Mit dem am 26. Mai 2026 veröffentlichten Referentenentwurf der neuen KRITIS-Verordnung (KritisV) konkretisiert das Bundesministerium des Innern die Vorgaben des bereits im März 2026 in Kraft getretenen KRITIS-Dachgesetzes.

Die Verordnung legt fest, welche Anlagen künftig als kritische Infrastruktur gelten und damit besonderen Anforderungen an Resilienz und Sicherheit unterliegen.

Was ändert sich?

Die Einstufung erfolgt künftig anhand klar definierter Sektoren, Dienstleistungen, Anlagenkategorien und Schwellenwerte. Häufig ist dabei entscheidend, ob eine Anlage zur Versorgung von mindestens 500.000 Menschen beiträgt.

Neu ist außerdem die stärkere Verzahnung mit dem BSI-Gesetz: Betreiber kritischer Anlagen gelten künftig automatisch als „besonders wichtige Einrichtungen“ und unterliegen damit zusätzlichen Anforderungen im Bereich der Cybersicherheit.

Wer ist betroffen?

Der Entwurf erweitert den bisherigen Anwendungsbereich deutlich. Neu berücksichtigt werden unter anderem:

✅ Weitere Anlagen im Energiesektor
✅ Zusätzliche Einrichtungen im Gesundheitswesen
✅ Anlagen im Finanzsektor
✅ Weltraum-Infrastrukturen
✅ Weitere kritische Dienstleistungen und Anlagenkategorien

Dadurch könnten künftig sowohl Unternehmen als auch öffentliche Einrichtungen und Verwaltungen betroffen sein, die bislang nicht unter die KRITIS-Regelungen fielen.

Was sollten Unternehmen und Verwaltungen jetzt tun?

Auch wenn die Verordnung noch nicht endgültig beschlossen ist, empfiehlt es sich, bereits jetzt die eigene Betroffenheit zu prüfen.

Besonders wichtig sind dabei folgende Schritte:

✅ Prüfen, ob die Organisation künftig als Betreiber einer kritischen Anlage eingestuft werden könnte.
✅ Die gesetzlich vorgesehene Registrierung frühzeitig vorbereiten.
✅ Bestehende Resilienz- und Sicherheitsmaßnahmen überprüfen.
✅ Risikomanagement sowie physische und organisatorische Sicherheitsmaßnahmen an die neuen Anforderungen anpassen.

Fazit

Mit der neuen KRITIS-Verordnung wird der Kreis der betroffenen Organisationen voraussichtlich erweitert. Unternehmen und Verwaltungen sollten sich daher frühzeitig mit den neuen Anforderungen auseinandersetzen.

Wer bereits jetzt die eigene Betroffenheit prüft und notwendige Maßnahmen vorbereitet, schafft die Grundlage für eine rechtskonforme Umsetzung und stärkt gleichzeitig die Resilienz der eigenen Organisation.