3. Gap-Analyse Wir vergleichen Ihren Ist-Stand mit den Anforderungen aus BSIG und KRITIS-Dachgesetz. Danach erhalten Sie eine seriöse Aufwandsschätzung.
  4. Umsetzung und Nachweis Wir begleiten Sie beim Aufbau von ISMS, Resilienzplan und Meldeprozessen und bereiten Sie auf die Nachweisprüfung vor.

Warum die SDG

Technik und Recht aus einer Hand

  • Juristen im eigenen TeamOb Ihre Anlagen kritisch sind, prüfen Juristen und IT-Spezialisten gemeinsam. Rechtliche Einordnung und technische Umsetzung fallen nicht auseinander.
  • IT-Sicherheit und Resilienz zusammenWir beraten zum BSIG und zum KRITIS-Dachgesetz und verzahnen beides, statt zwei getrennte Projekte aufzusetzen.
  • Erfahrung aus der PraxisWir haben mehrere hundert Audits bei kleinen und mittleren Unternehmen durchgeführt und kennen die typischen Lücken.

Die Beratung zu KRITIS verantwortet Sebastian Baier, Leiter Informationssicherheit, zertifizierter IT-Sicherheitsbeauftragter und BCM-Beauftragter. Wir beraten von Regensburg aus in ganz Deutschland und international.

Wissen

KRITIS im Detail

Fristen, Nachweise und Anforderungen des BSI erklären wir ausführlich in unserem Blog.

KRITIS-Dachgesetz

Pflichten, Fristen und Resilienzplan für Betreiber kritischer Anlagen.

KRITIS und NIS2

Der Unterschied zwischen kritischen Anlagen und wichtigen Einrichtungen.

Netzstrukturplan

Anforderungen an den Netzstrukturplan im KRITIS-Nachweis.

Häufige Fragen zur KRITIS-Beratung

Sollten wir mit der Vorbereitung warten, bis die KRITIS-Verordnung gilt?

Nein. Wer heute die Schwellenwerte der BSI-KritisV erreicht, hat die Pflichten nach dem BSIG bereits jetzt. Und nach Inkrafttreten der neuen Verordnung bleiben bis zum Resilienzplan nach dem KRITIS-Dachgesetz nur rund 13 Monate. Betroffenheit, Risikoanalyse und Notfallmanagement sollten Sie deshalb jetzt angehen.

Was kostet die KRITIS-Beratung der SDG?

Das hängt vor allem von Ihren Anlagen, vom Geltungsbereich und vom Stand Ihrer Informationssicherheit ab. Pauschalpreise nennen wir deshalb nicht. Nach einem kostenfreien Erstgespräch und in der Regel einer Gap-Analyse erhalten Sie eine seriöse Aufwandsschätzung.

Betreibt die SDG Systeme zur Angriffserkennung oder ein SOC?

Nein. Wir betreiben kein SOC und kein Monitoring. Wir beraten Sie zu den Anforderungen, erstellen mit Ihnen das Konzept, formulieren die Anforderungen an Ihre Dienstleister, etablieren die Vorfallprozesse und bereiten den Nachweis vor.

Wie bereitet die SDG uns auf die Nachweisprüfung nach § 39 BSIG vor?

Wir prüfen, ob Geltungsbereich, Dokumentation und Maßnahmen die Anforderungen erfüllen, und schließen die Lücken mit Ihnen. Ein Friendly Audit dient als Generalprobe, damit Sie vorbereitet in die eigentliche Prüfung gehen.

Berät die SDG auch zur physischen Resilienz?

Ja. Neben der IT-Sicherheit nach dem BSIG beraten wir zu den Pflichten nach dem KRITIS-Dachgesetz: Registrierung, Risikoanalyse, Resilienzplan und Meldeprozess. Unser Business Continuity Management liegt in den Händen zertifizierter BC-Beauftragter.

Hinweis: Diese Seite dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Der Rechtsrahmen für KRITIS ist im Übergang.