KRITIS: Kritische Infrastrukturen

Betreiber Kritischer Infrastrukturen (KRITIS) stehen vor wachsenden regulatorischen Anforderungen: Das KRITIS-Dachgesetz, die NIS-2-Richtlinie und die BSI-Kritisverordnung verschärfen die Pflichten rund um Informationssicherheit, Meldewege und Nachweisführung. Für IT-Leitung, CISO und Einkauf entscheidet ein belastbares Access-Management-Konzept darüber, ob sich diese Sicherheitsvorgaben im Alltag konsequent umsetzen lassen, ohne die operativen Abläufe zu verlangsamen. Dieser Beitrag ordnet ein, was KRITIS bedeutet, welche Sektoren und Betreiber betroffen sind und worauf es bei Meldepflicht, Schwachstellenmanagement und Nachweisführung ankommt.

KRITIS Definition und rechtlicher Rahmen

KRITIS steht für Kritische Infrastrukturen – Organisationen und Einrichtungen, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe oder Gefährdungen für die öffentliche Sicherheit nach sich ziehen würde. Der rechtliche Rahmen ergibt sich aus dem BSI-Gesetz (BSIG) in Verbindung mit der BSI-Kritisverordnung, die sektorspezifisch festlegt, ab welchen Schwellenwerten eine Anlage als kritisch gilt. Kern der Pflichten ist angemessene Informationssicherheit: KRITIS-Betreiber müssen organisatorische und technische Vorkehrungen treffen, um die Funktionsfähigkeit ihrer informationstechnischen Systeme dauerhaft zu gewährleisten.

KRITIS-Dachgesetz und NIS-2: Neue Anforderungen seit 2026

Mit dem KRITIS-Dachgesetz und dem NIS-2-Umsetzungsgesetz hat sich der regulatorische Rahmen für Betreiber kritischer Anlagen seit Ende 2025 spürbar erweitert. Registrierte KRITIS-Betreiber gelten künftig automatisch auch als „besonders wichtige Einrichtungen“ im Sinne der NIS-2-Richtlinie und müssen zusätzlich die Resilienzanforderungen des KRITIS-Dachgesetzes erfüllen. Gleichzeitig wächst der Kreis der regulierten Unternehmen: Auch bislang nicht erfasste Bereiche wie digitale Dienste rücken stärker in den Anwendungsbereich.

BSI-KritisV: Sektoren und Betreiber kritischer Infrastrukturen

Die KRITIS-Verordnung (BSI-KritisV) konkretisiert, welche Anlagenkategorien in den jeweiligen Sektoren als kritisch gelten und ab welchem Schwellenwert – etwa Versorgungsmenge oder Anzahl versorgter Personen – die Pflichten greifen. Zu den KRITIS-Sektoren zählen unter anderem Energie, Wasser, Ernährung, Transport und Verkehr, Finanzwesen, Informationstechnik und Telekommunikation sowie das Gesundheitswesen.

Nach Definition des BSI umfasst eine kritische Dienstleistung jede Versorgungsleistung in diesen Sektoren, deren Ausfall zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde (BSI: Kritische Infrastrukturen). Wer als KRITIS-Betreiber eingestuft wird, muss unter anderem eine jederzeit erreichbare Kontaktstelle benennen und regelmäßig Nachweise über die Umsetzung von Mindestsicherheitsstandards erbringen.

Meldepflicht und Nachweispflicht: Was KRITIS-Betreiber dokumentieren müssen

Neben der Meldepflicht für erhebliche IT-Sicherheitsvorfälle müssen KRITIS-Betreiber regelmäßig gegenüber dem BSI nachweisen, dass sie angemessene Sicherheitsmaßnahmen umgesetzt haben. In der Praxis bedeutet das: Zugriffe müssen nachvollziehbar protokolliert, Berechtigungen dokumentiert und im Ernstfall lückenlos rekonstruierbar sein. Genau hier setzen Access-Management-Lösungen an, die jede Anmeldung, jeden Zugriff und jede Rechteänderung revisionssicher festhalten – etwa über durchgängige Audit-Trails, die den Nachweis gegenüber Prüfern erheblich erleichtern.

Schwachstellenmanagement und Informationssicherheit als kontinuierliche Aufgabe

Informationssicherheit ist für KRITIS-Betreiber kein einmaliges Projekt, sondern ein fortlaufender Prozess. Ein strukturiertes Schwachstellenmanagement – von der Identifikation über die Bewertung bis zur Behebung von Sicherheitslücken – gehört ebenso dazu wie ein dokumentiertes Informationssicherheits-Managementsystem (ISMS). Viele KRITIS-Betreiber orientieren sich dabei an anerkannten Standards wie dem ISO-27001-Framework, um Risiken systematisch zu steuern und die Anforderungen aus BSIG, KRITIS-Verordnung und KRITIS-Dachgesetz konsistent abzubilden.

Wie Imprivata KRITIS-Betreiber bei der Informationssicherheit unterstützt

Imprivata unterstützt KRITIS-Betreiber dabei, Informationssicherheit und Arbeitsalltag in Einklang zu bringen. Passwortlose Authentifizierung, Single Sign-On und Multi-Faktor-Authentifizierung – auch offline oder im Remote-Zugriff – reduzieren Anmeldezeiten für Mitarbeitende und schließen gleichzeitig klassische Angriffsflächen wie schwache oder geteilte Passwörter.

Durch die native Integration mit bestehenden IT-Landschaften lässt sich Access Management einbetten, ohne etablierte Arbeitsabläufe zu unterbrechen. Für IT-Leitung und CISO entsteht so eine auditfähige, NIS-2-konforme Grundlage, die Meldepflicht und Nachweispflicht spürbar entlastet – bei gleichzeitig höherer Benutzerfreundlichkeit für die Belegschaft.

KRITIS-Konformität beginnt beim Zugriff

KRITIS, KRITIS-Dachgesetz und NIS-2 verschärfen die Anforderungen an Informationssicherheit, Meldepflicht und Nachweisführung branchenübergreifend. Wer Zugriffe auf kritische Systeme zentral steuert und lückenlos dokumentiert, schafft die Grundlage für nachhaltige KRITIS-Konformität – ohne die operativen Abläufe zu belasten.