Was sind Kritische Infrastrukturen (KRITIS) und warum sind sie so schützenswert?

Das Wichtigste in Kürze 

• Kritische Infrastrukturen sichern die Grundversorgung von Gesellschaft, Wirtschaft und Staat: Von Energie und Wasser bis hin zu Gesundheitswesen und Telekommunikation.  

• Bedrohungslage spitzt sich zu: Cyberangriffe, Naturkatastrophen und geopolitische Konflikte stellen KRITIS-Betreiber vor wachsende Herausforderungen. 

• Resilienz als Schlüsselfaktor: Neben Prävention rückt die effiziente Reaktion auf Krisen sowie die Wiederherstellung kritischer Dienste in den Fokus. 

• Regulatorische Anforderungen steigen: Nationale und europäische Vorgaben wie das BSI-Gesetz, die KRITIS-Verordnung sowie das RKEG erhöhen die Sicherheitsanforderungen. 

• Zusammenarbeit ist entscheidend: Ein wirksamer Schutz Kritischer Infrastrukturen erfordert die enge Kooperation von Staat, Wirtschaft und Sicherheitsorganisationen. 

Einführung in die Welt der KRITIS 

Die Digitalisierung durchdringt sämtliche Bereiche unseres Lebens und macht zugleich unsere Gesellschaft verwundbarer. Die Vergangenheit hat gezeigt: weitreichende Stromausfälle, Cyberangriffe auf Seehäfen usw. haben über Wochen hinweg logistische Ketten beeinträchtigt und wirtschaftliche Schäden verursacht. Solche Vorfälle zeigen: Kritische Infrastrukturen (KRITIS) sind längst ins Visier von Cyberkriminellen und geopolitischen Akteuren geraten.  

Gemäß § 2 Absatz 10 des Gesetz über das Bundesamt für Sicherheit in der Informationstechnik“ (BSI-Gesetz – BSIG) sind KRITIS „Einrichtungen, Anlagen oder Teile davon, die den Sektoren Energie, Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser, Ernährung, Finanz- und Versicherungswesen sowie Siedlungsabfallentsorgung angehören und von hoher Bedeutung für das Funktionieren des Gemeinwesens sind“. Ihr Ausfall oder ihre Beeinträchtigung kann die Versorgungssicherheit, Beschädigung systemrelevanter Infrastruktur oder Gefährdungen der öffentlichen Sicherheit nach sich ziehen. 

Vor diesem Hintergrund gewinnt der Schutz von KRITIS zunehmend an Relevanz – technisch, organisatorisch und regulatorisch.

Was sind Kritische Infrastrukturen?

Das Bundesministerium für Inneres (BMI) definiert die Kritischen Infrastrukturen (KRITIS) als eine Organisation oder Einrichtung mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.

KRITIS umfasst somit alle Anlagen, Systeme oder Einrichtungen der Daseinsvorsorge, deren Ausfall oder Beeinträchtigung eine tiefgreifende Auswirkung auf Versorgungssicherheit, öffentliche Sicherheit, sowie Funktion von Staat, Wirtschaft oder Gesellschaft haben.

Historischer Hintergrund

Die Bedeutung des Schutzes Kritischer Infrastrukturen entwickelte sich insbesondere ab den 1990er-Jahren. Einen ersten Wendepunkt markierte die zunehmende Digitalisierung, durch die kritische Systeme stärker vernetzt und damit anfälliger für Cyberangriffe wurden. Einen weiteren Impuls lieferten die Terroranschläge vom 11. September 2001, die weltweit das Bewusstsein für die Verwundbarkeit lebenswichtiger Versorgungsstrukturen schärften. Seither hat sich der KRITIS-Schutz von einem Nischenthema zu einem zentralen Bestandteil nationaler Sicherheits- und Resilienzstrategien entwickelt.

Technische Basisinfrastrukturen vs. sozioökonomische Infrastrukturen

Kritische Infrastrukturen lassen sich grundsätzlich in zwei Kategorien einteilen: (1) technische Basisinfrastrukturen und (2) sozioökonomische Infrastrukturen:

1.      Technische Basisinfrastrukturen

Technische Basisinfrastrukturen bilden die physische und digitale Grundlage des gesellschaftlichen Lebens. Hierzu zählen insbesondere Energieversorgung, Wasserwirtschaft, Informationsinfrastrukturen, Telekommunikation sowie Transport- und Verkehrsnetze. Ihr störungsfreier Betrieb ist Voraussetzung für die Funktionsfähigkeit nahezu aller weiteren Bereiche.

2.      Sozioökonomische Infrastrukturen

Sozioökonomische Infrastrukturen gewährleisten hingegen zentrale Leistungen der Daseinsvorsorge. Dazu gehören unter anderem das Gesundheitswesen, das Finanz- und Versicherungswesen, Staat und Verwaltung, Ernährung sowie Medien und Kultur. Sie sichern die gesellschaftliche Stabilität und tragen wesentlich zum Schutz von Bevölkerung und Wirtschaft bei.

Die 9 Sektoren der KRITIS im Überblick

Basierend auf öffentlich zugänglichen Daten und den Kriterien der BSI-Kritisverordnung (Umsatz, Mitarbeiter:innenzahl, Systemrelevanz, etc.) zeigt die folgende Übersicht, wie viele Unternehmen in Deutschland je Sektor als Betreiber Kritischer Infrastrukturen potenziell relevant sind. Im Allgemeinen unterscheidet man zwischen folgenden 9 Sektoren:

• Energie: 26 % (umfasst etwa Stromnetze, Gasspeicher, Kraftwerke und Fernwärmesysteme)
• Siedlungsabfallentsorgung: 20 %
• Gesundheit: 19 %
• Transport und Verkehr: 8 %
• Wasser: 7 %
• IT und Telekommunikation: 6 % (umfasst Rechenzentren, Cloud-Infrastrukturen und Telekommunikationsnetze)
• Ernährung: 5 %
• Finanzwesen: 5 %
• Sozialversicherung und Grundsicherung: 4 %

(Quelle: BSI – Historie Anzahl KRITIS-Betreiber nach Sektoren; Stand 31.03.2026)

Wichtig: Mit der nationalen Umsetzung der EU-Richtlinien ist nun festgelegt, dass nicht nur die Größe eines Unternehmens, sondern vor allem dessen Relevanz für die Aufrechterhaltung der Versorgungslage eine Rolle spielen.

Gesetzliche Pflichten für Betreibende von KRITIS Anlagen

Betreibende kritischer Infrastrukturen tragen eine besondere Verantwortung für den Schutz und die Absicherung der Dienstleistungen und unterliegen somit auch erhöhten regulatorischen Anforderungen, wie etwa Meldepflichten bei Sicherheitsvorfällen. Unternehmen müssen dabei technische, organisatorische und prozessuale Sicherheitsvorkehrungen umsetzen und nachweisen können, deren Wirksamkeit regelmäßig überprüft wird.

In Deutschland und Österreich unterscheiden sich die konkreten regulatorischen Anforderungen, sowie deren zuständige Aufsichtsbehörden, basieren allerdings auf denselben EU-weit regulierten Vorgaben, wie etwa NIS2.

Die Bedrohungslage: Warum KRITIS so gefährdet sind

Die Gefährdung kritischer Infrastrukturen resultiert aus unterschiedlichen technischen, natürlichen und menschlichen Einflussfaktoren. Insbesondere Cyberangriffe, Extremwetterereignisse sowie Fehler oder Sabotagehandlungen können schwerwiegende Folgen für die Versorgungssicherheit und den Betrieb systemrelevanter Einrichtungen haben. Die wichtigsten Bedrohungen werden nachfolgend näher betrachtet.

Cyberangriffe: Das digitale Risiko

Cyberangriffe auf kritische Infrastrukturen sind längst keine abstrakte Bedrohung mehr.  Mit der fortschreitenden Digitalisierung steigen auch die Anforderungen an eine moderne Cyberabwehr. Neben klassischen IT-Systemen müssen heute insbesondere industrielle Steuerungs- und Automatisierungssysteme (Operational Technology).

Ein zentrales Risiko ergibt sich aus der zunehmenden Vernetzung von Produktionsanlagen mit Unternehmensnetzwerken. Nach Erkenntnissen des Bundesamts für Sicherheit in der Informationstechnik (BSI) hat die Zahl an Ransomware-Angriffen, Supply-Chain-Attacken und gezielten Sabotageakten in den vergangenen Jahren deutlich zugenommen.

Besonderes Augenmerk der Angriffe liegt auf der Verwundbarkeit an Schnittstellen zwischen Informations- und Betriebstechnologie (IT/OT). So kann beispielsweise ein erfolgreich eingeschleuster Trojaner nicht nur Daten stehlen, sondern die physische Steuerung von systemrelevanter Infrastruktur massiv beeinträchtigen.

Die Folgen reichen von Produktionsausfällen und Versorgungsunterbrechungen bis hin zu erheblichen wirtschaftlichen Schäden und Risiken für die öffentliche Sicherheit. Gleichzeitig erhöhen komplexe Lieferketten und die Einbindung externer Dienstleister das Risiko, dass Angreifer über indirekte Wege Zugang zu sensiblen Systemen erhalten. Die zunehmende Komplexität dieser Bedrohungen erfordert daher ein ganzheitliches Sicherheitskonzept, das kontinuierliches Monitoring sowie die regelmäßige Überprüfung bestehender Schutzmaßnahmen einschließt.

Naturkatastrophen und Extremwetterereignisse

Auch Naturkatastrophen stellen für kritische Infrastrukturen (KRITIS) eine große Gefahr dar. Durch den Klimawandel treten Naturkatastrophen wie Orkane, Dürreperioden oder Überschwemmungen immer häufiger auf. Die daraus resultierenden Schäden können die Funktionsfähigkeit kritischer Infrastrukturen erheblich beeinträchtigen und weitreichende Auswirkungen auf die Versorgungssicherheit haben.

Die Flutkatastrophe im Ahrtal im Jahr 2021 hat eindrücklich verdeutlicht, wie schnell kritische Systeme durch Naturereignisse ausfallen können. Beschädigte Verkehrswege, flächendeckende Stromausfälle und unterbrochene Kommunikationsnetze erschwerten die Einsatz- und Rettungsmaßnahmen erheblich. Gleichzeitig können langanhaltende Hitzeperioden die Belastung von Stromnetzen erhöhen oder die Verfügbarkeit von Kühlwasser für Industrieanlagen und Kraftwerke einschränken.

Angesichts dieser Entwicklungen gewinnt die Anpassung kritischer Infrastrukturen an den Folgen des Klimawandels zunehmend an Bedeutung. Dazu zählen unter anderem widerstandsfähigere Bauweisen, redundante Versorgungssysteme sowie eine vorausschauende Notfall- und Krisenplanung.

Menschliches Versagen und Sabotage

Neben technologischen und naturbedingten Risiken stellt auch der Faktor Mensch ein erhebliches Risiko für kritische Infrastrukturen dar. Fehlkonfigurationen von Systemen, unzureichende Sicherheitsvorkehrungen oder mangelnde Sensibilisierung von Mitarbeitenden können Sicherheitslücken begünstigen und Betriebsunterbrechungen verursachen. Zudem steigt das Risiko gezielter Sabotageakte, sowohl durch externe Angreifer als auch durch sogenannte Insider, die über legitime Zugriffsrechte verfügen. Besonders kritisch sind dabei Handlungen, die zentrale Betriebsabläufe beeinträchtigen oder vertrauliche Informationen kompromittieren. Um diesen Gefahren zu begegnen, sind daher regelmäßige Schulungen, klare Sicherheitsrichtlinien, Zugriffskontrollen sowie ein konsequentes Risiko- und Berechtigungsmanagement unerlässlich.

Im Rahmen eines strukturierten Risikomanagements werden Risiken anhand ihrer potenziellen Auswirkungen sowie ihrer Eintrittswahrscheinlichkeit bewertet. Dadurch lassen sich Schutzmaßnahmen gezielt priorisieren und Ressourcen dort einsetzen, wo sie den größten Beitrag zur Resilienz kritischer Infrastrukturen leisten.

Schutz und Resilienz: Wie wir unsere Kritischen Infrastrukturen stärken können

Angesichts der vielfältigen Risiken für Kritische Infrastrukturen gewinnt der Aufbau wirksamer Schutz- und Resilienzmaßnahmen zunehmend an Bedeutung. Um die Versorgungssicherheit auch in Krisen- und Ausnahmesituationen gewährleisten zu können, sind rechtliche Vorgaben, organisatorische Maßnahmen und technische Schutzkonzepte gleichermaßen erforderlich. Die folgenden Abschnitte zeigen zentrale Ansätze zur Stärkung der Widerstandsfähigkeit kritischer Infrastrukturen auf.

Gesetzliche Rahmenbedingungen und Verordnungen

Der Schutz von KRITIS basiert auf einem Zusammenspiel nationaler, europäischer und internationaler Vorgaben. Die konkreten regulatorischen Anforderungen unterscheiden sich je nach Mitgliedstaat. In Deutschland bilden unter anderem das BSI-Gesetz und die KRITIS-Verordnung den zentralen Rechtsrahmen, während in Österreich das Resilienz kritischer Einrichtungen-Gesetz (RKEG) sowie weitere nationale Regelungen die Anforderungen an den Schutz kritischer Infrastrukturen definieren. Sie verpflichten Betreiber kritischer Infrastrukturen, angemessene organisatorische und technische Sicherheitsmaßnahmen umzusetzen sowie erhebliche IT-Sicherheitsvorfälle zu melden.

Auf europäischer Ebene erweitern die NIS2-Richtlinie und die CER-Richtlinie die Anforderungen an Cybersicherheit und physische Resilienz deutlich. Ergänzend dienen internationale Standards und Best Practices wie das ISO/IEC 27001 (ISO 27001 – EFS Consulting Podcast), das NIST Cybersecurity Framework oder branchenspezifische Sicherheitsstandards als Orientierung für ein systematisches Risikomanagement.

Des Weiteren gewinnen weitere Regularien, etwa zur Lieferkettensicherheit, zum Datenschutz oder zur operativen Resilienz, zunehmend an Bedeutung. Unternehmen sind daher gefordert, regulatorische Anforderungen nicht isoliert zu betrachten, sondern in eine ganzheitliche Sicherheits- und Resilienzstrategie zu integrieren.

Technische Schutzmaßnahmen

Die Resilienz kritischer Infrastrukturen basiert auf einem mehrschichtigen Schutzkonzept, bestehend aus Cyberabwehr, Netzwerksicherheit, physischer Sicherheit und effektivem Krisenmanagement. Neben technischen Maßnahmen, wie etwa Netzwerksegmentierung, kontinuierliches Monitoring und Zero-Trust-Ansätzen stehen auch Sicherheitsupdates sowie die Erkennung und Abwehr von Angriffen in Echtzeit im Fokus.

Ergänzt werden diese durch physische Sicherheitsvorkehrungen, etwa Zutrittskontrollen, Videoüberwachung, Perimeterschutz oder redundante Systeme zur Sicherstellung des Betriebs im Störungsfall. Da Bedrohungen zunehmend komplexer und vernetzter werden, gewinnt zudem der Austausch von Informationen zwischen Behörden, Betreibern und Sicherheitsexperten an Bedeutung. Öffentlich-private Partnerschaften (ÖPP) fördern die gemeinsame Entwicklung von Schutzstrategien und ermöglichen eine schnellere Reaktion auf neue Risiken. Gleichzeitig tragen Frühwarnsysteme, automatisierte Lagebilder und etablierte Krisenmanagementprozesse dazu bei, potenzielle Gefahren frühzeitig zu erkennen, Auswirkungen zu begrenzen und die Wiederherstellung kritischer Dienste im Ernstfall zu beschleunigen.

Resilienz im Angesicht globaler Krisen

Die COVID-19-Pandemie hat eindrucksvoll gezeigt, wie verwundbar moderne Gesellschaften und ihre kritischen Infrastrukturen gegenüber globalen Krisen sein können. Unterbrochene Lieferketten, Personalausfälle, erhöhte Cyberrisiken und die starke Abhängigkeit von digitalen Technologien verdeutlichten die Notwendigkeit robuster und anpassungsfähiger Systeme. Gleichzeitig wurden wichtige Erkenntnisse gewonnen: Resilienz bedeutet nicht nur, Störungen zu verhindern, sondern auch, auf unerwartete Ereignisse flexibel zu reagieren, um den Betrieb unter schwierigen Bedingungen aufrechterhalten zu können. Für die Zukunft rücken daher der Aufbau redundanter Strukturen, eine stärkere Diversifizierung von Liefer- und Versorgungswegen, die Digitalisierung kritischer Prozesse sowie ein vorausschauendes Risiko- und Krisenmanagement in den Fokus. Ziel ist es kritische Infrastrukturen so zu gestalten, sodass sie auch bei Pandemien, Naturkatastrophen, geopolitischen Konflikten oder Cyberangriffen handlungsfähig bleiben und die Versorgung von Bevölkerung, Wirtschaft und Staat langfristig sichern.

EFS-Expertise und die Zukunft der KRITIS: Herausforderungen und Chancen/ Best Practices für Unternehmen

Welche Maßnahmen können Unternehmen umsetzen, um ihre Widerstandsfähigkeit gegen Cyberangriffe und Absicherung gegenüber Störungen effektiv zu erhöhen?

1. Aufbau eines ISMS (Information Security Management Systems) nach  oder branchenspezifischen Standards (ISO/IEC 27017).
2. Risikoanalysen inklusive zyklischer Re-Evaluierung, auch unter Berücksichtigung von Lieferkettenrisiken.
3. Implementierung technischer Schutzmaßnahmen, wie Zero-Trust-Architekturen und Segmentierung von IT/OT.
4. Schulung der Mitarbeitenden zur Sensibilisierung gegenüber Cyberrisiken.
5. Notfallmanagement und Business Continuity Planning, abgestimmt auf die Anforderungen aus NIS2 und CER.
6. Proof of Compliance: Dokumentation und Nachweisführung der umgesetzten Maßnahmen gegenüber Behörden und Auditoren.
7. Kontinuierliches Monitoring und Incident Response Management zur schnellen Erkennung und Eindämmung von Angriffen.

Bei konsequent umgesetzten Maßnahmen stellen Unternehmen nicht nur die regulatorische Compliance sicher – sie schaffen auch einen nachhaltigen Wettbewerbsvorteil durch höhere Resilienz und gestärktes Vertrauen ihrer Kunden und Partnern.

Podcast-Tipp: Kritische Infrastruktur & BCM – EFS Consulting Podcast

Gemeinsam stark im Schutz Kritischer Infrastrukturen

Die Anforderungen an Betreiber kritischer Infrastrukturen steigen exponentiell – und mit ihnen die Komplexität bei der Umsetzung technischer und organisatorischer Schutzmaßnahmen. EFS Consulting unterstützt Sie dabei umfassend mittels:

• Gap-Analysen zur Identifikation von Verbesserungspotenzialen in Ihrer aktuellen Sicherheitsstruktur
• Aufbau und Optimierung von ISMS nach ISO/IEC 27001, TISAX ® oder branchenspezifischen Standards
• Vorbereitung auf Audits und Behördenprüfungen (Proof of Compliance)
• Risikobewertungen und Business Continuity Planning
• Awareness-Schulungen für Management und Mitarbeitende
• Technische Beratung zu Themen wie Zero-Trust, OT-Security und Supply Chain Resilience

Mit unserer tiefgreifenden Expertise in Informationssicherheit, Risiko- und Compliance-Management sowie branchenspezifischen KRITIS-Anforderungen begleiten wir Sie sicher durch den Dschungel neuer Vorgaben.

Fazit

KRITIS ist längst mehr als ein reines Compliance-Thema. Die Fähigkeit kritische Dienstleistungen auch unter herausfordernden Bedingungen zuverlässig aufrechtzuerhalten, wird zunehmend zum entscheidenden Erfolgsfaktor für resiliente und zukunftsfähige Unternehmen.

Sie möchten mehr über die Absicherung Kritischer Infrastrukturen oder die Umsetzung regulatorischer Anforderungen erfahren? Unsere EFS Consulting-Expert:innen freuen sich auf den persönlichen Austausch mit Ihnen.