IT-Sicherheitspflichten

BSI-Pflichten für Unternehmen: Wann gilt mein Betrieb als kritische Infrastruktur?

Nicht jedes kleine Unternehmen muss sich um die Vorgaben des Bundesamts für Sicherheit in der Informationstechnik sorgen, doch wer eine große Anlage betreibt oder wächst, sollte die Regeln kennen. Der Artikel erklärt, wann ein Betrieb als kritische Infrastruktur gilt und welche Pflichten dann greifen.

Was ist eigentlich eine kritische Infrastruktur?

Kritische Infrastrukturen sind Einrichtungen, deren Ausfall gravierende Folgen für die Versorgung der Bevölkerung oder die öffentliche Sicherheit hätte. Dazu zählen in Deutschland Bereiche wie Energie, Wasser, Ernährung, Gesundheit, Informationstechnik, Telekommunikation, Transport, Finanzwesen, Staat und Verwaltung sowie Medien und Kultur. Welche Anlagen konkret als kritisch gelten, legt die BSI-Kritisverordnung fest, kurz BSI-KritisV genannt. Für den einzelnen Betrieb ist entscheidend, ob eine seiner Anlagen unter diese Definition fällt, nicht die Größe des Unternehmens an sich.

Das IT-Sicherheitsgesetz und seine Rolle

Das IT-Sicherheitsgesetz, rechtlich verankert im BSI-Gesetz, verfolgt das Ziel, die Informationssicherheit in Deutschland zu erhöhen und digitale Infrastrukturen zu schützen. Es richtet sich vor allem an Betreiber kritischer Infrastrukturen sowie an Anbieter digitaler Dienste im Rahmen der europäischen NIS-Regelungen. Mit der Novelle IT-Sicherheitsgesetz 2.0 aus dem Jahr 2021 wurden das BSI-Gesetz überarbeitet und die KRITIS-Verordnung in einer neuen Fassung in Kraft gesetzt. Dabei wurden einige Schwellenwerte gesenkt, sodass mehr Betreiber unter die Regelung fallen als zuvor.

Wann gilt ein Betrieb als KRITIS-Betreiber?

Die KRITIS-Verordnung orientiert sich an der Grundüberlegung, dass eine Anlage als kritisch gilt, wenn sie mehr als 500.000 Personen versorgt. Aus diesem Regelwert leiten sich im Anhang der BSI-KritisV für jeden Sektor eigene, konkrete Schwellenwerte ab, etwa nach Leistung, Kapazität oder Nutzerzahl. Ein Unternehmen gilt als Betreiber einer kritischen Anlage, sobald es einen dieser sektorspezifischen Werte erreicht oder überschreitet. Entscheidend ist also nicht die Mitarbeiterzahl oder der Umsatz, sondern die technische oder wirtschaftliche Kapazität der jeweiligen Anlage. Die meisten klassischen Handwerks- und Handelsbetriebe erreichen solche Grenzen in der Praxis nicht.

Beispiele für Schwellenwerte aus der Verordnung

Die BSI-KritisV nennt für jeden Sektor konkrete Zahlen. Im Energiesektor gilt etwa für Stromerzeugungsanlagen ein Schwellenwert von 104, 0 oder 36 Megawatt Leistung je nach Anlagenart, für den Stromhandel liegt die Grenze bei 3.700 Gigawattstunden Jahresarbeit. In der Informationstechnik zählt ein Internet Exchange Point ab 100 angeschlossenen autonomen Systemen als kritisch, ein Rechenzentrum ab einer IT-Last von 3,5 Megawatt. Solche Werte zeigen, dass vor allem größere technische Infrastrukturen betroffen sind. Kleinere Cloud-, Hosting- oder Energiedienstleister sollten ihre Kennzahlen dennoch genau prüfen, da einzelne Schwellen durchaus erreichbar sind.

Registrierungspflicht beim BSI

Stellt ein Unternehmen fest, dass eine seiner Anlagen die Schwellenwerte erreicht, muss es sich unverzüglich beim BSI registrieren. Dies geschieht über das Melde- und Informationsportal, kurz MIP, das mindestens bis zum 31. Juli 2026 zur Verfügung steht. Zusätzlich ist seit dem 6. Januar 2026 eine Registrierung als besonders wichtige Einrichtung über das BSI-Portal mit dem sogenannten Mein Unternehmenskonto möglich. Betreiber müssen außerdem eine Kontaktstelle benennen, die rund um die Uhr erreichbar ist, damit das BSI im Ernstfall schnell Informationen austauschen kann.

Technische Maßnahmen und Angriffserkennung

Betreiber kritischer Anlagen müssen ihre IT-Systeme nach dem Stand der Technik absichern, um Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer Daten zu gewährleisten. Diese Pflicht ist in § 8a BSIG festgelegt und gilt bereits seit dem ersten IT-Sicherheitsgesetz von 2015, wurde mit der Fassung 2.0 aber konkretisiert. Seit dem 1. Mai 2023 müssen betroffene Unternehmen zusätzlich Systeme zur Erkennung von Angriffen einsetzen. Diese Systeme sollen Auffälligkeiten im Netzwerk frühzeitig erkennen und melden, bevor größerer Schaden entsteht, ihr Einsatz muss gegenüber dem BSI im Rahmen der Nachweise belegt werden.

Nachweispflichten und Fristen

Betreiber müssen dem BSI nach § 39 BSIG regelmäßig nachweisen, dass sie die Anforderungen an Risikomanagement und Angriffserkennung nach den §§ 30 und 31 BSIG erfüllen. Früher galt ein Prüfzyklus von zwei Jahren, mit der jüngsten Novelle des BSI-Gesetzes wurde dieser auf drei Jahre verlängert. Für neu betroffene Unternehmen gilt: Der erste Nachweis ist frühestens drei Jahre nach erstmaliger Einstufung als Betreiber einer kritischen Anlage zu erbringen, die genaue Frist teilt das BSI bei der Registrierung individuell mit. Wer diese Termine verpasst, riskiert Rückfragen und im schlimmsten Fall aufsichtsrechtliche Konsequenzen.

Was bei Verstößen droht

Verstöße gegen die Pflichten aus dem BSI-Gesetz können mit Bußgeldern geahndet werden. Gegen juristische Personen, also Unternehmen, sind nach § 14 Absatz 5 BSIG in Verbindung mit § 30 Absatz 2 Satz 3 des Ordnungswidrigkeitengesetzes Geldbußen bis zu 20 Millionen Euro möglich, etwa wenn Anordnungen des BSI zur Wiederherstellung der Sicherheit oder zur Gefahrenabwehr missachtet werden. Diese Höhe macht deutlich, dass der Gesetzgeber die Einhaltung der Vorgaben ernst nimmt, auch wenn solche Summen in der Praxis vor allem größere Betreiber betreffen dürften.

Warum auch Nicht-KRITIS-Betriebe aufhorchen sollten

Für viele kleine Unternehmen ist nicht die klassische KRITIS-Regelung entscheidend, sondern die europäische Richtlinie NIS-2 und ihre nationale Umsetzung im geplanten NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Deutschland hätte die Richtlinie bereits bis zum 17. Oktober 2024 umsetzen müssen, verspätet ist das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz aber am 6. Dezember 2025 in Kraft getreten. Betroffen sind Unternehmen, die bestimmte Schwellen bei Mitarbeiterzahl oder Umsatz überschreiten und in relevanten Sektoren tätig sind. Fachleute rechnen damit, dass sich die Zahl betroffener Unternehmen in Deutschland von rund 2.000 auf über 30.000 erhöht.

Praktische Einordnung für kleine Betriebe

Direkte Pflichten aus BSI-Gesetz und KRITIS-Verordnung treffen ein kleines Unternehmen nur, wenn es tatsächlich eine Anlage betreibt, die einen der sektorspezifischen Schwellenwerte erreicht, etwa im Rechenzentrums- oder Energiebereich. Für die überwiegende Mehrheit der Betriebe bleiben KritisV und IT-Sicherheitsgesetz zunächst ein Orientierungsrahmen für guten Stand der Technik. Verbindliche Pflichten entstehen für sie eher über NIS-2, die Datenschutzgrundverordnung oder branchenspezifische Vorgaben, etwa im Gesundheits- oder Finanzwesen. Wer unsicher ist, sollte die eigenen Kennzahlen mit den Schwellenwerten der Verordnung oder Ansprechpartnern bei der zuständigen IHK abgleichen.

Dieser Beitrag dient der allgemeinen Orientierung und ersetzt keine individuelle Beratung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.

Ersttermin

Ihre Fragen im persönlichen Gespräch klären

Lassen Sie Ihre betrieblichen Risikothemen in einem kostenlosen Ersttermin durch einen zugelassenen Kooperationspartner einordnen. Unverbindlich und persönlich.

Kostenlosen Ersttermin anfragen

Die Inhalte dienen der Orientierung. Die individuelle Beratung erfolgt durch zugelassene Kooperationspartner.