Dr. Marlen Hofmann
Menü
Interaktives Handbuch

CER-Navigator

v1.1Entwurf — nicht freigegeben
Hilfe & Doku ▾
Dieses Werkzeug ist für die Nutzung am Desktop gebaut — auf kleinen Bildschirmen ist die Darstellung eingeschränkt.
Artikel 1 · CER-Richtlinie (EU) 2022/2557

Gegenstand und Anwendungsbereich

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Die vorliegende Richtlinie
a)
legt Verpflichtungen gegenüber Mitgliedstaaten fest zur Gewährleistung der ungehinderten Erbringung von Diensten im Binnenmarkt, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen oder wirtschaftlicher Tätigkeiten unerlässlich sind, spezifische Maßnahmen im Sinne von Artikel 114 AEUV zu ergreifen, und insbesondere Verpflichtungen kritische Einrichtungen zu ermitteln und diese kritischen Einrichtungen dabei zu unterstützen, die ihnen auferlegten Verpflichtungen zu erfüllen;
b)
legt Verpflichtungen für kritische Einrichtungen fest, die darauf abzielen, ihre Resilienz und ihre Fähigkeit zur Erbringung von Diensten gemäß Buchstabe a im Binnenmarkt zu verbessern;
c)
legt Vorschriften fest im Hinblick auf i) die Beaufsichtigung kritischer Einrichtungen ii) die Durchsetzungsmaßnahmen; iii) die Ermittlung kritischer Einrichtungen, die für Europa von besonderer Bedeutung sind, und die Beratungsmissionen zur Bewertung der Maßnahmen, die diese kritischen Einrichtungen ergriffen haben, um deren Verpflichtungen gemäß Kapitel III nachzukommen;
d)
legt gemeinsame Verfahren für die Zusammenarbeit und die Berichterstattung über die Anwendung dieser Richtlinie fest;
e)
legt Maßnahmen fest, mit denen ein hohes Maß an Resilienz kritischer Einrichtungen erreicht werden soll, um die Erbringung wesentlicher Dienste in der Union sicherzustellen und das Funktionieren des Binnenmarkts zu verbessern.
(2)
Unbeschadet des Artikels 8 der vorliegenden Richtlinie gilt diese Richtlinie nicht für Angelegenheiten, die unter die Richtlinie (EU) 2022/2555 fallen. Angesichts der Beziehung zwischen physischer Sicherheit und Cybersicherheit kritischer Einrichtungen gewährleisten die Mitgliedstaaten eine koordinierte Umsetzung der vorliegenden Richtlinie und der Richtlinie (EU) 2022/2555.
(3)
Wenn kritische Einrichtungen gemäß den Bestimmungen sektorspezifischer Rechtsakte der Union Maßnahmen zur Verbesserung ihrer Resilienz ergreifen müssen und diese Anforderungen von den Mitgliedstaaten den entsprechenden Verpflichtungen aus dieser Richtlinie als zumindest gleichwertig anerkannt sind, finden die entsprechenden Bestimmungen dieser Richtlinie, einschließlich der in Kapitel VI festgelegten Bestimmungen über Aufsicht und Durchsetzung, keine Anwendung.
(4)
Unbeschadet des Artikels 346 AEUV werden Informationen, die gemäß den Vorschriften der Union oder der Mitgliedstaaten, wie z. B. Vorschriften über das Geschäftsgeheimnis, vertraulich sind, mit der Kommission und anderen entsprechenden Behörden in Übereinstimmung mit dieser Richtlinie nur ausgetauscht, wenn dieser Austausch für die Anwendung dieser Richtlinie erforderlich ist. Die auszutauschenden Informationen werden auf den zum Zweck dieses Informationsaustauschs relevanten und angemessenen Umfang beschränkt. Bei diesem Informationsaustausch werden die Vertraulichkeit der Informationen gewahrt sowie die Sicherheit und die geschäftlichen Interessen kritischer Einrichtungen unter Beachtung der Sicherheit der Mitgliedstaaten geschützt.
(5)
Diese Richtlinie lässt die Zuständigkeit der Mitgliedstaaten in Bezug auf die Aufrechterhaltung der nationalen Sicherheit und Verteidigung und ihre Befugnis, andere wesentliche staatliche Funktionen zu schützen, einschließlich der Wahrung der territorialen Unversehrtheit des Staates und der Aufrechterhaltung der öffentlichen Ordnung, unberührt.
(6)
Diese Richtlinie gilt nicht für Einrichtungen der öffentlichen Verwaltung, die ihre Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung — einschließlich der Ermittlung, Aufdeckung und Verfolgung von Straftaten — ausüben.
(7)
Die Mitgliedstaaten können beschließen, dass Artikel 11 und die Kapitel III, IV und VI, ganz oder teilweise, keine Anwendung finden für spezifische kritische Einrichtungen, die Tätigkeiten in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung — einschließlich der Ermittlung, Aufdeckung und Verfolgung von Straftaten — ausüben oder Dienste ausschließlich für die in Absatz 6 des vorliegenden Artikels genannten Einrichtungen der öffentlichen Verwaltung erbringen.
(8)
Die in dieser Richtlinie festgelegten Verpflichtungen umfassen nicht die Bereitstellung von Informationen, deren Offenlegung wesentlichen Interessen der Mitgliedstaaten im Bereich der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung zuwiderlaufen würde.
(9)
Das Unionsrecht betreffend den Schutz personenbezogener Daten, insbesondere die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (28) und die Richtlinie 2002/58/EG des Europäischen Parlaments und des Rates (29), bleibt von dieser Richtlinie unberührt.
Im KRITIS-DachG umgesetzt durch: § 22 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 2 · CER-Richtlinie (EU) 2022/2557

Begriffsbestimmungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
Für die Zwecke dieser Richtlinie bezeichnet der Ausdruck
1.
„kritische Einrichtung“ eine öffentliche oder private Einrichtung, die ein Mitgliedstaat in Anwendung des Artikels 6 als einer der Kategorien in der dritten Spalte der Tabelle im Anhang angehörend eingestuft hat;
2.
„Resilienz“ die Fähigkeit einer kritischen Einrichtung, einen Sicherheitsvorfall zu verhindern, sich davor zu schützen, darauf zu reagieren, einen solchen abzuwehren, die Folgen eines solchen Vorfalls zu begrenzen, einen Sicherheitsvorfall aufzufangen, zu bewältigen und sich von einem solchen Vorfall zu erholen;
3.
„Sicherheitsvorfall“ ein Ereignis, das die Erbringung eines wesentlichen Dienstes erheblich stört oder stören könnte, einschließlich einer Beeinträchtigung der nationalen Systeme zur Wahrung der Rechtsstaatlichkeit;
4.
„kritische Infrastrukturen“ Objekte, Anlagen, Ausrüstung, Netze oder Systeme oder Teile eines Objekts, einer Anlage, Ausrüstung, eines Netzes oder eines Systems, die für die Erbringung eines wesentlichen Dienstes erforderlich sind;
5.
„wesentlicher Dienst“ einen Dienst, der für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, wichtiger wirtschaftlicher Tätigkeiten, der öffentlichen Gesundheit und Sicherheit oder der Erhaltung der Umwelt von entscheidender Bedeutung ist;
6.
„Risiko“ das Potenzial für Verluste oder Störungen, die durch einen Sicherheitsvorfall verursacht werden, das als eine Kombination des Ausmaßes eines solchen Verlusts oder einer solchen Störung und der Wahrscheinlichkeit des Eintretens des Sicherheitsvorfalls zum Ausdruck gebracht wird;
7.
„Risikobewertung“ den gesamten Prozess zur Bestimmung der Art und des Ausmaßes eines Risikos, bei dem potenzielle entsprechende Bedrohungen, Schwachstellen und Gefahren, die zu einem Sicherheitsvorfall führen könnten, ermittelt und analysiert und die durch den Sicherheitsvorfall verursachten potenziellen Verluste oder Störungen bei der Erbringung eines wesentlichen Dienstes bewertet werden;
8.
„Norm“ eine Norm im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates (30);
9.
„technische Spezifikation“ eine technische Spezifikation im Sinne des Artikels 2 Nummer 4 der Verordnung (EU) Nr. 1025/2012;
10.
„Einrichtung der öffentlichen Verwaltung“ eine als solche in einem Mitgliedstaat nach nationalem Recht anerkannte Einrichtung, mit Ausnahme der Justiz, der Parlamente und der Zentralbanken, die die folgenden Kriterien erfüllt: a) Sie wurde zu dem Zweck gegründet, im allgemeinen Interesse liegende Aufgaben zu erfüllen, und hat keinen gewerblichen oder kommerziellen Charakter; b) sie besitzt Rechtspersönlichkeit oder ist gesetzlich dazu befugt, im Namen einer anderen Einrichtung mit eigener Rechtspersönlichkeit zu handeln; c) sie wird überwiegend von staatlichen Behörden oder von anderen auf zentraler Ebene angesiedelten Körperschaften des öffentlichen Rechts finanziert, untersteht hinsichtlich ihrer Leitung der Aufsicht dieser Behörden oder Einrichtungen, oder sie hat ein Verwaltungs-, Leitungs- bzw. Aufsichtsorgan, das mehrheitlich aus Mitgliedern besteht, die von staatlichen Behörden oder von anderen auf zentraler Ebene angesiedelten Körperschaften des öffentlichen Rechts eingesetzt worden sind; d) sie ist befugt, an natürliche oder juristische Personen Verwaltungs- oder Regulierungsentscheidungen zu richten, die deren Rechte im grenzüberschreitenden Personen-, Waren-, Dienstleistungs- oder Kapitalverkehr berühren.
Im KRITIS-DachG umgesetzt durch: § 2 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 4 · CER-Richtlinie (EU) 2022/2557

Strategien für die Resilienz kritischer Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Nach einer Konsultation, die — soweit praktisch möglich — den entsprechenden Interessenvertretern offensteht, verabschiedet jeder Mitgliedstaat spätestens am 17. Januar 2026 eine Strategie zur Verbesserung der Resilienz kritischer Einrichtungen (im Folgenden „Strategie“). In der Strategie sind — aufbauend auf den bestehenden entsprechenden nationalen und sektorspezifischen Strategien, Plänen oder ähnlichen Dokumenten — die strategischen Ziele und politischen Maßnahmen festgelegt, mit denen ein hohes Resilienzniveau von kritischen Einrichtungen erreicht und aufrechterhalten werden soll und mindestens die im Anhang festgelegten Sektoren abgedeckt werden sollen.
(2)
Jede Strategie enthält mindestens folgende Elemente:
a)
strategische Ziele und Prioritäten zur Verbesserung der Gesamtresilienz kritischer Einrichtungen unter Berücksichtigung grenzüberschreitender und sektorübergreifender Abhängigkeiten und gegenseitiger Abhängigkeiten;
b)
einen Steuerungsrahmen zur Verwirklichung der strategischen Ziele und Prioritäten, einschließlich einer Beschreibung der Aufgaben und Zuständigkeiten der jeweiligen Behörden, kritischen Einrichtungen und sonstigen an der Umsetzung der Strategie beteiligten Akteure;
c)
eine Beschreibung der Maßnahmen, die zur Verbesserung der Gesamtresilienz kritischer Einrichtungen erforderlich sind, einschließlich einer Beschreibung der Risikobewertung nach Artikel 5;
d)
eine Beschreibung des Verfahrens zur Ermittlung kritischer Einrichtungen;
e)
eine Beschreibung des Prozesses zur Unterstützung kritischer Einrichtungen gemäß diesem Kapitel, einschließlich Maßnahmen zur Verbesserung der Zusammenarbeit zwischen dem öffentlichen Sektor einerseits und dem privaten Sektor und öffentlichen und privaten Einrichtungen andererseits;
f)
eine Liste der wichtigsten Behörden und entsprechenden Interessenvertretern — bei denen es sich nicht um kritische Einrichtungen handelt —, die an der Umsetzung der Strategie beteiligt sind;
g)
einen politischen Rahmen für die Koordinierung zwischen den gemäß der vorliegenden Richtlinie zuständigen Behörden (im Folgenden „zuständige Behörden“) und den gemäß der Richtlinie (EU) 2022/2555 zuständigen Behörden für die Zwecke des Informationsaustauschs über Cybersicherheitsrisiken, Cyberbedrohungen und Cybersicherheitsvorfälle und über nicht cyberbezogene Risiken, Bedrohungen und Sicherheitsvorfälle sowie die Wahrnehmung von Aufsichtsaufgaben;
h)
eine Beschreibung der bereits bestehenden Maßnahmen zur Erleichterung der Umsetzung von Verpflichtungen gemäß Kapitel III der vorliegenden Richtlinie durch kleine und mittlere Unternehmen im Sinne des Anhangs der Empfehlung 2003/361/EG der Kommission (31), die von den betreffenden Mitgliedstaaten als kritische Einrichtungen eingestuft wurden.
Nach einer Konsultation, die — soweit praktisch möglich — den entsprechenden Interessenvertretern offensteht, aktualisieren die Mitgliedstaaten ihre Strategien mindestens alle vier Jahre.
(3)
Die Mitgliedstaaten teilen der Kommission ihre Strategien und deren wesentlichen Aktualisierungen innerhalb von drei Monaten nach ihrer Verabschiedung mit.
Im KRITIS-DachG umgesetzt durch: § 1 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 5 · CER-Richtlinie (EU) 2022/2557

Risikobewertung durch die Mitgliedstaaten

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Der Kommission wird die Befugnis übertragen, bis zum 17. November 2023 delegierte Rechtsakte nach Artikel 23 zu erlassen, um diese Richtlinie durch eine nicht erschöpfende Liste wesentlicher Dienste in den im Anhang genannten Sektoren und Teilsektoren zu ergänzen. Die zuständigen Behörden verwenden jene Liste wesentlicher Dienste für die Zwecke einer Risikobewertung (im Folgenden „Risikobewertung durch Mitgliedstaaten“), die bis zum 17. Januar 2026 je nach Bedarf, mindestens aber alle vier Jahre, durchgeführt wird. Die zuständigen Behörden verwenden Risikobewertungen durch Mitgliedstaaten, um kritische Einrichtungen gemäß Artikel 6 zu ermitteln und diese bei der Ergreifung von Maßnahmen gemäß Artikel 13 zu unterstützen.
Bei Risikobewertungen durch Mitgliedstaaten werden die entsprechenden natürlichen und vom Menschen verursachten Risiken berücksichtigt, darunter solche sektorübergreifender oder grenzüberschreitender Art, Unfälle, Naturkatastrophen, gesundheitliche Notlagen, sowie hybride Bedrohungen oder andere feindliche Bedrohungen, einschließlich terroristischer Straftaten gemäß der Richtlinie (EU) 2017/541 des Europäischen Parlaments und des Rates (32).
(2)
Bei der Durchführung von Risikobewertungen durch Mitgliedstaaten berücksichtigen die Mitgliedstaaten mindestens
a)
die nach Artikel 6 Absatz 1 des Beschlusses Nr. 1313/2013/EU vorgenommene allgemeine Risikobewertung;
b)
sonstige entsprechende Risikobewertungen, die im Einklang mit den Anforderungen der entsprechenden sektorspezifischen Rechtsakte der Union, einschließlich der Verordnungen (EU) 2017/1938 (33) und (EU) 2019/941 (34) des Europäischen Parlaments und des Rates sowie der Richtlinien 2007/60/EG (35) und 2012/18/EU (36) des Europäischen Parlaments und des Rates, durchgeführt werden;
c)
die entsprechenden Risiken, die sich aus dem Ausmaß der Abhängigkeit zwischen den im Anhang genannten Sektoren, einschließlich dem Ausmaß der Abhängigkeit gegenüber in anderen Mitgliedstaaten und Drittstaaten ansässigen Einrichtungen, ergeben, sowie die Auswirkungen, die eine in einem Sektor auftretende erhebliche Störung auf andere Sektoren haben kann, darunter alle wesentlichen Risiken für die Bürger und Bürgerinnen und den Binnenmarkt;
d)
sämtliche gemäß Artikel 15 gemeldeten Informationen über Sicherheitsvorfälle.
Für die Zwecke von Unterabsatz 1 Buchstabe c arbeiten die Mitgliedstaaten mit den zuständigen Behörden anderer Mitgliedstaaten und gegebenenfalls mit den zuständigen Behörden aus Drittstaaten zusammen.
(3)
Die Mitgliedstaaten stellen die entsprechenden Elemente der Risikobewertungen durch Mitgliedstaaten den kritischen Einrichtungen, die sie gemäß Artikel 6 ermittelt haben, gegebenenfalls über ihre zentralen Anlaufstellen, zur Verfügung. Die Mitgliedstaaten stellen sicher, dass die den kritischen Einrichtungen zur Verfügung gestellten Informationen ihnen bei der Durchführung ihrer Risikobewertungen gemäß Artikel 12 und beim Ergreifen von Maßnahmen zur Gewährleistung ihrer Resilienz gemäß Artikel 13 unterstützen.
(4)
Innerhalb von drei Monaten nach Durchführung einer Risikobewertung durch Mitgliedstaaten übermittelt ein Mitgliedstaat der Kommission entsprechende Informationen über die ermittelten Arten von Risiken und die Ergebnisse dieser Risikobewertungen durch Mitgliedstaaten, aufgeschlüsselt nach den im Anhang genannten Sektoren und Teilsektoren.
(5)
Zum Zwecke der Einhaltung des Absatzes 4 arbeitet die Kommission in Zusammenarbeit mit den Mitgliedstaaten ein unverbindliches gemeinsames Berichtsmuster aus.
Liste wesentlicher Dienste (Ermächtigung: Art. 5 Abs. 1)
Im KRITIS-DachG umgesetzt durch: § 11 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 6 · CER-Richtlinie (EU) 2022/2557

Ermittlung kritischer Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Bis zum 17. Juli 2026 ermittelt jeder Mitgliedstaat die kritischen Einrichtungen für die im Anhang festgelegten Sektoren und Teilsektoren.
(2)
Wenn ein Mitgliedstaat kritische Einrichtungen gemäß Absatz 1 ermittelt, berücksichtigt er die Ergebnisse seiner Risikobewertung durch Mitgliedstaaten und seine Strategie und wendet alle folgenden Kriterien an:
a)
Die Einrichtung erbringt einen oder mehrere wesentliche Dienste,
b)
die Einrichtung ist im Hoheitsgebiet dieses Mitgliedstaats tätig und ihre kritische Infrastruktur befinden sich dort, und
c)
ein Sicherheitsvorfall würde eine erhebliche Störung im Sinne von Artikel 7 Absatz 1 bei der Erbringung eines oder mehrerer wesentlichen Dienste durch die Einrichtung, oder bei der Erbringung von anderen wesentlichen Diensten in den im Anhang genannten Sektoren, die von diesem oder diesen wesentlichen Diensten abhängen, bewirken.
(3)
Jeder Mitgliedstaat erstellt eine Liste der gemäß Absatz 2 ermittelten kritischen Einrichtungen und stellt sicher, dass diesen kritischen Einrichtungen innerhalb eines Monats nach der entsprechenden Ermittlung ihre Einstufung als kritische Einrichtung mitgeteilt wird. Unbeschadet des Artikels 8 informieren die Mitgliedstaaten diese kritischen Einrichtungen über ihre Verpflichtungen nach Kapiteln III und IV sowie über den Zeitpunkt, ab dem diese Verpflichtungen auf sie Anwendung finden. Die Mitgliedstaaten informieren die kritischen Einrichtungen in den in den Nummern 3, 4 und 8 der Tabelle des Anhangs genannten Sektoren darüber, dass sie keine Verpflichtungen nach Kapiteln III und IV haben, es sei denn, in den nationalen Maßnahmen ist etwas anderes bestimmt.
Für die betreffenden kritischen Einrichtungen gilt Kapitel III nach Ablauf von zehn Monaten ab dem Zeitpunkt der in Unterabsatz 1 des vorliegenden Absatzes genannten Mitteilung.
(4)
Die Mitgliedstaaten stellen sicher, dass ihre nach dieser Richtlinie zuständigen Behörden den zuständigen Behörden gemäß der Richtlinie (EU) 2022/2555 innerhalb eines Monats nach der entsprechenden Einstufung die Identität der kritischen Einrichtungen mitteilen, die sie gemäß diesem Artikel ermittelt haben. In dieser Mitteilung wird gegebenenfalls angegeben, dass es sich bei den betreffenden kritischen Einrichtungen um Einrichtungen in den in den Nummern 3, 4 und 8 der Tabelle des Anhangs der vorliegenden Richtlinie genannten Sektoren handelt und dass sie keine Verpflichtungen nach den Kapiteln III und IV haben.
(5)
Die Mitgliedstaaten überprüfen die in Absatz 3 genannten Liste der ermittelten kritischen Einrichtungen im Bedarfsfall, mindestens jedoch alle vier Jahre, und aktualisieren sie gegebenenfalls. Führen diese Aktualisierungen zur Ermittlung weiterer kritischer Einrichtungen, so gelten die Absätze 3 und 4 für diese zusätzlichen kritischen Einrichtungen. Darüber hinaus stellen die Mitgliedstaaten sicher, dass Einrichtungen, die nach einer solchen Aktualisierung nicht mehr als kritische Einrichtung eingestuft werden, hiervon rechtzeitig in Kenntnis gesetzt und darüber informiert werden, dass sie ab dem Tag des Erhalts dieser Mitteilung nicht mehr den Verpflichtungen nach Kapitel III unterliegen.
(6)
Die Kommission arbeitet in Zusammenarbeit mit den Mitgliedstaaten Empfehlungen und unverbindliche Leitlinien aus, um die Mitgliedstaaten bei der Ermittlung kritischer Einrichtungen zu unterstützen.
Im KRITIS-DachG umgesetzt durch: § 8 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 9 · CER-Richtlinie (EU) 2022/2557

Zuständige Behörden und zentrale Anlaufstelle

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Jeder Mitgliedstaat benennt eine oder mehrere zuständige Behörden oder richtet diese ein, die für die ordnungsgemäße Anwendung und erforderlichenfalls Durchsetzung der in dieser Richtlinie festgelegten Vorschriften auf nationaler Ebene verantwortlich sind.
In Bezug auf die kritischen Einrichtungen in den Sektoren, die unter den Nummern 3 und 4 in der Tabelle im Anhang dieser Richtlinie festgelegt sind, sind die zuständigen Behörden grundsätzlich die in Artikel 46 der Verordnung (EU) 2022/2554 genannten zuständigen Behörden. In Bezug auf die kritischen Einrichtungen in den Sektoren, die unter der Nummer 8 in der Tabelle im Anhang dieser Richtlinie festgelegt sind, sind die zuständigen Behörden grundsätzlich die zuständigen Behörden gemäß der Richtlinie (EU) 2022/2555. Die Mitgliedstaaten können im Einklang mit den bestehenden nationalen Rahmen eine andere zuständige Behörde für die in den Absätzen 3, 4 und 8 der im Anhang der vorliegenden Richtlinie festgelegten Tabelle aufgeführten Sektoren benennen.
Benennen die Mitgliedstaaten mehr als eine zuständige Behörde oder richten mehr als eine ein, so legen sie die Aufgaben jeder der betreffenden Behörden eindeutig fest und stellen sicher, dass diese wirksam zusammenarbeiten, um ihre Aufgaben im Rahmen dieser Richtlinie, unter anderem in Bezug auf die Benennung und die Tätigkeiten der zentralen Anlaufstelle gemäß Absatz 2, zu erfüllen.
(2)
Jeder Mitgliedstaat sorgt für die Benennung oder Errichtung einer einzigen zentralen Anlaufstelle, die als Verbindungsstelle zur Gewährleistung der grenzüberschreitenden Zusammenarbeit mit den zentralen Anlaufstellen anderer Mitgliedstaaten und mit der in Artikel 19 genannten Gruppe für die Resilienz kritischer Einrichtungen (im Folgenden „zentrale Anlaufstelle“) fungiert. Gegebenenfalls benennt ein Mitgliedstaat seine zentrale Anlaufstelle innerhalb einer zuständigen Behörde. Gegebenenfalls kann ein Mitgliedstaat vorsehen, dass seine zentrale Anlaufstelle auch als Verbindungsstelle zur Kommission fungiert und die Zusammenarbeit mit Drittländern gewährleistet.
(3)
Bis zum 17. Juli 2028 und danach alle zwei Jahre legen die zentralen Anlaufstellen der Kommission und der gemäß Artikel 19 genannten Gruppe für die Resilienz kritischer Einrichtungen einen zusammenfassenden Bericht über die bei ihnen eingegangenen Meldungen, einschließlich der Zahl der Meldungen, der Art der gemeldeten Sicherheitsvorfälle und der gemäß Artikel 15 Absatz 3 ergriffenen Maßnahmen, vor.
Die Kommission arbeitet in Zusammenarbeit mit der Gruppe für die Resilienz kritischer Einrichtungen ein gemeinsames Berichtsmuster aus. Die zuständigen Behörden können auf freiwilliger Basis dieses gemeinsame Berichtsmuster für die Vorlage der zusammenfassenden Berichte gemäß Unterabsatz 1 verwenden.
(4)
Jeder Mitgliedstaat stellt sicher, dass seine zuständige Behörde und zentrale Anlaufstelle über die erforderlichen Befugnisse und angemessene finanzielle, personelle und technische Ressourcen verfügen, um die ihnen übertragenen Aufgaben wirksam und effizient zu erfüllen.
(5)
Jeder Mitgliedstaat stellt sicher, dass seine zuständige Behörde im Einklang mit dem Unionsrecht und dem nationalen Recht gegebenenfalls andere entsprechende nationale Behörden, unter anderem diejenigen, die für den Katastrophenschutz, die Strafverfolgung und den Schutz personenbezogener Daten zuständig ist, sowie kritische Einrichtungen und entsprechende interessierte Parteien konsultiert und mit ihnen zusammenarbeitet.
(6)
Jeder Mitgliedstaat stellt sicher, dass seine nach dieser Richtlinie zuständige Behörde mit den nach Richtlinie (EU) 2022/2555 zuständigen Behörden in Bezug auf Cybersicherheitsrisiken, Cyberbedrohungen und Cybersicherheitsvorfälle und in Bezug auf nicht cyberbezogene Risiken, Bedrohungen und Sicherheitsvorfälle, die kritische Einrichtungen betreffen, sowie in Bezug auf entsprechende Maßnahmen, die von seiner zuständigen Behörde und den zuständigen Behörden gemäß der Richtlinie (EU) 2022/2555 ergriffen wurden, zusammenarbeitet und Informationen austauscht.
(7)
Innerhalb von drei Monaten nach der Benennung oder Errichtung der zuständigen Behörde und der zentralen Anlaufstelle, setzt jeder Mitgliedstaat die Kommission über deren Identität sowie deren Aufgaben und Zuständigkeiten gemäß dieser Richtlinie, deren Kontaktdaten und etwaiger späterer Änderungen dieser Angaben in Kenntnis. Mitgliedstaaten informieren die Kommission, wenn sie die Benennung einer anderen als der in Absatz 1 Unterabsatz 2 genannten Behörde als zuständige Behörde in Bezug auf kritischen Einrichtungen in den Sektoren, die unter den Nummern 3, 4 und 8 in der Tabelle im Anhang dieser Richtlinie festgelegt sind, beschließen. Jeder Mitgliedstaat gibt die Identität der zuständigen Behörde und der zentralen Anlaufstelle öffentlich bekannt.
(8)
Die Kommission erstellt eine öffentlich verfügbare Liste der zentralen Anlaufstellen.
Im KRITIS-DachG umgesetzt durch: § 21 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 10 · CER-Richtlinie (EU) 2022/2557

Unterstützung kritischer Einrichtungen durch die Mitgliedstaaten

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Die Mitgliedstaaten unterstützen kritische Einrichtungen bei der Verbesserung ihrer Resilienz. Diese Unterstützung kann die Entwicklung von Leitfäden und Methoden, die Unterstützung der Organisation von Übungen zur Überprüfung ihrer Resilienz und die Bereitstellung von Beratung und Schulungen für Personal kritischer Einrichtungen umfassen. Die Mitgliedstaaten können kritischen Einrichtungen unbeschadet der geltenden Vorschriften für staatliche Beihilfen Finanzmittel zur Verfügung stellen, wenn dies erforderlich und durch im öffentlichen Interesse liegende Ziele gerechtfertigt ist.
(2)
Jeder Mitgliedstaat stellt sicher, dass die zuständigen Behörden mit den kritischen Einrichtungen der im Anhang festgelegten Sektoren zusammenarbeiten sowie Informationen und bewährte Verfahren austauschen.
(3)
Die Mitgliedstaaten erleichtern den freiwilligen Informationsaustausch zwischen kritischen Einrichtungen in unter diese Richtlinie fallenden Fragen im Einklang mit dem Unionsrecht und dem nationalen Recht, insbesondere in Fragen bezüglich Verschlusssachen und sensibler Informationen, des Wettbewerbs und des Schutzes personenbezogener Daten.
Im KRITIS-DachG umgesetzt durch: § 19 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 11 · CER-Richtlinie (EU) 2022/2557

Zusammenarbeit zwischen Mitgliedstaaten

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Die Mitgliedstaaten konsultieren einander gegebenenfalls in Bezug auf kritische Einrichtungen zur Sicherstellung der einheitlichen Anwendung dieser Richtlinie. Diese Konsultationen finden insbesondere in Bezug auf kritische Einrichtungen statt,
a)
die kritische Infrastrukturen nutzen, die physisch zwischen zwei oder mehr Mitgliedstaaten verbunden sind,
b)
die Teil von Unternehmensstrukturen sind, die mit kritischen Einrichtungen in anderen Mitgliedstaaten verbunden sind oder zu ihnen in Bezug stehen,
c)
die als kritische Einrichtungen in einem Mitgliedstaat eingestuft wurden und wesentliche Dienste für andere bzw. in anderen Mitgliedstaaten erbringen.
(2)
Ziel der Konsultationen nach Absatz 1 ist es, die Resilienz kritischer Einrichtungen zu verbessern und, soweit möglich, den Verwaltungsaufwand für diese zu verringern.
Im KRITIS-DachG umgesetzt durch: § 3 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 12 · CER-Richtlinie (EU) 2022/2557

Risikobewertungen durch kritische Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Ungeachtet der in Artikel 6 Absatz 3 Unterabsatz 2 festgelegten Frist, stellen die Mitgliedstaaten sicher, dass kritische Einrichtungen innerhalb von neun Monaten nach Erhalt der in Artikel 6 Absatz 3 genannten Mitteilung und anschließend im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikobewertung auf der Grundlage der Risikobewertungen durch Mitgliedstaaten und anderer entsprechender Informationsquellen durchführen, um alle entsprechenden Risiken zu bewerten, die die Erbringung ihrer wesentlichen Dienste (im Folgenden „Risikobewertung durch kritische Einrichtungen“) stören könnten.
(2)
Die Risikobewertung durch kritische Einrichtungen trägt allen entsprechenden natürlichen und vom Menschen verursachten Risiken Rechnung, die zu einem Sicherheitsvorfall führen könnten, einschließlich grenzüberschreitender oder sektorübergreifender Risiken, Unfällen, Naturkatastrophen, gesundheitlicher Notlagen und hybriden Bedrohungen und anderen feindlichen Bedrohungen, einschließlich terroristischer Straftaten gemäß der Richtlinie (EU) 2017/541. Eine Risikobewertung durch kritische Einrichtungen trägt dem Ausmaß der Abhängigkeit anderer im Anhang festgelegten Sektoren von dem wesentlichen Dienst, der von der kritischen Einrichtung — gegebenenfalls auch in benachbarten Mitgliedstaaten und Drittländern — erbracht wird, und dem Ausmaß der Abhängigkeit der kritischen Einrichtung von den wesentlichen Diensten, der von anderen Einrichtungen in anderen Sektoren — gegebenenfalls auch in benachbarten Mitgliedstaaten und Drittländern — erbracht wird, Rechnung.
Hat eine kritische Einrichtung aufgrund von Verpflichtungen aus anderen Rechtsakten, die für ihre Risikobewertung durch kritische Einrichtungen relevant sind, andere Risikobewertungen vorgenommen oder Dokumente erstellt, so kann sie diese Bewertungen und Dokumente verwenden, um die in diesem Artikel festgelegten Anforderungen zu erfüllen. Bei der Wahrnehmung ihrer Aufsichtsaufgaben kann die zuständige Behörde eine bestehende Risikobewertung, die von einer kritischen Einrichtung durchgeführt wurde, die sich mit den in Unterabsatz 1 genannten Risiken und dem Ausmaß der Abhängigkeit befasst, als vollständig oder teilweise den Verpflichtungen nach diesem Artikel entsprechend erklären.
Im KRITIS-DachG umgesetzt durch: § 12 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 13 · CER-Richtlinie (EU) 2022/2557

Resilienzmaßnahmen kritischer Einrichtungen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Die Mitgliedstaaten stellen sicher, dass die kritischen Einrichtungen auf der Grundlage der von den Mitgliedstaaten bereitgestellten entsprechenden Informationen über die Risikobewertung durch Mitgliedstaaten sowie den Ergebnissen der Risikobewertung durch kritische Einrichtungen geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Gewährleistung ihrer Resilienz ergreifen, unter anderem Maßnahmen, die erforderlich sind, um
a)
das Auftreten von Sicherheitsvorfällen zu verhindern, unter gebührender Berücksichtigung von Katastrophenvorsorge und Maßnahmen zur Anpassung an den Klimawandel;
b)
einen angemessenen physischen Schutz ihrer Räumlichkeiten und kritischen Infrastrukturen zu gewährleisten, unter gebührender Berücksichtigung zum Beispiel von dem Aufstellen von Zäunen und Sperren, Instrumenten und Verfahren für die Überwachung der Umgebung, Detektionsgeräten und Zugangskontrollen;
c)
auf Sicherheitsvorfälle zu reagieren, sie abzuwehren und die Folgen solcher Vorfälle zu begrenzen, unter gebührender Berücksichtigung der Umsetzung von Risiko- und Krisenmanagementverfahren und -protokollen und vorgegebener Abläufe im Alarmfall;
d)
nach Sicherheitsvorfällen die Wiederherstellung zu gewährleisten, unter gebührender Berücksichtigung von Maßnahmen zur Aufrechterhaltung des Betriebs und der Ermittlung alternativer Lieferketten, um die Erbringung des wesentlichen Dienstes wiederaufzunehmen;
e)
ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeiter zu gewährleisten, unter gebührender Berücksichtigung von Maßnahmen wie der Festlegung von Kategorien von Personal, das kritische Funktionen wahrnimmt, der Festlegung von Zugangsrechten zu Räumlichkeiten, kritischen Infrastrukturen und zu sensiblen Informationen und der Einführung von Verfahren für Zuverlässigkeitsüberprüfungen im Einklang mit Artikel 14 und der Benennung von Kategorien von Personal, die solche Zuverlässigkeitsüberprüfungen durchlaufen müssen, und der Festlegung angemessener Schulungsanforderungen und Qualifikationen.
f)
das entsprechende Personal für die unter den Buchstaben a bis e genannten Maßnahmen unter gebührender Berücksichtigung von Schulungen, Informationsmaterial und Übungen zu sensibilisieren.
Für die Zwecke von Unterabsatz 1 Buchstabe e stellen die Mitgliedstaaten sicher, dass kritische Einrichtungen das Personal externer Dienstleister bei der Festlegung der Kategorien von Personal, das kritische Funktionen wahrnimmt, berücksichtigt;
(2)
Die Mitgliedstaaten stellen sicher, dass kritische Einrichtungen über einen Resilienzplan oder ein gleichwertiges Dokument oder Dokumente, in denen die Maßnahmen gemäß Absatz 1 beschrieben werden, verfügen und diese anwenden. Haben kritische Einrichtungen Dokumente erstellt oder Maßnahmen aufgrund von Verpflichtungen aus anderen Rechtsakten, die für die in Absatz 1 genannten Maßnahmen relevant sind, ergriffen, so können sie diese Dokumente und Maßnahmen verwenden, um die in diesem Artikel festgelegten Anforderungen zu erfüllen. Bei der Wahrnehmung ihrer Aufsichtsaufgaben kann die zuständige Behörde bestehende Maßnahmen zur Verbesserung der Resilienz einer kritischen Einrichtung, die die in Absatz 1 genannten technischen, sicherheitsbezogenen und organisatorischen Maßnahmen betreffen, als vollständig oder teilweise den Verpflichtungen nach diesem Artikel entsprechend erklären.
(3)
Die Mitgliedstaaten stellen sicher, dass jede kritische Einrichtung einen Verbindungsbeauftragten oder eine Person mit vergleichbarer Aufgabenstellung als Ansprechpartner für die zuständigen Behörden benennt.
(4)
Auf Ersuchen des Mitgliedstaats, der die kritische Einrichtung ermittelt hat, und mit Zustimmung der betreffenden kritischen Einrichtung organisiert die Kommission im Einklang mit den Regelungen gemäß Artikel 18 Absätze 6, 8 und 9 Beratungsmissionen, um die betreffende kritische Einrichtung im Hinblick auf die Erfüllung ihrer Verpflichtungen nach Kapitel III zu beraten. Die Beratungsmission erstattet der Kommission, dem betreffenden Mitgliedstaat und der betreffenden kritischen Einrichtung Bericht über ihre Ergebnisse.
(5)
Die Kommission erlässt nach Konsultation der Gruppe für die Resilienz kritischer Einrichtungen gemäß Artikel 19 unverbindliche Leitlinien, in denen die technischen, sicherheitsbezogenen und organisatorischen Maßnahmen, die gemäß Absatz 1 des vorliegenden Artikels ergriffen werden können, näher spezifiziert werden.
(6)
Die Kommission erlässt Durchführungsrechtsakte, um die erforderlichen technischen und methodischen Spezifikationen für die Anwendung der in Absatz 1 des vorliegenden Artikels genannten Maßnahmen festzulegen. Diese Durchführungsrechtsakte werden gemäß dem in Artikel 24 Absatz 2 genannten Prüfverfahren erlassen.
Im KRITIS-DachG umgesetzt durch: § 13, § 15, § 19 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 15 · CER-Richtlinie (EU) 2022/2557

Meldung von Sicherheitsvorfällen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Die Mitgliedstaaten stellen sicher, dass die kritischen Einrichtungen der zuständigen Behörde Sicherheitsvorfälle, die die Erbringung wesentlicher Dienste erheblich stören oder erheblich stören könnten, unverzüglich melden. Die Mitgliedstaaten stellen sicher, dass außer wenn dies in operativer Hinsicht nicht möglich ist, kritische Einrichtungen eine erste Meldung bis spätestens 24 Stunden, nachdem sie sich eines Sicherheitsvorfalls bewusst geworden sind, übermitteln, gegebenenfalls gefolgt von einem ausführlichen Bericht spätestens einen Monat danach. Zur Bestimmung der Erheblichkeit einer Störung werden insbesondere folgende Parameter berücksichtigt:
a)
Anzahl und Anteil der von der Störung betroffenen Nutzer;
b)
Dauer der Störung;
c)
betroffenes geografisches Gebiet der Störung, unter Berücksichtigung des Umstandes, ob das Gebiet geografisch isoliert ist.
Hat ein Sicherheitsvorfall erhebliche Auswirkungen auf die Kontinuität der Erbringung wesentlicher Dienste für oder in sechs oder mehr Mitgliedstaaten oder könnte er solche Auswirkungen haben, so melden die zuständigen Behörden der vom Sicherheitsvorfall betroffenen Mitgliedstaaten diesen Sicherheitsvorfall der Kommission.
(2)
Die Meldungen gemäß Absatz 1 Unterabsatz 1 müssen sämtliche verfügbaren Informationen enthalten, die erforderlich sind, damit die zuständige Behörde Art, Ursache und mögliche Folgen des Sicherheitsvorfalls nachvollziehen und ermitteln kann, einschließlich verfügbarer Informationen, die notwendig sind, um zu bestimmen, ob der Sicherheitsvorfall grenzüberschreitende Auswirkungen hat. Solche Meldungen begründen keine höhere Haftung der betreffenden kritischen Einrichtung.
(3)
Auf der Grundlage der in einer Meldung gemäß Absatz 1 bereitgestellten Informationen der kritischen Einrichtung unterrichtet die entsprechende zuständige Behörde über die zentrale Anlaufstelle die zentralen Anlaufstellen anderer betroffener Mitgliedstaaten, sofern der Sicherheitsvorfall erhebliche Auswirkungen auf kritische Einrichtungen und die Aufrechterhaltung der Erbringung wesentlicher Dienste an einen oder mehrere andere Mitgliedstaaten oder in einem oder mehreren anderen Mitgliedstaaten hat oder haben könnte.
Zentrale Anlaufstellen, die Informationen gemäß Unterabsatz 1 senden und erhalten, behandeln im Einklang mit dem Unionsrecht oder mit dem nationalen Recht die Informationen so, dass ihre Vertraulichkeit gewahrt und die Sicherheit und die geschäftlichen Interessen der betreffenden kritischen Einrichtung geschützt werden.
(4)
So bald wie möglich nach einer Meldung gemäß Absatz 1 übermittelt die betreffende zuständige Behörde der betreffenden kritischen Einrichtung sachdienliche Folgeinformationen, unter anderem Informationen, die die wirksame Reaktion dieser kritischen Einrichtung auf den betreffenden Sicherheitsvorfall unterstützen könnten. Die Mitgliedstaaten informieren die Öffentlichkeit, wenn sie zu der Ansicht gelangen, dass dies im öffentlichen Interesse liegen würde.
Im KRITIS-DachG umgesetzt durch: § 18 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 18 · CER-Richtlinie (EU) 2022/2557

Beratungsmissionen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Auf Antrag eines Mitgliedstaats, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat, organisiert die Kommission eine Beratungsmission zur Bewertung der Maßnahmen, die jene kritische Einrichtung ergriffen hat, um ihren Verpflichtungen gemäß Kapitel III nachzukommen.
(2)
Aus eigenem Entschluss oder auf Antrag eines oder mehrerer Mitgliedstaaten, für den/die bzw. in dem/denen der wesentliche Dienst erbracht wird, und vorausgesetzt, der Mitgliedstaat, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat, stimmt dem zu, organisiert die Kommission eine Beratungsmission nach Absatz 1 des vorliegenden Artikels.
(3)
Auf einen begründeten Antrag der Kommission oder eines oder mehrerer Mitgliedstaaten, für den/die bzw. in dem/denen der wesentliche Dienst erbracht wird, stellt der Mitgliedstaat, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat, der Kommission Folgendes zur Verfügung:
a)
die entsprechenden Teile der Risikobewertung durch kritische Einrichtungen,
b)
eine Auflistung der gemäß Artikel 13 ergriffenen entsprechenden Maßnahmen,
c)
Aufsichts- oder Durchsetzungsmaßnahmen, die seine zuständige Behörde gemäß den Artikeln 21 und 22 in Bezug auf diese kritische Einrichtung ergriffen hat, einschließlich der Bewertungen der Einhaltung der Vorschriften oder der erteilten Anordnungen.
(4)
Die Beratungsmission erstattet der Kommission, dem Mitgliedstaat, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat, den Mitgliedstaaten, für die bzw. in denen der wesentliche Dienst erbracht wird, und der betreffenden kritischen Einrichtung innerhalb von drei Monaten nach Abschluss der Beratungsmission über ihre Ergebnisse Bericht.
Die Mitgliedstaaten, für die bzw. in denen der wesentliche Dienst erbracht wird, analysieren den in Unterabsatz 1 genannten Bericht und beraten die Kommission erforderlichenfalls in Bezug auf die Frage, ob die betreffende kritische Einrichtung von besonderer Bedeutung für Europa ihre Verpflichtungen nach Kapitel III erfüllt, und gegebenenfalls hinsichtlich der Maßnahmen, die ergriffen werden könnten, um die Resilienz dieser kritischen Einrichtung zu verbessern.
Auf der Grundlage der Ratschläge gemäß Unterabsatz 2 dieses Absatzes teilt die Kommission dem Mitgliedstaat, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat, den Mitgliedstaaten, für die bzw. in denen der wesentliche Dienst erbracht wird, und der betreffenden kritischen Einrichtung ihre Stellungnahme zu der Frage, ob diese kritische Einrichtung ihre Verpflichtungen nach Kapitel III erfüllt, und gegebenenfalls hinsichtlich der Maßnahmen, die ergriffen werden könnten, um die Resilienz dieser kritischen Einrichtung zu verbessern, mit.
Der Mitgliedstaat, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat, stellt sicher, dass seine zuständige Behörde und die betreffende kritische Einrichtung der Stellungnahme gemäß Unterabsatz 3 dieses Absatzes gebührend Rechnung tragen, und unterrichtet die Kommission und die Mitgliedstaaten, für die bzw. in denen der wesentliche Dienst erbracht wird, über die Maßnahmen, die er aufgrund dieser Stellungnahme ergriffen hat.
(5)
Jede Beratungsmission setzt sich aus Sachverständigen des Mitgliedstaats, in dem sich die kritische Einrichtung von besonderer Bedeutung für Europa befindet, aus Sachverständigen der Mitgliedstaaten, für die bzw. in denen der wesentliche Dienst erbracht wird, und Vertretern der Kommission zusammen. Diese Mitgliedstaaten können Kandidaten vorschlagen, die an einer Beratungsmission teilnehmen sollen. Die Kommission wählt nach Absprache mit dem Mitgliedstaat, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat, die Mitglieder jeder Beratungsmission nach Maßgabe ihrer fachlichen Eignung und, soweit möglich, unter Gewährleistung einer geografisch ausgewogenen Vertretung aus allen diesen Mitgliedstaaten aus und ernennt sie. Erforderlichenfalls müssen die Mitglieder der Beratungsmission über eine gültige und angemessene Sicherheitsüberprüfung verfügen. Die Kommission trägt die Kosten im Zusammenhang mit der Teilnahme an Beratungsmissionen.
Die Kommission organisiert das Programm jeder Beratungsmission in Absprache mit den Mitgliedern der betreffenden Beratungsmission und im Einvernehmen mit dem Mitgliedstaat, der eine kritische Einrichtung von besonderer Bedeutung für Europa als kritische Einrichtung gemäß Artikel 6 Absatz 1 ermittelt hat.
(6)
Die Kommission erlässt einen Durchführungsrechtsakt zur Festlegung von Vorschriften über die Verfahrensmodalitäten für Anträge zur Organisation der Beratungsmissionen, für die Bearbeitung solcher Anträge, für die Durchführung und die Berichterstattung von Beratungsmissionen sowie für die Handhabung der Mitteilung der in Absatz 4 Unterabsatz 3 des vorliegenden Artikels genannten Stellungnahme der Kommission und der ergriffenen Maßnahmen, wobei sie der Vertraulichkeit und der wirtschaftlichen Sensibilität der betreffenden Informationen gebührend Rechnung trägt. Dieser Durchführungsrechtsakt wird gemäß dem in Artikel 24 Absatz 2 genannten Prüfverfahren erlassen.
(7)
Die Mitgliedstaaten stellen sicher, dass die kritischen Einrichtungen von besonderer Bedeutung für Europa den Beratungsmissionen Zugang zu Informationen, Systemen und Anlagen im Zusammenhang mit der Erbringung ihrer wesentlichen Dienste gewähren, die zur Durchführung der betreffenden Beratungsmission erforderlich sind.
(8)
Beratungsmissionen werden im Einklang mit dem geltenden nationalen Recht des Mitgliedstaats, in dem sie stattfinden, durchgeführt, wobei die Verantwortung dieses Mitgliedstaats für die nationale Sicherheit und den Schutz seiner Sicherheitsinteressen zu achten ist.
(9)
Bei der Organisation der Beratungsmissionen berücksichtigt die Kommission gegebenenfalls die Berichte über alle etwaigen Inspektionen gemäß den Verordnungen (EG) Nr. 725/2004 und (EG) Nr. 300/2008 sowie über jegliche Überwachung gemäß der Richtlinie 2005/65/EG, die die Kommission in Bezug auf die betreffende kritische Einrichtung durchgeführt hat.
(10)
Die Kommission unterrichtet die gemäß Artikel 19 genannte Gruppe für die Resilienz kritischer Einrichtungen, wenn eine Beratungsmission organisiert wird. Der Mitgliedstaat, in dem die Beratungsmission durchgeführt wurde, und die Kommission unterrichten im Hinblick auf die Förderung gegenseitiger Lernprozesse die Gruppe für die Resilienz kritischer Einrichtungen auch über die wichtigsten Ergebnisse der Beratungsmission und die gewonnenen Erkenntnisse.
Im KRITIS-DachG umgesetzt durch: § 9, § 10 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 21 · CER-Richtlinie (EU) 2022/2557

Aufsicht und Durchsetzung

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Im Hinblick auf die Beurteilung, ob die Einrichtungen, die die Mitgliedstaaten gemäß Artikel 6 Absatz 1 als kritische Einrichtungen eingestuft haben, die in dieser Richtlinie festgelegten Verpflichtungen erfüllen, stellen die Mitgliedstaaten sicher, dass die zuständigen Behörden über die Befugnisse und Mittel verfügen, um
a)
Vor-Ort-Kontrollen der kritischen Infrastruktur und der Räumlichkeiten, die die kritische Einrichtung für die Erbringung ihrer wesentlichen Dienste nutzt, und externe Aufsichtsmaßnahmen bezüglich der von kritischen Einrichtungen ergriffenen Maßnahmen gemäß Artikel 13 durchzuführen;
b)
Audits bei kritischen Einrichtungen durchzuführen oder anzuordnen.
(2)
Die Mitgliedstaaten stellen sicher, dass die zuständigen Behörden über die Befugnisse und Mittel verfügen, von den Einrichtungen gemäß der Richtlinie (EU) 2022/2555, die die Mitgliedstaaten gemäß dieser Richtlinie als kritische Einrichtungen eingestuft haben, — wenn dies für die Wahrnehmung ihrer Aufgaben gemäß dieser Richtlinie erforderlich ist — zu verlangen, dass sie innerhalb einer von diesen Behörden festgelegten angemessenen Frist Folgendes übermitteln:
a)
die Informationen, die erforderlich sind, um beurteilen zu können, ob die Maßnahmen, die diese Einrichtungen zur Gewährleistung ihrer Resilienz ergriffen haben, die Anforderungen gemäß Artikel 13 erfüllen;
b)
Nachweise der wirksamen Umsetzung dieser Maßnahmen, einschließlich der Ergebnisse eines Audits, das von einem unabhängigen und qualifizierten von der betreffenden Einrichtung ausgewählten Prüfer auf Kosten der betreffenden Einrichtung durchgeführt wurde.
Bei der Anforderung dieser Informationen nennen die zuständigen Behörden den Zweck und geben an, welche Informationen verlangt werden.
(3)
Unbeschadet der Möglichkeit, Sanktionen gemäß Artikel 22 zu verhängen, können die zuständigen Behörden im Anschluss an die in Absatz 1 des vorliegenden Artikels genannten Aufsichtsmaßnahmen oder die Prüfung der in Absatz 2 des vorliegenden Artikels genannten Informationen die betreffenden kritischen Einrichtungen anweisen, erforderliche und verhältnismäßige Maßnahmen zu ergreifen, um festgestellte Verstöße gegen diese Richtlinie innerhalb einer von diesen Behörden gesetzten angemessenen Frist zu beheben, und diesen Behörden Informationen über die ergriffenen Maßnahmen zu übermitteln. Diese Anweisungen tragen insbesondere der Schwere des Verstoßes Rechnung.
(4)
Die Mitgliedstaaten stellen sicher, dass die in den Absätzen 1, 2 und 3 vorgesehenen Befugnisse nur vorbehaltlich angemessener Garantien ausgeübt werden können. Diese Garantien gewährleisten insbesondere, dass die Befugnisse auf objektive, transparente und verhältnismäßige Weise ausgeübt werden und dass die Rechte und berechtigten Interessen der betreffenden kritischen Einrichtungen — wie der Schutz von Handels- und Geschäftsgeheimnissen — ordnungsgemäß gewahrt werden, einschließlich ihres Rechts auf Anhörung, Verteidigung und eines wirksamen Rechtsbehelfs vor einem unabhängigen Gericht.
(5)
Die Mitgliedstaaten stellen sicher, dass eine nach dieser Richtlinie zuständige Behörde, wenn sie die Erfüllung der Verpflichtungen einer kritischen Einrichtung gemäß diesem Artikel bewertet, dies den gemäß der Richtlinie (EU) 2022/2555 zuständigen Behörden der betreffenden Mitgliedstaaten mitteilt. Zu diesem Zweck stellen die Mitgliedstaaten sicher, dass nach dieser Richtlinie zuständige Behörden die zuständigen Behörden gemäß der Richtlinie (EU) 2022/2555 ersuchen können, ihre Aufsichts- und Durchsetzungsbefugnisse in Bezug auf eine in den Anwendungsbereich dieser Richtlinie fallende Einrichtung auszuüben, die gemäß der vorliegenden Richtlinie als kritische Einrichtung eingestuft wurde. Zu diesem Zweck stellen die Mitgliedstaaten sicher, dass die nach dieser Richtlinie zuständigen Behörden mit den zuständigen Behörden gemäß der Richtlinie (EU) 2022/2555 zusammenarbeiten und Informationen austauschen.
Im KRITIS-DachG umgesetzt durch: § 16 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 22 · CER-Richtlinie (EU) 2022/2557

Sanktionen

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen die gemäß dieser Richtlinie erlassenen nationalen Vorschriften zu verhängen sind, und treffen alle für die Anwendung der Sanktionen erforderlichen Maßnahmen. Die vorgesehenen Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Die Mitgliedstaaten teilen der Kommission diese Vorschriften und Maßnahmen bis zum 17. Oktober 2024 mit und melden ihr umgehend etwaige spätere diesbezügliche Änderungen.
Im KRITIS-DachG umgesetzt durch: § 24 (lt. Gesetzesbegründung BT-Drs. 21/2510 (RegE KRITIS-DachG), Einzelbegründung — Volltext im Korpus.)
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Artikel 26 · CER-Richtlinie (EU) 2022/2557

Umsetzung

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
(1)
Bis zum 17. Oktober 2024 erlassen und veröffentlichen die Mitgliedstaaten die erforderlichen Vorschriften, um dieser Richtlinie nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis.
Sie wenden diese Vorschriften ab dem 18. Oktober 2024 an.
(2)
Bei Erlass der Vorschriften nach Absatz 1 nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten dieser Bezugnahme.
Deutsche Umsetzung: KRITIS-DachG, BGBl. 2026 I Nr. 66
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Anhang · CER-Richtlinie (EU) 2022/2557

SEKTOREN, TEILSEKTOREN UND KATEGORIEN VON EINRICHTUNGEN

Referenztext — die Richtlinie bindet die Mitgliedstaaten; für Betreiber in Deutschland gilt das KRITIS-DachG.
SektorenTeilsektorenKategorien von Einrichtungen
1. Energiea) Strom— Elektrizitätsunternehmen im Sinne des Artikels 2 Nummer 57 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (1), die die Funktion „Versorgung“ im Sinne des Artikels 2 Nummer 12 jener Richtlinie wahrnehmen
— Verteilernetzbetreiber im Sinne des Artikels 2 Nummer 29 der Richtlinie (EU) 2019/944
— Übertragungsnetzbetreiber im Sinne des Artikels 2 Nummer 35 der Richtlinie (EU) 2019/944
— Erzeuger im Sinne des Artikels 2 Nummer 38 der Richtlinie (EU) 2019/944
— Nominierte Strommarktbetreiber im Sinne des Artikels 2 Nummer 8 der Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates (2)
— Marktteilnehmer im Sinne des Artikels 2 Nummer 25 der Verordnung (EU) 2019/943, die Aggregierungs-, Laststeuerungs- oder Energiespeicherungsdienste im Sinne des Artikels 2 Nummern 18, 20 und 59 der Richtlinie (EU) 2019/944 anbieten
b) Fernwärme und -kälte— Betreiber von Fernwärme- oder -kälte im Sinne des Artikels 2 Nummer 19 der Richtlinie (EU) 2018/2001 des Europäischen Parlaments und des Rates (3)
c) Erdöl— Betreiber von Erdöl-Fernleitungen
— Betreiber von Anlagen zur Produktion, Raffination und Aufbereitung von Erdöl sowie von Erdöllagern und Erdöl-Fernleitungen
— Zentrale Bevorratungsstellen im Sinne des Artikels 2 Buchstabe f der Richtlinie 2009/119/EG des Rates (4)
d) Erdgas— Versorgungsunternehmen im Sinne des Artikels 2 Nummer 8 der Richtlinie 2009/73/EG des Europäischen Parlaments und des Rates (5)
— Verteilernetzbetreiber im Sinne des Artikels 2 Nummer 6 der Richtlinie 2009/73/EG
— Fernleitungsnetzbetreiber im Sinne des Artikels 2 Nummer 4 der Richtlinie 2009/73/EG
— Betreiber einer Speicheranlage im Sinne des Artikels 2 Nummer 10 der Richtlinie 2009/73/EG
— Betreiber einer LNG-Anlage im Sinne des Artikels 2 Nummer 12 der Richtlinie 2009/73/EG
— Erdgasunternehmen im Sinne des Artikels 2 Nummer 1 der Richtlinie 2009/73/EG
— Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas
e) Wasserstoff— Betreiber im Bereich Wasserstofferzeugung, -speicherung und -fernleitung
2. Verkehra) Luftfahrt— Luftfahrtunternehmen im Sinne des Artikels 3 Nummer 4 der Verordnung (EG) Nr. 300/2008, die für gewerbliche Zwecke genutzt werden
— Flughafenleitungsorgane im Sinne des Artikels 2 Nummer 2 der Richtlinie 2009/12/EG des Europäischen Parlaments und des Rates (6), Flughäfen im Sinne des Artikels 2 Nummer 1 jener Richtlinie, einschließlich der in Anhang II Abschnitt 2 der Verordnung (EU) Nr. 1315/2013 des Europäischen Parlaments und des Rates (7) aufgeführten Flughäfen des Kernnetzes, und Einrichtungen, die innerhalb von Flughäfen befindliche zugehörige Einrichtungen betreiben
— Betreiber von Verkehrsmanagement- und Verkehrssteuerungssystemen, die Flugverkehrskontrolldienste im Sinne des Artikels 2 Nummer 1 der Verordnung (EG) Nr. 549/2004 des Europäischen Parlaments und des Rates (8) bereitstellen
b) Schienenverkehr— Infrastrukturbetreiber im Sinne des Artikels 3 Nummer 2 der Richtlinie 2012/34/EU des Europäischen Parlaments und des Rates (9)
— Eisenbahnunternehmen im Sinne des Artikels 3 Nummer 1 der Richtlinie 2012/34/EU und Betreiber einer Serviceeinrichtung im Sinne des Artikels 3 Nummer 12 jener Richtlinie
c) Schifffahrt— Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt, wie sie in Anhang I der Verordnung (EG) Nr. 725/2004 für die Schifffahrt definiert sind, ausschließlich der einzelnen von diesen Unternehmen betriebenen Schiffe
— Leitungsorgane von Häfen im Sinne des Artikels 3 Absatz 1 der Richtlinie 2005/65/EG, einschließlich ihrer Hafenanlagen im Sinne des Artikels 2 Nummer 11 der Verordnung (EG) Nr. 725/2004, sowie Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben
— Betreiber von Schiffsverkehrsdiensten im Sinne des Artikels 3 Buchstabe o der Richtlinie 2002/59/EG des Europäischen Parlaments und des Rates (10)
d) Straßenverkehr— Straßenverkehrsbehörden im Sinne des Artikels 2 Nummer 12 der Delegierten Verordnung (EU) 2015/962 der Kommission (11), die für Verkehrsmanagement und Verkehrssteuerung verantwortlich sind, ausgenommen öffentliche Einrichtungen, für die das Verkehrsmanagement oder der Betrieb intelligenter Verkehrssysteme ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist
— Betreiber intelligenter Verkehrssysteme im Sinne des Artikels 4 Nummer 1 der Richtlinie 2010/40/EU des Europäischen Parlaments und des Rates (12)
e) Öffentlicher Verkehr— Betreiber eines öffentlichen Dienstes im Sinne des Artikels 2 Buchstabe d der Verordnung (EG) Nr. 1370/2007 des Europäischen Parlaments und des Rates (13)
3. Bankwesen— Kreditinstitute im Sinne des Artikels 4 Nummer 1 der Verordnung (EU) Nr. 575/2013
4. Finanzmarktinfrastrukturen— Betreiber von Handelsplätzen im Sinne des Artikels 4 Nummer 24 der Richtlinie 2014/65/EU
— Zentrale Gegenparteien (CCP) im Sinne des Artikels 2 Nummer 1 der Verordnung (EU) Nr. 648/2012
5. Gesundheit— Gesundheitsdienstleister im Sinne des Artikels 3 Buchstabe g der Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates (14)
— EU-Referenzlaboratorien im Sinne des Artikels 15 der Verordnung (EU) 2022/2371 des Europäischen Parlaments und des Rates (15)
— Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel im Sinne des Artikels 1 Nummer 2 der Richtlinie 2001/83/EG des Europäischen Parlaments und des Rates (16) ausüben
— Einrichtungen, die pharmazeutische Erzeugnisse im Sinne des Abschnitts C Abteilung 21 der Statistischen Systematik der Wirtschaftszweige in der Europäischen Gemeinschaft (NACE Rev. 2) herstellen
— Einrichtungen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch im Sinne des Artikels 22 der Verordnung (EU) 2022/123 des Europäischen Parlaments und des Rates (17) („Liste kritischer Medizinprodukte für Notlagen im Bereich der öffentlichen Gesundheit“) eingestuft werden
— Einrichtungen, die eine Großhandelsgenehmigung im Sinne des Artikels 79 der Richtlinie 2001/83/EG besitzen
6. Trinkwasser— Lieferanten von und Unternehmen der Versorgung mit „Wasser für den menschlichen Gebrauch“ im Sinne des Artikels 2 Nummer 1 Buchstabe a der Richtlinie (EU) 2020/2184 des Europäischen Parlaments und des Rates (18), unter Ausschluss der Lieferanten, für die die Lieferung von Wasser für den menschlichen Gebrauch ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit der Lieferung anderer Rohstoffe und Güter ist
7. Abwasser— Unternehmen, die kommunales, häusliches oder industrielles Abwasser im Sinne des Artikels 2 Nummern 1 bis 3 der Richtlinie 91/271/EWG des Rates (19) sammeln, entsorgen oder behandeln, unter Ausschluss der Unternehmen, für die das Sammeln, die Entsorgung oder die Behandlung solchen Abwassers ein nicht wesentlicher Teil ihrer allgemeinen Tätigkeit ist
8. Digitale Infrastruktur— Betreiber von Internet-Knoten im Sinne des Artikels 6 Nummer 18 der Richtlinie (EU) 2022/2555
— DNS-Diensteanbieter im Sinne des Artikels 6 Nummer 20 der Richtlinie (EU) 2022/2555, ausgenommen Betreiber von Root-Namenservern
— TLD-Namenregister im Sinne des Artikels 6 Nummer 21 der Richtlinie (EU) 2022/2555
— Anbieter von Cloud-Computing-Diensten im Sinne des Artikels 6 Nummer 30 der Richtlinie (EU) 2022/2555
— Anbieter von Rechenzentrumsdiensten im Sinne des Artikels 6 Nummer 31 der Richtlinie (EU) 2022/2555
— Betreiber von Inhaltszustellnetzen im Sinne des Artikels 6 Nummer 32 der Richtlinie (EU) 2022/2555
— Vertrauensdiensteanbieter im Sinne des Artikels 3 Nummer 19 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates (20)
— Anbieter öffentlicher elektronischer Kommunikationsnetze im Sinne des Artikels 2 Nummer 8 der Richtlinie (EU) 2018/1972 des Europäischen Parlaments und des Rates (21)
— Anbieter elektronischer Kommunikationsdienste im Sinne des Artikels 2 Nummer 4 der Richtlinie (EU) 2018/1972, soweit deren Dienste öffentlich zugänglich sind
9. Öffentliche Verwaltung— Einrichtungen der öffentlichen Verwaltung von Zentralregierungen entsprechend der jeweiligen Definition der Mitgliedstaaten gemäß nationalem Recht
10. Weltraum— Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden und die Erbringung von weltraumgestützten Diensten unterstützen, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze im Sinne des Artikels 2 Nummer 8 der Richtlinie (EU) 2018/1972
11. Produktion, Verarbeitung und Vertrieb von Lebensmitteln— Lebensmittelunternehmen im Sinne des Artikels 3 Nummer 2 der Verordnung (EG) Nr. 178/2002 des Europäischen Parlaments und des Rates (22), die ausschließlich Logistik und Großhandel sowie industrielle Großproduktion und -verarbeitung betreiben
(1) Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates vom 5. Juni 2019 mit gemeinsamen Vorschriften für den Elektrizitätsbinnenmarkt und zur Änderung der Richtlinie 2012/27/EU (ABl. L 158 vom 14.6.2019, S. 125).
(2) Verordnung (EU) 2019/943 des Europäischen Parlaments und des Rates vom 5. Juni 2019 über den Elektrizitätsbinnenmarkt (ABl. L 158 vom 14.6.2019, S. 54).
(3) Richtlinie (EU) 2018/2001 des Europäischen Parlaments und des Rates vom 11. Dezember 2018 zur Förderung der Nutzung von Energie aus erneuerbaren Quellen (ABl. L 328 vom 21.12.2018, S. 82).
(4) Richtlinie 2009/119/EG des Rates vom 14. September 2009 zur Verpflichtung der Mitgliedstaaten, Mindestvorräte an Erdöl und/oder Erdölerzeugnissen zu halten (ABl. L 265 vom 9.10.2009, S. 9).
(5) Richtlinie 2009/73/EG des Europäischen Parlaments und des Rates vom 13. Juli 2009 über gemeinsame Vorschriften für den Erdgasbinnenmarkt und zur Aufhebung der Richtlinie 2003/55/EG (ABl. L 211 vom 14.8.2009, S. 94).
(6) Richtlinie 2009/12/EG des Europäischen Parlaments und des Rates vom 11. März 2009 über Flughafenentgelte (ABl. L 70 vom 14.3.2009, S. 11).
(7) Verordnung (EU) Nr. 1315/2013 des Europäischen Parlaments und des Rates vom 11. Dezember 2013 über Leitlinien der Union für den Aufbau eines transeuropäischen Verkehrsnetzes und zur Aufhebung des Beschlusses Nr. 661/2010/EU (ABl. L 348 vom 20.12.2013, S. 1).
(8) Verordnung (EG) Nr. 549/2004 des Europäischen Parlaments und des Rates vom 10. März 2004 zur Festlegung des Rahmens für die Schaffung eines einheitlichen europäischen Luftraums („Rahmenverordnung“) (ABl. L 96 vom 31.3.2004, S. 1).
(9) Richtlinie 2012/34/EU des Europäischen Parlaments und des Rates vom 21. November 2012 zur Schaffung eines einheitlichen europäischen Eisenbahnraums (ABl. L 343 vom 14.12.2012, S. 32).
(10) Richtlinie 2002/59/EG des Europäischen Parlaments und des Rates vom 27. Juni 2002 über die Einrichtung eines gemeinschaftlichen Überwachungs- und Informationssystems für den Schiffsverkehr und zur Aufhebung der Richtlinie 93/75/EWG des Rates (ABl. L 208 vom 5.8.2002, S. 10).
(11) Delegierte Verordnung (EU) 2015/962 der Kommission vom 18. Dezember 2014 zur Ergänzung der Richtlinie 2010/40/EU des Europäischen Parlaments und des Rates hinsichtlich der Bereitstellung EU-weiter Echtzeit-Verkehrsinformationsdienste (ABl. L 157 vom 23.6.2015, S. 21).
(12) Richtlinie 2010/40/EU des Europäischen Parlaments und des Rates vom 7. Juli 2010 zum Rahmen für die Einführung intelligenter Verkehrssysteme im Straßenverkehr und für deren Schnittstellen zu anderen Verkehrsträgern (ABl. L 207 vom 6.8.2010, S. 1).
(13) Verordnung (EG) Nr. 1370/2007 des Europäischen Parlaments und des Rates vom 23. Oktober 2007 über öffentliche Personenverkehrsdienste auf Schiene und Straße und zur Aufhebung der Verordnungen (EWG) Nr. 1191/69 und (EWG) Nr. 1107/70 des Rates (ABl. L 315 vom 3.12.2007, S. 1).
(14) Richtlinie 2011/24/EU des Europäischen Parlaments und des Rates vom 9. März 2011 über die Ausübung der Patientenrechte in der grenzüberschreitenden Gesundheitsversorgung (ABl. L 88 vom 4.4.2011, S. 45).
(15) Verordnung (EU) 2022/2371 des Europäischen Parlaments und des Rates vom 23. November 2022 zu schwerwiegenden grenzüberschreitenden Gesundheitsgefahren und zur Aufhebung des Beschlusses Nr. 1082/2013/EU (ABl. L 314 vom 6.12.2022, S. 26).
(16) Richtlinie 2001/83/EG des Europäischen Parlaments und des Rates vom 6. November 2001 zur Schaffung eines Gemeinschaftskodexes für Humanarzneimittel (ABl. L 311 vom 28.11.2001, S. 67).
(17) Verordnung (EU) 2022/123 des Europäischen Parlaments und des Rates vom 25. Januar 2022 zu einer verstärkten Rolle der Europäischen Arzneimittel-Agentur bei der Krisenvorsorge und -bewältigung in Bezug auf Arzneimittel und Medizinprodukte (ABl. L 20 vom 31.1.2022, S. 1).
(18) Richtlinie (EU) 2020/2184 des Europäischen Parlaments und des Rates vom 16. Dezember 2020 über die Qualität von Wasser für den menschlichen Gebrauch (ABl. L 435 vom 23.12.2020, S. 1).
(19) Richtlinie 91/271/EWG des Rates vom 21. Mai 1991 über die Behandlung von kommunalem Abwasser (ABl. L 135 vom 30.5.1991, S. 40).
(20) Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG (ABl. L 257 vom 28.8.2014, S. 73).
(21) Richtlinie (EU) 2018/1972 des Europäischen Parlaments und des Rates vom 11. Dezember 2018 über den europäischen Kodex für die elektronische Kommunikation (ABl. L 321 vom 17.12.2018, S. 36).
(22) Verordnung (EG) Nr. 178/2002 des Europäischen Parlaments und des Rates vom 28. Januar 2002 zur Festlegung der allgemeinen Grundsätze und Anforderungen des Lebensmittelrechts, zur Errichtung der Europäischen Behörde für Lebensmittelsicherheit und zur Festlegung von Verfahren zur Lebensmittelsicherheit (ABl. L 31 vom 1.2.2002, S. 1).
Amtlicher Volltext: EUR-Lex · CELEX 32022L2557 · © Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.

CER-Cockpit

Normenkette KRITIS-DachG → BSI-KritisV (Scoping) → DelVO 2023/2450 · CER-RL als Popup-Referenz
28 Sollmaßnahmen · Katalog V0.2· Entwurf

Die abgebildeten Rechtstexte

RechtstextAmtliche QuelleBerichtigung
KRITIS-DachGdeutsches Umsetzungsgesetz (das Treibende für Betreiber)gesetze-im-internet.de · BGBl. 2026 I Nr. 66—
BSI-Kritisverordnungkritische Anlagen und Schwellenwerte (gilt fort)gesetze-im-internet.de—
DelVO (EU) 2023/2450nicht erschöpfende Liste wesentlicher DiensteEUR-Lex · CELEX 32023R2450—
CER-Richtlinie (EU) 2022/2557EU-Rahmen (Referenz, kein eigener Navigationsbereich)EUR-Lex · CELEX 32022L2557—
Die Erwägungsgründe der EU-Rechtsakte sind im Navigator nicht abgebildet — der amtliche Volltext samt Erwägungsgründen ist bei EUR-Lex abrufbar (Links in der Tabelle).
© Europäische Union, https://eur-lex.europa.eu, 1998–2026 — Wiedergabe gemäß Beschluss 2011/833/EU; nur die im Amtsblatt der EU veröffentlichten Texte sind verbindlich.
Eingebettete deutsche Gesetzestexte sind amtliche Werke (§ 5 UrhG) und gemeinfrei; unverändert wiedergegeben. Quelle: gesetze-im-internet.de (BMJ / juris GmbH) bzw. Bundesgesetzblatt. Verbindlich ist die im BGBl. verkündete Fassung.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.

Compliance-Hinweise

Nutzungsrechte, Autorenschaft, rechtliche Einordnung und Aktualisierungsstand dieses Werks — bitte vor der Nutzung zur Kenntnis nehmen.
Urheberrechtshinweis

Alle Inhalte des CER-Navigators (nachfolgend: „das Werk“), insbesondere Texte, Tabellen und Grafiken, sind zu Gunsten von Frau Dr. Marlen Hofmann urheberrechtlich geschützt, sie ist alleinige Urheberin.

Die Nutzungsrechte an diesem Werk werden wie nachfolgend dargestellt dem jeweiligen Nutzer eingeräumt, dies gegen Zahlung des vereinbarten Lizenzentgeltes.

Es wird ein einfaches, zeitlich unbegrenztes Nutzungsrecht eingeräumt. Die Nutzung des Werks ist ausschließlich für eigene interne Zwecke des erwerbenden Unternehmens gestattet. Eine Vervielfältigung ist in diesem internen Rahmen gestattet, etwa zur Verteilung an interne Fachabteilungen. Die Einbindung in interne IT-Systeme (etwa ISMS-Tools, GRC-Tools oder vergleichbare interne Anwendungen) des erwerbenden Unternehmens ist ebenfalls gestattet. Sollte diesbezüglich auf Grund technischer Gegebenheiten eine Bearbeitung des Werkes erforderlich sein (etwa im Sinne des Komprimierens oder einer Formatänderung) ist ein Bearbeitungsrecht genehmigt, was über diese technischen Erfordernisse jedoch nicht hinausgeht. Insbesondere darf eine inhaltliche Bearbeitung des Werkes nicht vorgenommen werden, wozu auch Übersetzungen gehören.

Die Übertragung der eingeräumten Nutzungsrechte an Dritte ist nicht gestattet. Davon erfasst sind ebenfalls in Verbindung mit dem erwerbenden Unternehmen stehende Gesellschaften (wie Tochter- oder Mutterunternehmen oder Beteiligungsgesellschaften). Solche Drittunternehmen haben eine eigenständige Lizenz zu erwerben, wobei eine umfangreiche Konzernlizenz bei Frau Dr. Marlen Hofmann angefragt werden kann.

Nicht gestattet ist im Rahmen dieser Lizenz zudem die Verwendung des Werks im Rahmen des Trainings eines KI-Modells (sei es ein externes oder internes). Zulässig ist jedoch die Einbindung des Werkes in eigene, unternehmensinterne KI-Systeme, welche als Wissensbasis dienen. Eine Einbindung des Werkes in Produkte, Dienstleistungen oder andere Tätigkeiten, die das erwerbende Unternehmen Dritten zur Verfügung stellt, ist nicht gestattet. Hierfür sind durch diese Dritte eigenständige Lizenzen zu erwerben.

Ein Verbreitungs-, Ausstellungs-, Vortrags-, Aufführungsrecht wird ebenso wenig eingeräumt wie das Recht der öffentlichen Zugänglichmachung. Es wird bestätigt, dass Frau Dr. Marlen Hofmann ausschließliche Urheberin des Werkes ist und ihr keine Rechte Dritter an dem Werk bekannt sind. Eine Gewährleistung für das Nichtbestehen solcher Rechte ist jedoch ausdrücklich ausgeschlossen. Gleichzeitig übernimmt Frau Dr. Marlen Hofmann keine Haftung für Ansprüche Dritter, welche sich aus einer unsachgemäßen und insbesondere nicht von der Rechteeinräumung umfassten Nutzung des Werkes ergeben.

Ebenso wird darauf hingewiesen, dass lediglich ein Nutzungsrecht an der hier angebotenen Version des Werkes eingeräumt wird. Ein Anspruch auf Vollständigkeit oder Richtigkeit des Inhalts besteht nicht. Ebenso entsteht kein Anspruch auf Weiterentwicklung, Ergänzung oder Aktualisierung des Werkes seitens Frau Dr. Marlen Hofmann.

Für die Einräumung etwaiger weitergehender Nutzungsrechte möge bitte eine Anfrage an Dr. Marlen Hofmann direkt gestellt werden.

Hinweis zur Autorenschaft und Nebentätigkeit

Das Werk wurde im Rahmen einer privaten Nebentätigkeit erstellt. Sämtliche Analysen, Interpretationen und Einschätzungen in diesem Werk spiegeln ausschließlich die persönliche fachliche Sichtweise der Autorin wider. Sie stehen in keinem Zusammenhang mit den Ansichten, Richtlinien oder Vorgaben ihres Arbeitgebers und stellen keine offizielle Stellungnahme ihres Arbeitgebers dar. Das Werk ist mit KI-Unterstützung entstanden: Softwarecode und Darstellung wurden überwiegend maschinell erzeugt, unter fachlicher Anleitung und Prüfung der Autorin; die Kopfmotive stammen aus einem KI-Bildgenerator. Die fachlichen Inhalte — Sollmaßnahmen, Einordnungen und Auslegungen — stammen von der Autorin und wurden einzeln geprüft und freigegeben.

Hinweis zur Verwendung und rechtlichen Einordnung

Die dargestellten Sollmaßnahmen basieren auf einer intensiven fachlichen Auseinandersetzung der Autorin mit den zugrunde liegenden Rechtsakten und den dazugehörigen Regulierungsstandards. Das Werk dient ausschließlich als fachliche Orientierungshilfe für die praktische Umsetzung der regulatorischen Anforderungen und erhebt keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.

Die Inhalte dieses Werks stellen keine Rechtsberatung dar und können eine solche nicht ersetzen. Für die konkrete Umsetzung regulatorischer Anforderungen im jeweiligen Einzelfall sollten bei Bedarf qualifizierte rechtliche oder fachliche Beratungen eingeholt werden. Die Herausgeberin übernimmt keine Haftung für Entscheidungen, Maßnahmen, Schäden oder Verluste, die unmittelbar oder mittelbar aus der Nutzung oder Interpretation dieses Werks entstehen.

Rechtsgrundlage der Quellennutzung

Dieses Werk bettet fremde, öffentlich zugängliche Rechts- und Aufsichtstexte ein und verwertet sie im Rahmen der jeweils geltenden Nutzungsbedingungen. Grundlage und Bedingungen je Quelle:

EU-Rechtsakte (EUR-Lex): Die eingebetteten EU-Rechtsakte werden gemäß dem Beschluss 2011/833/EU über die Weiterverwendung von Kommissionsdokumenten wiedergegeben; die kommerzielle Nutzung ist danach zulässig. Quelle: © Europäische Union, eur-lex.europa.eu. Verbindlich sind allein die im Amtsblatt der Europäischen Union veröffentlichten Fassungen.

Deutsche Gesetze: Die eingebetteten deutschen Gesetzestexte sind amtliche Werke und nach § 5 UrhG gemeinfrei; sie werden unverändert wiedergegeben. Quelle: gesetze-im-internet.de (Bundesministerium der Justiz / juris GmbH) bzw. Bundesgesetzblatt. Verbindlich ist die im Bundesgesetzblatt verkündete Fassung.

Gesetzesbegründungen (Bundestagsdrucksachen): Die zitierten Auszüge aus den Begründungen deutscher Gesetzentwürfe sind amtliche Werke und nach § 5 Abs. 2 UrhG gemeinfrei; sie werden wörtlich und unter Angabe der jeweiligen Drucksache an der Fundstelle wiedergegeben (Quellenangabe entsprechend § 63 UrhG). Quelle: Deutscher Bundestag, Drucksachen (dserver.bundestag.de). Verbindlich ist allein der verkündete Gesetzestext; die Begründung gibt die Auffassung der Entwurfsverfasser wieder.

Schriften: Das Werk bettet die Schriftarten Kanit (Copyright 2020 The Kanit Project Authors) und Open Sans (Copyright 2020 The Open Sans Project Authors) als Schriftdatei ein. Beide stehen unter der SIL Open Font License 1.1 (openfontlicense.org); sie werden unverändert weitergegeben. Der Lizenztext ist im folgenden Abschnitt im Wortlaut wiedergegeben. Die Lizenz erfasst allein die Schriftdateien, nicht das Werk im Übrigen.

Lizenztext der eingebetteten Schriften (SIL Open Font License 1.1)

Die beiden im Werk eingebetteten Schriften stehen unter der nachfolgend im Wortlaut wiedergegebenen SIL Open Font License, Version 1.1. Der Lizenztext ist die englische Originalfassung und wird unverändert wiedergegeben; er gilt allein für die Schriftdateien, nicht für das Werk im Übrigen.

Copyright 2020 The Kanit Project Authors (https://github.com/cadsondemak/kanit)

Copyright 2020 The Open Sans Project Authors (https://github.com/googlefonts/opensans)

This Font Software is licensed under the SIL Open Font License, Version 1.1. This license is copied below, and is also available with a FAQ at: https://openfontlicense.org

SIL OPEN FONT LICENSE Version 1.1 - 26 February 2007

PREAMBLE

The goals of the Open Font License (OFL) are to stimulate worldwide development of collaborative font projects, to support the font creation efforts of academic and linguistic communities, and to provide a free and open framework in which fonts may be shared and improved in partnership with others.

The OFL allows the licensed fonts to be used, studied, modified and redistributed freely as long as they are not sold by themselves. The fonts, including any derivative works, can be bundled, embedded, redistributed and/or sold with any software provided that any reserved names are not used by derivative works. The fonts and derivatives, however, cannot be released under any other type of license. The requirement for fonts to remain under this license does not apply to any document created using the fonts or their derivatives.

DEFINITIONS

"Font Software" refers to the set of files released by the Copyright Holder(s) under this license and clearly marked as such. This may include source files, build scripts and documentation.

"Reserved Font Name" refers to any names specified as such after the copyright statement(s).

"Original Version" refers to the collection of Font Software components as distributed by the Copyright Holder(s).

"Modified Version" refers to any derivative made by adding to, deleting, or substituting -- in part or in whole -- any of the components of the Original Version, by changing formats or by porting the Font Software to a new environment.

"Author" refers to any designer, engineer, programmer, technical writer or other person who contributed to the Font Software.

PERMISSION & CONDITIONS

Permission is hereby granted, free of charge, to any person obtaining a copy of the Font Software, to use, study, copy, merge, embed, modify, redistribute, and sell modified and unmodified copies of the Font Software, subject to the following conditions:

1) Neither the Font Software nor any of its individual components, in Original or Modified Versions, may be sold by itself.

2) Original or Modified Versions of the Font Software may be bundled, redistributed and/or sold with any software, provided that each copy contains the above copyright notice and this license. These can be included either as stand-alone text files, human-readable headers or in the appropriate machine-readable metadata fields within text or binary files as long as those fields can be easily viewed by the user.

3) No Modified Version of the Font Software may use the Reserved Font Name(s) unless explicit written permission is granted by the corresponding Copyright Holder. This restriction only applies to the primary font name as presented to the users.

4) The name(s) of the Copyright Holder(s) or the Author(s) of the Font Software shall not be used to promote, endorse or advertise any Modified Version, except to acknowledge the contribution(s) of the Copyright Holder(s) and the Author(s) or with their explicit written permission.

5) The Font Software, modified or unmodified, in part or in whole, must be distributed entirely under this license, and must not be distributed under any other license. The requirement for fonts to remain under this license does not apply to any document created using the Font Software.

TERMINATION

This license becomes null and void if any of the above conditions are not met.

DISCLAIMER

THE FONT SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT OF COPYRIGHT, PATENT, TRADEMARK, OR OTHER RIGHT. IN NO EVENT SHALL THE COPYRIGHT HOLDER BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, INCLUDING ANY GENERAL, SPECIAL, INDIRECT, INCIDENTAL, OR CONSEQUENTIAL DAMAGES, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF THE USE OR INABILITY TO USE THE FONT SOFTWARE OR FROM OTHER DEALINGS IN THE FONT SOFTWARE.

Hinweis zur Aktualisierung

Für die Erstellung der Anforderungen in diesem Werk wurden die im Überblick aufgeführten Rechtsquellen herangezogen. Der zugrunde liegende Sollmaßnahmen-Katalog ist ein fachlicher Entwurf (V0.2) und noch nicht abschließend geprüft.

Da sich regulatorische Anforderungen sowie technische und aufsichtsrechtliche Standards kontinuierlich weiterentwickeln, kann eine regelmäßige Aktualisierung erforderlich sein. Das Werk erhebt daher keinen Anspruch auf dauerhafte Vollständigkeit oder Aktualität.

Es liegt in der Verantwortung der Nutzerinnen und Nutzer, sich eigenständig über Änderungen relevanter Rechtsvorschriften, regulatorischer Vorgaben und technischer Standards zu informieren und diese bei der Umsetzung entsprechend zu berücksichtigen.

Sollmaßnahmen-Überblick

Normenkette KRITIS-DachG → BSI-KritisV (Scoping) → DelVO 2023/2450

Alle 28 Sollmaßnahmen (K-Atome) als Lese-Tabelle. Klick auf eine ID springt zur Karte im Rechtstext.

In der Testversion nicht enthalten. Die Arbeitstabelle aller Sollmaßnahmen — markieren & kopieren nach Excel, mit direkt bearbeitbaren Umsetzungs-Doku-Spalten — ist Teil der Vollversion.
KRITIS-DachGݤ 1
§ 1

Nationale KRITIS-Resilienzstrategie

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
Die Bundesregierung soll eine Strategie zur Verbesserung der Resilienz kritischer Infrastrukturen verabschieden. Die Strategie beinhaltet Erwägungen zu Transparenzpflichten für kritische Infrastrukturen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 2
§ 2

Begriffsbestimmungen

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
Im Sinne dieses Gesetzes
1.
ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf eine kritische Anlage, wer die tatsächliche Sachherrschaft ausübt, wobei die rechtlichen und wirtschaftlichen Umstände insoweit unberücksichtigt bleiben;
2.
ist „Anlage“ eine Betriebsstätte, sonstige ortsfeste Installation, Maschine, Gerät und sonstige ortsveränderliche technische Installation;
3.
ist „kritische Anlage“ eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist;
4.
ist „kritische Dienstleistung“ eine Dienstleistung zur Versorgung der Allgemeinheit in den Sektoren Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum oder Siedlungsabfallentsorgung, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder zu Gefährdungen der öffentlichen Sicherheit führen würde;
5.
ist „Resilienz“ die Fähigkeit einer kritischen Anlage, einen Vorfall zu verhindern, sich vor einem Vorfall zu schützen, einen Vorfall abzuwehren, auf einen Vorfall zu reagieren, die Folgen eines Vorfalls zu begrenzen, einen Vorfall aufzufangen und zu bewältigen und sich von einem Vorfall zu erholen;
6.
ist „Risiko“ das Potenzial für Ausfälle oder Beeinträchtigungen, die durch einen Vorfall verursacht werden, das als eine Kombination des Ausmaßes eines Ausfalls oder einer Beeinträchtigung und der Wahrscheinlichkeit des Eintretens des Vorfalls zum Ausdruck gebracht wird;
7.
ist „Risikoanalyse“ das systematische Verfahren zur Bestimmung eines Risikos;
8.
ist „Risikobewertung“ der Prozess, in dem Risiken in Bezug auf deren Wirkung auf die kritische Dienstleistung verglichen und priorisiert werden und entschieden wird, ob Maßnahmen zur Risikobehandlung zu ändern und zu ergänzen sind;
9.
ist „Vorfall“ ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte, mit Ausnahme von Ereignissen, die ausschließlich Sicherheitsvorfälle im Sinne des § 2 Nummer 40 des BSI-Gesetzes oder § 3 Nummer 53 des Telekommunikationsgesetzes sind;
10.
sind „Einrichtungen der Bundesverwaltung“ das Bundeskanzleramt, die Bundesministerien und der Beauftragte der Bundesregierung für Kultur und Medien;
11.
ist „Geschäftsleitung“ eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung eines Betreibers kritischer Anlagen berufen ist; Leiterinnen und Leiter von Einrichtungen der Bundesverwaltung nach Nummer 10 sowie Leiterinnen und Leiter von Behörden gelten nicht als Geschäftsleitung;
12.
sind „maritime Infrastrukturen“ Anlagen auf oder unter See im Küstenmeer und der ausschließlichen Wirtschaftszone der Bundesrepublik Deutschland.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 3
§ 3

Zentrale Anlaufstelle; zuständige Behörde; behördliche Zusammenarbeit; Verordnungsermächtigung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe ist zentrale Anlaufstelle im Sinne des Artikels 9 Absatz 2 der Richtlinie (EU) 2022/2557 in der Fassung vom 14. Dezember 2022.
(2)
Zuständige Behörde im Sinne dieses Gesetzes ist
1.
das Bundesministerium des Innern für die kritischen Dienstleistungen, die von Einrichtungen der Bundesverwaltung erbracht werden,
2.
die Bundesnetzagentur für die kritischen Dienstleistungen a) der Stromversorgung, b) der Erdgasversorgung, c) der Wasserstoffversorgung und d) des Betriebes von öffentlichen Telekommunikationsnetzen oder der Erbringung von öffentlich zugänglichen Telekommunikationsdiensten,
3.
das Bundesministerium für Wirtschaft und Energie für die kritische Dienstleistung der Mineralölversorgung,
4.
das Eisenbahn-Bundesamt für die kritische Dienstleistung des Eisenbahnverkehrs, soweit er in die Zuständigkeit der bundeseigenen Eisenbahnverkehrsunternehmen oder Eisenbahninfrastrukturunternehmen fällt,
5.
die Generaldirektion Wasserstraßen und Schifffahrt für die kritische Dienstleitung der See- und Binnenschifffahrt in Bezug auf den Betrieb der bundeseigenen Wasserstraßeninfrastruktur,
6.
das Bundesamt für Seeschifffahrt und Hydrographie für die kritischen Dienstleistungen der Wasserstands- und Gezeitenvorhersage des Bundes,
7.
das Fernstraßen-Bundesamt für die kritische Dienstleistung des Straßenverkehrs in Bezug auf Verkehrssteuerungs- und Leitsysteme sowie intelligente Verkehrssysteme auf Bundesautobahnen und -straßen in Bundesverwaltung,
8.
der Deutsche Wetterdienst für die kritische Dienstleistung der Wettervorhersage, soweit sie in seine Zuständigkeit fällt,
9.
das Bundesamt für Sicherheit in der Informationstechnik für die kritischen Dienstleistungen, soweit sie nicht dem Betrieb von öffentlichen Telekommunikationsnetzen oder der Erbringung von öffentlich zugänglichen Telekommunikationsdiensten dienen, a) der Sprach- und Datenübertragung, b) der Datenspeicherung und -verarbeitung,
10.
die Bundesanstalt für Finanzdienstleistungsaufsicht für die kritischen Dienstleistungen, die durch Unternehmen erbracht werden, für welche sie die zuständige Behörde im Sinne des Artikels 46 der Verordnung (EU) 2022/2554 ist,
11.
die für den jeweiligen Leistungsträger nach dem Sozialgesetzbuch zuständige Aufsichtsbehörde für die kritische Dienstleistung der Erbringung von Leistungen der Sozialversicherung; sofern die kritische Dienstleistung der Leistungen des Rechts der Arbeitsförderung sowie der Grundsicherung für Arbeitsuchende, soweit sie der Aufsicht des Bundes unterliegt, betroffen ist, die Bundesagentur für Arbeit,
12.
das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe für die Aufgaben nach den §§ 8, 14 Absatz 2 sowie § 18,
13.
in den in den Nummern 1 bis 12 nicht genannten Fällen die jeweils zuständigen Bundesbehörden nach Absatz 3 Satz 1 und die jeweils zuständigen Landesbehörden nach Absatz 6 Satz 1.
Die in diesem Gesetz gesondert ausgewiesenen Zuständigkeiten bleiben unberührt.
(3)
Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, für weitere kritische Dienstleistungen, die in der Rechtsverordnung nach § 4 Absatz 3 festgelegt werden, zuständige Bundesbehörden festzulegen. Für die kritische Dienstleistung des Betriebs von Bodeninfrastrukturen für die Erbringung weltraumgestützter Dienste im Sektor Weltraum wird das Bundesministerium für Forschung, Technologie und Raumfahrt ermächtigt, durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, eine oder mehrere zuständige Bundesbehörden festzulegen. § 4 Absatz 4 und 5 gilt entsprechend. Die Rechtsverordnung nach Satz 2 ergeht zusätzlich im Einvernehmen mit dem Bundesministerium des Innern.
(4)
Das Bundesamt für Seeschifffahrt und Hydrographie und die Bundesnetzagentur tauschen Informationen mit Bezug zu maritimen Infrastrukturen in der ausschließlichen Wirtschaftszone aus und wirken zur Stärkung der Resilienz der Betreiber kritischer Anlagen im Bereich maritimer Infrastrukturen im Rahmen ihrer jeweiligen Zuständigkeiten in der ausschließlichen Wirtschaftszone zusammen.
(5)
Jedes Land benennt dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe spätestens einen Monat nach dem 17. März 2026 je eine Landesbehörde als zentralen Ansprechpartner für sektorenübergreifende Angelegenheiten im Zusammenhang mit der Durchführung dieses Gesetzes.
(6)
Jedes Land bestimmt für die nicht in Absatz 2 Satz 1 Nummer 1 bis 12 genannten kritischen Dienstleistungen der Rechtsverordnung nach § 4 Absatz 3, welche Landesbehörden die Aufgaben nach diesem Gesetz wahrnehmen. Es teilt dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die zuständigen Behörden spätestens drei Monate nach Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3 mit. Soweit eine Festlegung einer Bundesbehörde nach Absatz 3 zu einer jeweils kritischen Dienstleistung erfolgt ist, hat diese Festlegung Vorrang vor einer Bestimmung einer Landesbehörde nach diesem Absatz.
(7)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und die zuständigen Behörden nach Absatz 2 Satz 1 und Absatz 6 Satz 1 übermitteln sich wechselseitig die Informationen, die für die Aufgabenerfüllung der jeweils anderen Seite erforderlich sind. Erforderlich sein können insbesondere
1.
Informationen zu Risiken und Vorfällen sowie
2.
Informationen zu Maßnahmen a) nach diesem Gesetz, b) nach dem BSI-Gesetz, c) nach dem Energiewirtschaftsgesetz, d) nach dem Telekommunikationsgesetz und e) nach der Verordnung (EU) 2022/2554, soweit eine Maßnahme gegenüber einem Betreiber kritischer Anlagen getroffen wird.
Für die Übermittlung von Informationen nach Satz 1 vereinbaren Sender und Empfänger Prozesse zur Weitergabe und Wahrung der notwendigen Vertraulichkeit.
(8)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe konsultiert in regelmäßigen Abständen, unter Einbindung der zuständigen Behörden, die zuständigen Behörden anderer Mitgliedstaaten der Europäischen Union, wenn
1.
eine kritische Anlage physisch mit einer Einrichtung eines anderen Mitgliedstaates der Europäischen Union verbunden ist,
2.
ein Betreiber kritischer Anlagen Teil von Unternehmensstrukturen ist, die mit einer kritischen Einrichtung im Sinne des Artikels 2 Nummer 1 der Richtlinie (EU) 2022/2557 in einem anderen Mitgliedstaat der Europäischen Union verbunden sind oder zu ihnen in Bezug stehen oder
3.
ein Betreiber kritischer Anlagen in einem anderen Mitgliedstaat der Europäischen Union als kritische Einrichtung im Sinne des Artikels 2 Nummer 1 der Richtlinie (EU) 2022/2557 eingestuft wurde und wesentliche Dienste im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 für einen anderen oder in einem anderen Mitgliedstaat der Europäischen Union erbringt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 4
§ 4

Geltungsbereich; Sektoren; Verordnungsermächtigung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren:
1.
Energie,
2.
Transport und Verkehr,
3.
Finanzwesen,
4.
Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende,
5.
Gesundheitswesen,
6.
Wasser,
7.
Ernährung,
8.
Informationstechnik und Telekommunikation,
9.
Weltraum und
10.
Siedlungsabfallentsorgung.
(2)
§ 3 Absatz 8, die §§ 9, 10, 12 bis 16, 18, 19 Absatz 2 sowie die §§ 20, 21 Absatz 6 gelten nicht für
1.
Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 auf Grund von § 1a Absatz 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten,
2.
Betreiber kritischer Anlagen im Sektor Informationstechnik und Telekommunikation,
3.
Betreiber kritischer Anlagen im Sektor Siedlungsabfallentsorgung, mit Ausnahme des § 12, und
4.
für Betreiber kritischer Anlagen im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, mit Ausnahme des § 12.
(3)
Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrats bedarf, die kritischen Dienstleistungen, die jeweils zu den Sektoren nach Absatz 1 gehören.
(4)
Die Rechtsverordnung nach Absatz 3 ergeht im Einvernehmen mit
1.
dem Bundesministerium für Wirtschaft und Energie,
2.
dem Bundesministerium der Finanzen,
3.
dem Bundesministerium der Justiz und für Verbraucherschutz,
4.
dem Bundesministerium für Arbeit und Soziales,
5.
dem Bundesministerium der Verteidigung,
6.
dem Bundesministerium für Landwirtschaft, Ernährung und Heimat,
7.
dem Bundesministerium für Gesundheit,
8.
dem Bundesministerium für Verkehr,
9.
dem Bundesministerium für Forschung, Technologie und Raumfahrt,
10.
dem Bundesministerium für Umwelt, Klimaschutz, Naturschutz und nukleare Sicherheit und
11.
dem Bundesministerium für Digitales und Staatsmodernisierung.
(5)
Zugang zu den Akten, die die Erstellung oder Änderung der Verordnung nach Absatz 3 betreffen, wird nicht gewährt. Die Akteneinsichtsrechte von Verfahrensbeteiligten bleiben unberührt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 5
§ 5

Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf,
1.
Kategorien von Anlagen,
2.
allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen Dienstleistung gilt und bei deren Unterschreiten eine Anlage nach einem bestimmten Stichtag nicht mehr als solches gilt,
3.
Stichtage nach Nummer 2 sowie
4.
Kategorien von Anlagen, die unabhängig von Nummer 2 als erheblich für die Erbringung einer kritischen Dienstleistung gelten.
§ 4 Absatz 4 und 5 gilt entsprechend.
(2)
Bei der Bestimmung der Schwellenwerte zum Versorgungsgrad nach Absatz 1 Satz 1 Nummer 2 werden die nationalen Risikoanalysen und Risikobewertungen sowie die folgenden Kriterien berücksichtigt:
1.
die Zahl der Einwohner, die die von der Anlage erbrachte kritische Dienstleistung in Anspruch nehmen,
2.
das Ausmaß der Abhängigkeit anderer Sektoren oder Branchen von der betreffenden kritischen Dienstleistung,
3.
die Dauer und das Ausmaß möglicher Auswirkungen von Ausfällen und Beeinträchtigungen der Anlage auf wichtige wirtschaftliche Tätigkeiten, die für die Aufrechterhaltung wichtiger gesellschaftlicher Funktionen, die öffentliche Sicherheit oder Ordnung, die Gesundheit der Bevölkerung oder die Erhaltung der natürlichen Lebensgrundlagen von entscheidender Bedeutung sind,
4.
den Marktanteil des Betreibers der Anlage auf dem Markt für kritische Dienstleistungen,
5.
das geografische Gebiet, das von einem Vorfall betroffen sein könnte, einschließlich etwaiger grenzüberschreitender Auswirkungen, unter Berücksichtigung der Schwachstellen, die mit dem Grad der Isolierung bestimmter Arten geografischer Gebiete verbunden sind, und
6.
die Bedeutung des Betreibers der Anlage für die Aufrechterhaltung der kritischen Dienstleistung in ausreichendem Umfang, unter Berücksichtigung der Verfügbarkeit von alternativen Mitteln für die Erbringung der betreffenden kritischen Dienstleistung.
Der Regelwert für Schwellenwerte nach Absatz 1 Satz 1 Nummer 2 beträgt grundsätzlich 500 000 von einer Anlage zu versorgende Einwohner.
(3)
Ist eine Anlage für die Erbringung einer kritischen Dienstleistung erheblich, ohne die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 zu erfüllen, so stellt das Bundesministerium des Innern dies im Einzelfall fest, falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist. Ist eine Anlage für die Erbringung einer kritischen Dienstleistung nicht erheblich, obwohl sie die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 erfüllt, so stellt das Bundesministerium des Innern dies im Einzelfall fest, falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist. Für die Beurteilung der Erheblichkeit einer Anlage für die Erbringung einer kritischen Dienstleistung gilt Absatz 2 entsprechend.
(4)
Falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist, erfolgt die Feststellung nach Absatz 3 Satz 1 und 2 im Einvernehmen mit dem Bundesministerium, zu dessen Geschäftsbereich die Behörde gehört. Liegt die Fach- oder Rechtsaufsicht für den Teil einer Behörde, der für die betroffene kritische Dienstleistung zuständig ist, nicht bei dem Bundesministerium, zu dessen Geschäftsbereich sie gehört, erfolgt die Feststellung nach Absatz 3 Satz 1 und 2 im Einvernehmen mit dem Bundesministerium, dessen Fach- oder Rechtsaufsicht der betreffende Teil dieser Behörde untersteht. Im Übrigen erfolgt sie im Benehmen mit dem Landesministerium, zu dessen Geschäftsbereich die für die betroffene Dienstleistung zuständige Behörde gehört. Die zuständigen Behörden machen Vorschläge für Feststellungen nach Absatz 3 Satz 1 und 2.
(5)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe teilt dem Betreiber der kritischen Anlage im Falle einer Feststellung nach Absatz 3 Satz 1 oder 2 schriftlich oder elektronisch mit, dass er den Verpflichtungen dieses Gesetzes unterliegt oder nicht unterliegt. Es fordert ihn im Falle einer Feststellung nach Absatz 3 Satz 1 zudem zur Registrierung nach § 8 Absatz 1 auf.
(6)
Entfallen die Voraussetzungen der Feststellung nach Absatz 3 Satz 1 und 2, so stellt das Bundesministerium des Innern dies fest. Die Absätze 4 und 5 gelten entsprechend.
(7)
Das Bundesministerium des Innern wird ermächtigt, in einer Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, Kriterien und Verfahren festzulegen, mit denen die Länder feststellen können, ob eine Anlage für die Erbringung einer kritischen Dienstleistung erheblich ist, ohne die Voraussetzungen der Rechtsverordnung des Absatzes 1 Satz 1 zu erfüllen. Die Länder können dies für Anlagen feststellen, bei denen für die betroffene Dienstleistung eine Landesbehörde die zuständige Behörde ist. Bei der Festlegung der Kriterien werden die Kriterien nach Absatz 2 berücksichtigt. § 4 Absatz 4 und 5 gilt entsprechend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 6
§ 6

Sonstige Resilienzregelungen und Resilienzmaßnahmen

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Für die Aufrechterhaltung des Betriebs kritischer Anlagen können auch Einrichtungen von erheblicher Bedeutung sein, für die dieses Gesetz nicht gilt. Hierzu zählen notwendige Betreuungsangebote, die für die Erhaltung der personellen Arbeitsfähigkeit in kritischen Anlagen erforderlich sind.
(2)
Unbeschadet der Regelungen dieses Gesetzes können Bund und Länder im Rahmen ihrer jeweiligen Zuständigkeiten Vorgaben zu resilienzsteigernden Maßnahmen machen.
(3)
Die Sicherheitsbehörden des Bundes und der Länder erfüllen ihre Aufgaben im Rahmen der gesetzlichen Vorschriften.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 7
§ 7

Einrichtungen der Bundesverwaltung; Geltung der Vorschriften für Betreiber kritischer Anlagen und allgemeine Feststellungen

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Die Vorschriften für Betreiber kritischer Anlagen
1.
des § 8 Absatz 1 Nummer 1, 2 und 6 sowie § 8 Absatz 6 und 7 gelten für Einrichtungen der Bundesverwaltung entsprechend;
2.
des § 12 Absatz 1, 2, § 13 Absatz 1, 2, 3 und 4 sowie der §§ 15 und 18 Absatz 1 bis 7 gelten für Einrichtungen der Bundesverwaltung mit Ausnahme des Auswärtigen Amts und des Bundesministeriums der Verteidigung; das Auswärtige Amt erlässt im Einvernehmen mit dem Bundesministerium des Innern eine allgemeine Verwaltungsvorschrift, um die Ziele der Richtlinie (EU) 2022/2557 im Geschäftsbereich des Auswärtigen Amts durch ergebnisäquivalente Maßnahmen umzusetzen.
(2)
Das Bundesministerium des Innern legt für die Einrichtungen der Bundesverwaltung mit deren Einvernehmen das Folgende allgemein fest:
1.
die kritischen Dienstleistungen, die von Einrichtungen der Bundesverwaltung erbracht werden,
2.
Mindestanforderungen zur Konkretisierung der Verpflichtungen nach Absatz 1 Nummer 2.
Satz 1 gilt nicht für das Auswärtige Amt und das Bundesministerium der Verteidigung. § 15 gilt für Regelungen nach Absatz 2 Nummer 2 entsprechend.
(3)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe berät die Einrichtungen der Bundesverwaltung bei der Umsetzung und Einhaltung ihrer in Absatz 1 genannten Verpflichtungen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 8
§ 8

Registrierung kritischer Anlagen; Geltungszeitpunkt

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit nach § 33 Absatz 1 des BSI-Gesetzes folgende Angaben zu übermitteln (Registrierung):
1.
den Namen des Betreibers kritischer Anlagen, einschließlich der Rechtsform und, falls einschlägig, die Handelsregisternummer,
2.
die Anschrift und aktuelle Kontaktdaten des Betreibers kritischer Anlagen, einschließlich der E-Mail-Adresse und der Telefonnummer,
3.
den Sektor und, falls einschlägig, die Branche, zu dem oder zu der die kritische Anlage gehört, sowie die kritische Dienstleistung, für deren Erbringung die Anlage erheblich ist,
4.
soweit einschlägig, die Kategorie der kritischen Anlage und deren Werte zum Versorgungsgrad gemäß der Rechtsverordnung nach § 5 Absatz 1 Satz 1, den Standort der kritischen Anlagen und deren Versorgungsgebiet sowie deren öffentlichen IP-Adressbereiche,
5.
falls einschlägig, eine Auflistung der Mitgliedstaaten der Europäischen Union, in denen oder für die der Betreiber kritischer Anlagen wesentliche Dienste im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 in der Fassung vom 14. Dezember 2022 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 in der Fassung vom 25. Juli 2023 erbringt, unter Angabe, welche wesentlichen Dienste er in welchen oder für welche Mitgliedstaaten erbringt,
6.
eine Kontaktstelle, über die der Betreiber kritischer Anlagen erreichbar ist; in Bezug auf Maßnahmen nach dem BSI-Gesetz ist die jederzeitige Erreichbarkeit zu gewährleisten, sowie
7.
die bei ihm zum Einsatz kommenden Typen von kritischen Komponenten gemäß § 2 Nummer 23 des BSI-Gesetzes.
1 Sollmaßnahme
K-8.001Registrierung als Betreiber kritischer Anlagen
(2)
Rechtfertigen Tatsachen die Annahme, dass ein Betreiber kritischer Anlagen seine Pflicht zur Registrierung nicht erfüllt, so kann das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe von dem Betreiber verlangen, Aufzeichnungen, Schriftstücke und sonstige Unterlagen vorzulegen sowie Auskünfte zu erteilen, soweit dies erforderlich ist, um festzustellen, ob die Anlage kritisch ist. Können bestimmte Unterlagen oder Auskünfte aus Gründen des Geheimschutzes, der überwiegenden Sicherheitsinteressen oder des überwiegenden Schutzes von Betriebs- und Geschäftsgeheimnissen nicht vorgelegt oder erteilt werden, stellt der Betreiber die erforderlichen Informationen auf andere Weise zu Verfügung.
(3)
Wenn der Betreiber kritischer Anlagen seine Pflicht zur Registrierung nicht erfüllt, kann das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe nach Anhörung des Betreibers die Registrierung selbst vornehmen. Die Vornahme der Registrierung bedarf des Einvernehmens des Bundesamts für Sicherheit in der Informationstechnik und, falls die zuständige Behörde eine Behörde des Bundes ist, ihres Einvernehmens und, falls die zuständige Behörde eine Behörde des Landes ist, ihres Benehmens.
(4)
Das Bundesamt für Sicherheit in der Informationstechnik und die zuständigen Behörden können dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorschläge für die Registrierung weiterer Betreiber kritischer Anlagen unterbreiten und übermitteln dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die erforderlichen Informationen zur Identifizierung der Betreiber kritischer Anlagen.
(5)
Dem Betreiber kritischer Anlagen wird die zuständige Behörde durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe spätestens zwei Wochen nach der Registrierung schriftlich oder elektronisch mitgeteilt, mit Ausnahme der erstmaligen Mitteilung, die nicht vor dem 17. August 2026 erfolgen muss. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe informiert das Bundesamt für Sicherheit in der Informationstechnik sowie die jeweils zuständige Behörde unverzüglich über jede erfolgte Registrierung. Die Übermittlung der Information gemäß Absatz 1 Nummer 7 erfolgt ausschließlich an das Bundesamt für Sicherheit in der Informationstechnik.
(6)
Bei Änderungen der nach Absatz 1 zu übermittelnden Angaben sind über die in Absatz 1 genannte Registrierungsmöglichkeit geänderte Werte zum Versorgungsgrad einmal jährlich zu übermitteln und alle anderen Angaben unverzüglich, spätestens jedoch zwei Wochen ab dem Zeitpunkt, zu dem der Betreiber kritischer Anlagen von der Änderung Kenntnis erhalten hat, zu übermitteln. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe informiert das Bundesamt für Sicherheit in der Informationstechnik sowie die zuständige Behörde unverzüglich über alle übermittelten Änderungen.
1 Sollmaßnahme
K-8.002Aktualisierung der Registrierungsangaben
(7)
Die Verpflichtungen nach § 12 gelten für den Betreiber einer kritischen Anlage erstmals neun Monate, die Verpflichtungen nach den §§ 13, 18 und 20 erstmals zehn Monate nach deren Registrierung.
(8)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe legt die Einzelheiten zur Ausgestaltung des Registrierungsverfahrens im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest. Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 9
§ 9

Kritische Einrichtungen von besonderer Bedeutung für Europa

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Ein Betreiber kritischer Anlagen gilt als Betreiber einer kritischen Einrichtung von besonderer Bedeutung für Europa, wenn
1.
er für oder in mindestens sechs Mitgliedstaaten der Europäischen Union den gleichen oder einen ähnlichen wesentlichen Dienst im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 erbringt und
2.
ihm von der Europäischen Kommission über das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe mitgeteilt wurde, dass er als kritische Einrichtung von besonderer Bedeutung für Europa gilt.
(2)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe leitet die Mitteilung nach § 8 Absatz 1 Nummer 5 unverzüglich an die zuständige Behörde weiter. Das Bundesministerium des Innern teilt diese Informationen der Europäischen Kommission unverzüglich mit.
(3)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe leitet die Mitteilung der Europäischen Kommission, einen Betreiber kritischer Anlagen als kritische Einrichtung von besonderer Bedeutung für Europa zu betrachten, unverzüglich an jenen und an die zuständige Behörde weiter.
(4)
Auf Antrag der Europäischen Kommission oder eines Mitgliedstaats der Europäischen Union, für den oder in dem im Falle des Absatzes 1 Nummer 1 ein wesentlicher Dienst erbracht wird, übermittelt das Bundesministerium des Innern im Benehmen mit dem Bundesministerium oder Landesministerium, zu dessen Geschäftsbereich die für die betroffene Dienstleistung zuständige Behörde gehört, der Europäischen Kommission
1.
Teile der Risikoanalysen und Risikobewertungen der kritischen Einrichtung mit besonderer Bedeutung für Europa nach § 12,
2.
eine Auflistung der Maßnahmen der kritischen Einrichtung mit besonderer Bedeutung für Europa nach § 13 und
3.
eine Auflistung der Aufsichts- und Durchsetzungsmaßnahmen, die die zuständige Behörde gegenüber der kritischen Einrichtung mit besonderer Bedeutung für Europa ergriffen hat.
Liegt die Fach- oder Rechtsaufsicht für den Teil einer Behörde, der für die betroffene kritische Dienstleistung zuständig ist, nicht bei dem Bundesministerium, zu dessen Geschäftsbereich sie gehört, so übermittelt das Bundesministerium des Innern die Informationen nach den Nummern 1 bis 3 der Europäischen Kommission im Benehmen mit dem Bundesministerium, dessen Fach- oder Rechtsaufsicht der betreffende Teil dieser Behörde untersteht. Informationen, deren Offenlegung wesentlichen nationalen Interessen im Bereich der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung entgegenlaufen würde, sind von der Übermittlung ausgeschlossen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 10
§ 10

Beratungsmission bei Einrichtungen von besonderer Bedeutung für Europa

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Das Bundesministerium des Innern kann einen Antrag bei der Europäischen Kommission auf Einrichtung einer Beratungsmission zur Bewertung der Maßnahmen stellen, die eine kritische Einrichtung von besonderer Bedeutung für Europa ergriffen hat, um ihre Verpflichtungen nach den §§ 12, 13 und 18 zu erfüllen. Einer Beratungsmission im Sinne des Satzes 1, die die Europäische Kommission vorschlägt oder ein anderer Mitgliedstaat der Europäischen Union beantragt, kann das Bundesministerium des Innern zustimmen. Falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist, erfolgen der Antrag nach Satz 1 und die Zustimmung nach Satz 2 im Einvernehmen mit dem Bundesministerium, zu dessen Geschäftsbereich die Behörde gehört. Liegt die Fach- oder Rechtsaufsicht für den Teil einer Behörde, der für die betroffene kritische Dienstleistung zuständig ist, nicht bei dem Bundesministerium, zu dessen Geschäftsbereich sie gehört, erfolgen der Antrag nach Satz 1 und die Zustimmung nach Satz 2 im Einvernehmen mit dem Bundesministerium, dessen Fach- oder Rechtsaufsicht der betreffende Teil dieser Behörde untersteht. Im Übrigen erfolgen sie im Benehmen mit dem Landesministerium, zu dessen Geschäftsbereich die für die betroffene Dienstleistung zuständige Behörde gehört.
(2)
Die kritische Einrichtung mit besonderer Bedeutung für Europa unterstützt das Bundesministerium des Innern bei der Zurverfügungstellung der Informationen für die Beratungsmission.
(3)
Die kritische Einrichtung von besonderer Bedeutung für Europa gewährt der Beratungsmission Zugang zu Informationen, Systemen und Anlagen im Zusammenhang mit der Erbringung ihrer kritischen Dienstleistung, soweit dies zur Durchführung der Beratungsmission erforderlich ist. Soweit dies zum Zwecke des Satzes 1 erforderlich ist, ist der Beratungsmission während der üblichen Geschäftszeiten Zugang zu Geschäftsräumen und Betriebsstätten zu gewähren.
(4)
Für die Absätze 2 und 3 gilt § 8 Absatz 2 Satz 2 sinngemäß.
(5)
Die kritische Einrichtung von besonderer Bedeutung für Europa berücksichtigt die Stellungnahme der Europäischen Kommission auf Grundlage des Berichts der Beratungsmission bei der fortlaufenden Umsetzung der Verpflichtungen nach den §§ 12, 13 und 18.
(6)
Konkretisiert die Europäische Kommission durch einen oder mehrere Durchführungsrechtsakte gemäß Artikel 18 Absatz 6 der Richtlinie (EU) 2022/2557 das Verfahren der Beratungsmission, so gehen diese Regelungen entgegenstehenden Vorschriften dieses Paragraphen, mit Ausnahme des Absatzes 4, vor.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 11
§ 11

Nationale Risikoanalysen und Risikobewertungen; Verordnungsermächtigung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Als Grundlage für die Erstellung nationaler Risikoanalysen und Risikobewertungen führen die Bundesministerien und Landesministerien jeweils für die kritischen Dienstleistungen, für die eine Behörde ihres Geschäftsbereichs die zuständige Behörde ist und soweit sie die Fach- oder Rechtsaufsicht für die zuständige Behörde ausüben, Risikoanalysen und Risikobewertungen durch. Für kritische Dienstleistungen der Einrichtungen der Bundesverwaltung führt das Bundesministerium des Innern die Risikoanalyse und Risikobewertung auf der Grundlage fachspezifischer Bewertungen durch die übrigen Einrichtungen der Bundesverwaltung durch. Liegt die Fach- oder Rechtsaufsicht für die zuständige Behörde hinsichtlich der betroffenen kritischen Dienstleistung bei einem anderen Bundesministerium, führt dieses Bundesministerium die entsprechenden Risikoanalysen und Risikobewertungen durch. Die Sätze 1 und 2 gelten nicht für kritische Dienstleistungen, die vom Auswärtigen Amt und vom Bundesministerium der Verteidigung erbracht werden.
(2)
Die Risikoanalysen und Risikobewertungen berücksichtigen mindestens Folgendes:
1.
naturbedingte, technische oder menschlich verursachte Risiken, die geeignet sein können, die Verfügbarkeit der kritischen Dienstleistungen entscheidend zu beeinträchtigen, darunter a) soweit bekannt, sektorenübergreifende und grenzüberschreitende Risiken, b) Extremereignisse durch Unfälle, Naturgefahren und gesundheitliche Notlagen sowie c) hybride Bedrohungen, sicherheitsgefährdende oder andere feindliche Bedrohungen, einschließlich terroristischer Straftaten gemäß der Richtlinie (EU) 2017/541,
2.
alle wesentlichen Risiken für wirtschaftliche Tätigkeiten im Binnenmarkt und die Bevölkerung, die sich aus dem Ausmaß der Abhängigkeit zwischen den Sektoren ergeben und die Handlungsfähigkeit der Wirtschaft bedrohen, einschließlich a) dem Ausmaß der Abhängigkeit von in anderen Mitgliedstaaten der Europäischen Union und Drittstaaten ansässigen kritischen Einrichtungen im Sinne des Artikels 2 Nummer 1 der Richtlinie (EU) 2022/2557 sowie, b) soweit bekannt, den Auswirkungen, die eine in einem Sektor auftretende erhebliche Störung auf andere Sektoren haben kann,
3.
alle für die personelle Arbeitsfähigkeit wesentlichen Risiken in den Sektoren, die für die wirtschaftlichen Tätigkeiten im Binnenmarkt und die Bevölkerung von erheblichem Einfluss sind,
4.
die allgemeine Risikobewertung nach Artikel 6 Absatz 1 des Beschlusses Nr. 1313/2013/EU,
5.
die sonstigen, nicht in den Nummern 1 bis 4 genannten Risikobewertungen, die im Einklang mit den Anforderungen der entsprechenden sektorspezifischen Rechtsakte der Europäischen Union sind, einschließlich a) der Verordnung (EU) 2017/1938, b) der Verordnung (EU) 2019/941, c) der Richtlinie 2007/60/EG sowie d) der Richtlinie 2012/18/EU und
6.
einschlägige, gemäß § 18 gemeldete Informationen über Vorfälle.
(3)
Die Besonderheiten maritimer Infrastrukturen werden bei den Risikoanalysen und Risikobewertungen berücksichtigt.
(4)
Das Bundesministerium des Innern koordiniert die Durchführung der Risikoanalysen und Risikobewertungen. Es wertet die durchgeführten Risikoanalysen und Risikobewertungen länder- und sektorenübergreifend zur Erstellung von nationalen Risikoanalysen und Risikobewertungen aus. Die nationalen Risikoanalysen und Risikobewertungen sind im Bedarfsfall, mindestens jedoch alle vier Jahre durchzuführen.
(5)
Die nach Absatz 1 Satz 1 und 2 zuständigen Bundesministerien sowie das Bundesministerium des Innern arbeiten bei der Erstellung der nationalen Risikoanalysen und Risikobewertungen, soweit erforderlich, mit den zuständigen Behörden anderer Mitgliedstaaten der Europäischen Union und mit den zuständigen Behörden aus Drittstaaten zusammen.
(6)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt den Betreibern kritischer Anlagen, den zuständigen Behörden und den nach Absatz 1 Satz 1 und 2 zuständigen Stellen sowie, soweit dies maritime Infrastrukturen betrifft, dem Bundesamt für Seeschifffahrt und Hydrographie jeweils die für sie wesentlichen Teile der nationalen Risikoanalysen und Risikobewertungen.
(7)
Die Klimarisikoanalyse nach § 4 Absatz 1 Satz 1 des Bundes-Klimaanpassungsgesetzes vom 20. Dezember 2023 (BGBl. 2023 I Nr. 393) bleibt von den Regelungen dieses Paragraphen unberührt.
(8)
Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, methodische und inhaltliche Vorgaben für die Risikoanalysen und Risikobewertungen der nach Absatz 1 Satz 1 und 2 zuständigen Stellen zu bestimmen. § 4 Absatz 4 und 5 gilt entsprechend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 12
§ 12

Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt:
1.
die in § 11 Absatz 2 Nummer 1 genannten Risiken,
1 Sollmaßnahme
K-12.002Gefahrenspektrum der Analyse
2.
Risiken, die geeignet sein können, die Verfügbarkeit der kritischen Dienstleistungen zu beeinträchtigen und die sich aus Folgendem ergeben: a) dem Ausmaß der Abhängigkeit des Betreibers kritischer Anlagen von den kritischen Dienstleistungen, die von anderen Betreibern kritischer Anlagen auch in anderen Sektoren und auch in benachbarten Mitgliedstaaten der Europäischen Union und in Drittstaaten erbracht werden, und b) dem Ausmaß der Abhängigkeiten anderer Sektoren von der kritischen Dienstleistung, die von einem Betreiber kritischer Anlagen auch in benachbarten Mitgliedstaaten der Europäischen Union und Drittstaaten erbracht wird.
1 Sollmaßnahme
K-12.003Abhängigkeitsanalyse in beide Richtungen
2 Sollmaßnahmen
K-12.001Risikoanalyse-Methodik
K-12.005Durchführung der Risikoanalyse im Turnus
(2)
Die Besonderheiten maritimer Infrastrukturen werden bei den Risikoanalysen und Risikobewertungen berücksichtigt.
1 Sollmaßnahme
K-12.004Besonderheiten maritimer Infrastrukturen
(3)
Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, inhaltliche und methodische Vorgaben einschließlich Vorlagen und Muster für die Risikoanalysen und Risikobewertungen der Betreiber kritischer Anlagen zu bestimmen. § 4 Absatz 4 und 5 gilt entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übertragen.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 13
§ 13

Resilienzpflichten der Betreiber kritischer Anlagen; Resilienzplan

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Der Betreiber kritischer Anlagen ist verpflichtet, nach Maßgabe der Absätze 2 und 3 Maßnahmen zur Gewährleistung seiner Resilienz zu treffen, um
1.
das Auftreten von Vorfällen zu verhindern,
1 Sollmaßnahme
K-13.005Vorfälle verhindern
2.
einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen zu gewährleisten,
1 Sollmaßnahme
K-13.006Physischer Schutz von Liegenschaften und Anlagen
3.
auf Vorfälle zu reagieren, sie abzuwehren und die negativen Auswirkungen solcher Vorfälle zu begrenzen und
1 Sollmaßnahme
K-13.007Auf Vorfälle reagieren und Auswirkungen begrenzen
4.
nach Vorfällen die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten.
1 Sollmaßnahme
K-13.008Zügige Wiederherstellung der kritischen Dienstleistung
(2)
Für die Erreichung der Ziele sind auf Grundlage der nationalen Risikoanalysen und Risikobewertungen sowie der Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen. Der Stand der Technik soll eingehalten werden. Insgesamt ist ein Verhältnismäßigkeitsmaßstab anzuwenden. Dabei ist eine Zweck-Mittel-Relation vorzunehmen, bei der insbesondere der Aufwand zur Verhinderung oder Begrenzung eines Ausfalls gegen das Risiko eines Vorfalls abzuwägen ist. Wirtschaftliche Aspekte, darunter die Leistungsfähigkeit des Betreibers, sind zu berücksichtigen.
1 Sollmaßnahme
K-13.003Maßstab der Maßnahmenauswahl
(3)
Zu den Maßnahmen zur Erreichung der Ziele nach Absatz 1 können die folgenden zählen, soweit ihnen nicht bereits bestehende spezialgesetzliche Regelungen in den jeweiligen Branchen vorgehen:
1.
zum Zweck der Zielerreichung nach Absatz 1 Nummer 1 zählen Maßnahmen der Notfallvorsorge,
2.
zum Zweck der Zielerreichung nach Absatz 1 Nummer 2 zählen: a) Maßnahmen der baulichen und technischen Sicherung und des organisatorischen Schutzes (Objektschutz) wie Liegenschaftsabgrenzungen und hemmende Fassadenelemente, b) Instrumente und Verfahren für die Überwachung der Umgebung, c) der Einsatz von Detektionsgeräten und d) Zugangskontrollen,
3.
zum Zweck der Zielerreichung nach Absatz 1 Nummer 3 zählen: a) Risiko- und Krisenmanagementverfahren und -protokolle und b) vorgegebene Abläufe im Alarmfall,
4.
zum Zweck der Zielerreichung nach Absatz 1 Nummer 4 zählen: a) Maßnahmen zur Aufrechterhaltung des Betriebs, darunter die Notstromversorgung und b) die Ermittlung alternativer Lieferketten, um die Erbringung des wesentlichen Dienstes wiederaufzunehmen,
5.
ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden zu gewährleisten, einschließlich des Personals externer Dienstleister, und
1 Sollmaßnahme
K-13.009Sicherheitsmanagement für eigenes und externes Personal
6.
das Personal für die unter den in Absatz 1 Nummer 1 bis 4 sowie in Nummer 5 genannten Maßnahmen durch Informationsmaterialien, Schulungen und Übungen vertraut zu machen.
1 Sollmaßnahme
K-13.010Personal vertraut machen: Information, Schulung, Übung
(4)
Der Betreiber kritischer Anlagen muss die Maßnahmen nach Absatz 1 in einem Resilienzplan darstellen und diesen anwenden. Aus dem Resilienzplan müssen die den Maßnahmen zugrunde liegenden Erwägungen hervorgehen. Auf die Risikoanalyse und Risikobewertung des Betreibers ist Bezug zu nehmen. Der Resilienzplan ist bei Bedarf sowie nach Durchführung einer Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen zu aktualisieren.
3 Sollmaßnahmen
K-13.001Resilienzplan
K-13.002Begründung und Risikobezug des Resilienzplans
K-13.004Aktualisierung des Resilienzplans
(5)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt bis einschließlich 17. Januar 2026 Vorlagen und Muster für die Erstellung von Resilienzplänen auf seiner Internetseite bereit.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 14
§ 14

Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übertragen.
(2)
Betreiber kritischer Anlagen oder ihre Branchenverbände können branchenspezifische Resilienzstandards zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 vorschlagen. Soweit das Bundesamt für Sicherheit in der Informationstechnik branchenspezifische Standards nach § 30 Absatz 8 des BSI-Gesetzes hat, sollen diese die Grundlage für branchenspezifische Resilienzstandards nach Satz 1 sein. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt auf Antrag die Geeignetheit dieser branchenspezifischen Resilienzstandards zur Gewährleistung der Anforderungen nach Absatz 1 fest und veröffentlicht diese auf seiner Internetseite. Die Feststellung erfolgt
1.
im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik,
2.
falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist, in deren Einvernehmen,
3.
falls für die betroffene Dienstleistung Behörden der Länder die zuständigen Behörden sind, in deren Benehmen und
4.
im Sektor Energie im Benehmen mit dem Bundesamt für Seeschifffahrt und Hydrographie, soweit maritime Infrastrukturen in der ausschließlichen Wirtschaftszone betroffen sind.
Aus Gründen des öffentlichen Interesses werden für die Feststellung keine Gebühren oder Auslagen für die Tätigkeit des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe erhoben.
(3)
(zukünftig in Kraft)
(4)
(zukünftig in Kraft)
(5)
(zukünftig in Kraft)
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 15
§ 15

Vorrang von Durchführungsrechtsakten der Europäischen Kommission zu Resilienzpflichten

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
Konkretisiert die Europäische Kommission durch einen oder mehrere Durchführungsrechtsakte gemäß Artikel 13 Absatz 6 der Richtlinie (EU) 2022/2557 die technischen und methodischen Spezifikationen für die Verpflichtungen nach § 13 Absatz 1, so gehen die Regelungen entgegenstehenden Vorschriften des § 13 und entgegenstehenden Regelungen, die auf Grundlage von § 14 erlassen wurden, vor.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 16
§ 16

Nachweise und behördliche Anordnungen zu Resilienzpflichten

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Um die Einhaltung der Verpflichtungen nach § 13 Absatz 1 zu überprüfen, kann die zuständige Behörde über das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe das Bundesamt für Sicherheit in der Informationstechnik um die Übersendung derjenigen Bestandteile der nach § 39 des BSI-Gesetzes vorgelegten Nachweise ersuchen, die für die Überprüfung der Einhaltung der Maßnahmen nach § 13 Absatz 1 erforderlich sind.
(2)
Sofern die nach Absatz 1 übermittelten Informationen zur Feststellung der Einhaltung der Verpflichtungen nach § 13 Absatz 1 nicht ausreichen, kann die zuständige Behörde einzelne Betreiber kritischer Anlagen zur Vorlage weiterer Informationen und geeigneter Nachweise auffordern. Insbesondere kann sie die Vorlage des Resilienzplans verlangen. Bei der Auswahl, von welchen Betreibern kritischer Anlagen Nachweise nach Satz 1 angefordert werden, verfolgt die zuständige Behörde einen risikobasierten Ansatz. Sie wählt die zu kontrollierenden Betreiber kritischer Anlagen anhand des Ausmaßes der Risikoexposition, der Größe des Betreibers kritischer Anlagen und der Eintrittswahrscheinlichkeit und Schwere von möglichen Vorfällen sowie deren möglichen gesellschaftlichen und wirtschaftlichen Auswirkungen aus. Der Grundsatz der Wirtschaftlichkeit der Verwaltung soll dabei berücksichtigt werden.
(3)
Ein Nachweis zur Einhaltung der Verpflichtung nach § 13 Absatz 1 kann durch Audits erfolgen. Der Betreiber kritischer Anlagen übermittelt der zuständigen Behörde auf deren Verlangen die Ergebnisse des Audits einschließlich der dabei aufgedeckten Mängel. Die zuständige Behörde kann die Vorlage der Dokumentation, die der Überprüfung durch ein Audit oder auf andere Weise zugrunde gelegt wurde, verlangen.
1 Sollmaßnahme
K-16.001Nachweisfähigkeit über Audits
(4)
Die zuständige Behörde kann die Einhaltung der Verpflichtungen nach § 13 Absatz 1 bei den nach Absatz 2 Satz 3 ausgewählten Betreibern kritischer Anlagen überprüfen. Bei der Durchführung der Überprüfung kann die zuständige Behörde sich eines qualifizierten unabhängigen Dritten bedienen. Der Betreiber kritischer Anlagen hat der zuständigen Behörde und den in ihrem Auftrag handelnden Personen zum Zweck der Überprüfung das Betreten der Geschäfts- und Betriebsräume sowie Zugang zu Informationen, Systemen und Anlagen im Zusammenhang mit der Erbringung ihrer kritischen Dienstleistung während der üblichen Betriebszeiten zu gestatten und auf Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren.
1 Sollmaßnahme
K-16.002Mitwirkung bei behördlichen Überprüfungen
(5)
Die zuständige Behörde kann bei Mängeln die Vorlage eines geeigneten Mängelbeseitigungsplans und Maßnahmen zur Beseitigung der Mängel innerhalb einer angemessenen Frist anordnen. Sie kann die Vorlage eines geeigneten Nachweises der Mängelbeseitigung verlangen. Absatz 3 gilt entsprechend.
1 Sollmaßnahme
K-16.003Mängelbeseitigung auf Anordnung
(6)
Für die Absätze 2 bis 5 gilt § 8 Absatz 2 Satz 2 sinngemäß.
(7)
Die Absätze 1 bis 6 gelten nicht für die Betreiber kritischer Anlagen, die für die Erbringung kritischer Dienstleistungen in einem der Bereiche des § 3 Absatz 2 Nummer 2 Buchstabe a bis c erheblich sind. Stattdessen ist § 5f des Energiewirtschaftsgesetzes anzuwenden.
(8)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe kann zur Ausgestaltung des Verfahrens der Erbringung des Nachweises und der Audits nach Absatz 3 Anforderungen an die Art und Weise der Durchführung, an die Geeignetheit der zu erbringenden Nachweise sowie fachliche und organisatorische Anforderungen an die Prüfer und die prüfende Stelle im Einvernehmen mit dem fachlich zuständigen Bundesministerium sowie dem Bundesamt für Sicherheit in der Informationstechnik festlegen. § 4 Absatz 4 gilt entsprechend. Die Festlegung nach Satz 1 wird durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe veröffentlicht.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 17
§ 17

Gleichwertigkeit von Nachweisen und sonstigen öffentlich-rechtlichen Verpflichtungen; Verordnungsermächtigung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Risikoanalysen, Risikobewertungen sowie Dokumente und Maßnahmen und Zertifikate zur Stärkung der Resilienz, die der Betreiber kritischer Anlagen auf Grund sonstiger rechtlicher Verpflichtungen oder freiwillig erstellt, ergriffen oder erlangt hat, können zum Nachweis der Einhaltung der Verpflichtungen nach diesem Gesetz herangezogen werden.
(2)
Die tatsächlichen Feststellungen anderer Behörden zu Risikoanalysen und Risikobewertungen sowie zu Dokumenten und Maßnahmen zur Stärkung der Resilienz sind zugunsten des Betreibers kritischer Anlagen bindend.
(3)
Das Bundesministerium des Innern kann durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, allgemein feststellen, dass bestimmte Verpflichtungen auf Grund sonstiger öffentlich-rechtlicher Vorschriften, die auch für Betreiber kritischer Anlagen gelten, gleichwertig mit bestimmten Verpflichtungen sind, die für Betreiber kritischer Anlagen nach diesem Gesetz gelten. § 4 Absatz 4 und 5 gilt entsprechend.
(4)
Die Verpflichtungen nach diesem Gesetz gelten als eingehalten, soweit die in der Rechtsverordnung nach Absatz 3 Satz 1 als diesen gleichwertig festgestellten sonstigen Verpflichtungen eingehalten werden. Feststellungen anderer Behörden zur Einhaltung der sonstigen Verpflichtungen sind bindend.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 18
§ 18

Meldewesen für Vorfälle; Verordnungsermächtigung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle nach § 32 Absatz 1 des BSI-Gesetzes zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. Spätestens einen Monat nach Kenntnis des Vorfalls ist ein ausführlicher Bericht zu übermitteln. Meldepflichten auf Grund sonstiger gesetzlicher Vorgaben bleiben unberührt.
5 Sollmaßnahmen
K-18.001Verfahren zur Meldung von Vorfällen
K-18.002Meldeweg und 24-Stunden-Frist
K-18.003Aktualisierung bei andauernden Vorfällen
K-18.004Ausführlicher Bericht binnen eines Monats
K-18.006Gelebte Meldepraxis
(2)
Die Meldungen müssen die zu ihrem Zeitpunkt verfügbaren Informationen enthalten, die erforderlich sind, damit Art, Ursache und mögliche, auch grenzüberschreitende, Auswirkungen und Folgen des Vorfalls ermittelt und nachvollzogen werden können. Insbesondere sind folgende Angaben zu machen:
1.
die Anzahl und der Anteil der von dem Vorfall Betroffenen,
2.
die bisherige und voraussichtliche Dauer des Vorfalls sowie
3.
das betroffene geografische Gebiet des Vorfalls, unter Berücksichtigung des Umstands, ob das Gebiet geografisch isoliert ist.
1 Sollmaßnahme
K-18.005Meldungsinhalte
(3)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe legt die Einzelheiten zur Ausgestaltung des Meldeverfahrens und zur Konkretisierung der Meldungsinhalte nach Anhörung der zuständigen Behörden und der Behörden nach § 3 Absatz 5 im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik fest, soweit sie möglichen Durchführungsrechtsakten der Europäischen Kommission nicht widersprechen. Die Informationen nach Satz 1 werden durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe auf dessen Internetseite veröffentlicht.
(4)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe unterrichtet die zentralen Anlaufstellen anderer betroffener Mitgliedstaaten der Europäischen Union, sofern der Vorfall erhebliche Auswirkungen auf kritische Einrichtungen im Sinne des Artikels 2 Nummer 1 der Richtlinie (EU) 2022/2557 und die Aufrechterhaltung der Erbringung wesentlicher Dienste im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 in mindestens einem anderen Mitgliedstaat der Europäischen Union hat oder haben könnte.
(5)
Hat ein Vorfall erhebliche Auswirkungen auf die Kontinuität der Erbringung wesentlicher Dienste im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 für oder in mindestens sechs Mitgliedstaaten der Europäischen Union oder könnte er solche Auswirkungen haben, so meldet das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe diesen Vorfall der Europäischen Kommission.
(6)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt dem von dem Vorfall betroffenen Betreiber kritischer Anlagen unverzüglich eine Bestätigung über den Eingang der Meldung nach Absatz 1 und unverzüglich nach seiner Meldung sachdienliche Folgeinformationen, unter anderem Informationen, die die wirksame Reaktion dieses Betreibers auf den betreffenden Vorfall unterstützen könnten. Dabei kann es sich um passende Leitlinien zu Reaktionsverfahren und zur Resilienzstärkung handeln.
(7)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt den zuständigen Behörden, den nach § 3 Absatz 5 benannten Landesbehörden sowie den nach § 11 Absatz 1 zuständigen Stellen Auswertungen zu Meldungen von Vorfällen im Rahmen vorab zwischen dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und den Empfängern abgestimmter Prozesse zur Weitergabe und Wahrung der notwendigen Vertraulichkeit. Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, die Prozesse zur Weitergabe der Meldungen an die Länder zu regeln. Die Rechtsverordnung beschreibt die Rahmenbedingungen, insbesondere die technischen und personellen Voraussetzungen, Kriterien für eine Weiterleitung von Meldungen und die Prozessbeschreibung für den Informationsaustausch. § 4 Absatz 4 und 5 gilt entsprechend.
(8)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe erstellt auf der Grundlage der eingegangenen Meldungen nach Absatz 1 sowie weiterer Informationen regelmäßige und anlassbezogene Lagebilder zur Situation der kritischen Anlagen und stellt diese den zuständigen Behörden, den nach § 3 Absatz 5 benannten Landesbehörden, den nach § 11 Absatz 1 zuständigen Stellen, den Betreibern und weiteren betroffenen Adressaten zur Verfügung.
(9)
Liegt die Offenlegung des Vorfalls im öffentlichen Interesse, so kann das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe nach Anhörung des Betreibers der betroffenen kritischen Anlage und im Einvernehmen mit der zuständigen Behörde des Bundes oder im Benehmen mit der zuständigen Behörde des Landes die Öffentlichkeit über den Vorfall informieren oder den Betreiber verpflichten, dies zu tun.
1 Sollmaßnahme
K-18.007Öffentlichkeitsinformation auf Anordnung
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 19
§ 19

Unterstützung der Betreiber kritischer Anlagen; freiwillige Beratungsmission

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt Betreibern kritischer Anlagen Vorlagen, Muster und Leitlinien zur Umsetzung der Verpflichtungen nach diesem Gesetz zur Verfügung. Es kann zu diesem Zweck auch Beratungen, Schulungen und Übungen anbieten.
(2)
Das Bundesministerium des Innern kann bei der Europäischen Kommission mit Zustimmung des betroffenen Betreibers kritischer Anlagen einen Antrag auf Organisation einer Beratungsmission zur Bewertung der Maßnahmen stellen, die der Betreiber kritischer Anlagen ergriffen hat, um seine Verpflichtungen nach den §§ 12, 13 und 18 zu erfüllen. Falls für die betroffene Dienstleistung eine Behörde des Bundes die zuständige Behörde ist, erfolgt die Antragstellung im Einvernehmen mit dem Bundesministerium, zu dessen Geschäftsbereich die Behörde gehört. Liegt die Fach- oder Rechtsaufsicht für den Teil einer Behörde, der für die betroffene kritische Dienstleistung zuständig ist, nicht bei dem Bundesministerium, zu dessen Geschäftsbereich sie gehört, erfolgt die Antragstellung nach Satz 1 im Einvernehmen mit dem Bundesministerium, dessen Fach- oder Rechtsaufsicht der betreffende Teil dieser Behörde untersteht. Im Übrigen erfolgt sie im Benehmen mit dem Landesministerium, zu dessen Geschäftsbereich die für die betroffene Dienstleistung zuständige Behörde gehört.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 20
§ 20

Umsetzungs- und Überwachungspflicht für Geschäftsleitungen

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Geschäftsleitungen von Betreibern kritischer Anlagen sind verpflichtet, die von den Betreibern kritischer Anlagen nach § 13 Absatz 1 zu ergreifenden Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen.
1 Sollmaßnahme
K-20.001Umsetzungs- und Überwachungspflicht der Geschäftsleitung
(2)
Geschäftsleitungen, die ihre Pflicht nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 21
§ 21

Berichtspflichten

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Das Bundesministerium des Innern übermittelt folgende Informationen an die Europäische Kommission:
1.
innerhalb von drei Monaten nach Durchführung von nationalen Risikoanalysen und Risikobewertungen jeweils aufgeschlüsselt nach den im Anhang der Richtlinie (EU) 2022/2557 genannten Sektoren und Teilsektoren Informationen a) über die ermittelten Arten von Risiken und b) über die Ergebnisse dieser Risikoanalysen und Risikobewertungen,
2.
nach der Ermittlung der Betreiber kritischer Anlagen unverzüglich und anschließend alle vier Jahre a) eine Liste der wesentlichen Dienste im Sinne des Artikels 7 Absatz 2 Buchstabe a der Richtlinie (EU) 2022/2557, b) die Zahl der Betreiber kritischer Anlagen für jeden im Anhang der Richtlinie (EU) 2022/2557 genannten Sektor und Teilsektor und für jeden wesentlichen Dienst im Sinne des Artikels 2 Nummer 5 der Richtlinie (EU) 2022/2557 und des Artikels 2 der Delegierten Verordnung (EU) 2023/2450 sowie c) die Schwellenwerte, die in der Rechtsverordnung nach § 5 Absatz 1 Satz 1 Nummer 2 zur Spezifizierung eines oder mehrerer der in Artikel 7 Absatz 1 der Richtlinie (EU) 2022/2557 genannten Kriterien festgelegt werden.
(2)
Das Bundesministerium des Innern übermittelt der Europäischen Kommission und der Gruppe für die Resilienz kritischer Einrichtungen zur Unterrichtung anderer Mitgliedstaaten der Europäischen Union bis einschließlich 17. Juli 2028 und danach alle zwei Jahre einen zusammenfassenden Bericht über die Anzahl und die Art
1.
der eingegangenen Meldungen nach § 18 und
2.
der auf Grundlage von § 18 Absatz 4 ergriffenen Maßnahmen.
(3)
Informationen, deren Offenlegung wesentlichen nationalen Interessen im Bereich der nationalen Sicherheit, der öffentlichen Sicherheit oder der Verteidigung entgegenlaufen würde, sind von der Übermittlung von Informationen nach den Absätzen 1 und 2 ausgeschlossen.
(4)
Das Bundesministerium des Innern übermittelt die Informationen nach Absatz 1 und den zusammenfassenden Bericht nach Absatz 2 jeweils gleichzeitig mit der Übermittlung an die Europäische Kommission an den Bundestag und an die Bundesregierung.
(5)
Für die Zwecke von Absatz 1 Nummer 1 Buchstabe a und b übermitteln die Bundesministerien und Landesministerien jeweils für die kritischen Dienstleistungen, für die eine Behörde die zuständige Behörde ist, die zu ihrem Geschäftsbereich gehört und soweit sie die Fach- oder Rechtsaufsicht über diese zuständige Behörde ausüben, die erforderlichen Informationen an das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Liegt die Fach- oder Rechtsaufsicht für die zuständige Behörde hinsichtlich der betroffenen kritischen Dienstleistung bei einem anderen Bundesministerium, übermittelt dieses Bundesministerium die erforderlichen Informationen an das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.
(6)
Die zuständigen Behörden übermitteln dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die für die Zwecke des § 9 Absatz 4 erforderlichen Unterlagen. Die zuständigen Behörden übermitteln dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe erstmals bis einschließlich 15. Juli 2027 und fortan jährlich einen zusammenfassenden Bericht über die Überprüfungen und Anordnungen nach § 16. Der Bericht darf keine Handels- oder Geschäftsgeheimnisse enthalten.
(7)
Die Berichte nach den Absätzen 1, 2, 4 und 5 dürfen keine Informationen enthalten, die zu einer Identifizierung einzelner Meldungen oder einzelner Betreiber kritischer Anlagen führen können und dürfen keine Handels- oder Geschäftsgeheimnisse enthalten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 22
§ 22

Ausnahmebescheid

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Das Bundesministerium des Innern kann auf Vorschlag des Bundeskanzleramtes, des Bundesministeriums der Justiz und für Verbraucherschutz, des Bundesministeriums der Verteidigung oder auf eigenes Betreiben Betreiber kritischer Anlagen von Verpflichtungen nach diesem Gesetz nach Maßgabe des Absatzes 2 teilweise befreien (einfacher Ausnahmebescheid) oder nach Maßgabe des Absatzes 3 insgesamt befreien (erweiterter Ausnahmebescheid), wenn die Resilienz des Betreibers anderweitig gewährleistet und staatlich beaufsichtigt ist.
(2)
Betreiber kritischer Anlagen, die
1.
in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung, einschließlich der Ermittlung, Aufdeckung und Verfolgung von Straftaten tätig sind oder
2.
für Behörden, die Aufgaben in den in Nummer 1 genannten Bereichen erfüllen, tätig sind,
können für diese Tätigkeiten von den Verpflichtungen nach den §§ 12, 13 und 18 befreit werden.
(3)
Betreiber kritischer Anlagen, die ausschließlich im Sinne des Absatzes 2 Nummer 1 oder 2 tätig sind, können insgesamt von den Verpflichtungen nach diesem Gesetz befreit werden.
(4)
Ein einfacher Ausnahmebescheid oder ein erweiterter Ausnahmebescheid ist vorbehaltlich der Sätze 2 und 3 zu widerrufen, wenn nachträglich Tatsachen eintreten, die zu dessen Versagung führen würden. Ein erweiterter Ausnahmebescheid kann im Falle des Satzes 1 in einen einfachen Ausnahmebescheid umgewandelt werden, wenn dessen Voraussetzungen vorliegen. Wenn die Voraussetzungen des einfachen Ausnahmebescheids oder des erweiterten Ausnahmebescheids nur kurzfristig wegfallen, kann von einem Widerruf oder einer Umwandlung abgesehen werden.
(5)
Die Entscheidungen nach diesem Paragrafen erfolgen im Benehmen mit dem Bundesministerium oder Landesministerium, zu dessen Geschäftsbereich die für den betroffenen Betreiber kritischer Anlagen zuständige Behörde gehört. Liegt die Fach- oder Rechtsaufsicht für den Teil einer Behörde, der für die betroffene kritische Dienstleistung zuständig ist, nicht bei dem Bundesministerium, zu dessen Geschäftsbereich sie gehört, erfolgen die Entscheidungen nach diesem Paragrafen im Benehmen mit dem Bundesministerium, dessen Fach- oder Rechtsaufsicht der betreffende Teil dieser Behörde untersteht.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 23
§ 23

Verarbeitung personenbezogener Daten

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Die Verarbeitung personenbezogener Daten durch das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, das Bundesamt für Sicherheit in der Informationstechnik, die Bundesnetzagentur, die Bundesanstalt für Finanzdienstleistungsaufsicht, die zuständigen Behörden und die nach Vorschriften dieses Gesetzes zuständigen Bundesministerien und Landesministerien ist zulässig, soweit dies zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben erforderlich ist.
(2)
Die Verarbeitung personenbezogener Daten durch die in Absatz 1 genannten Stellen zu anderen Zwecken als demjenigen, zu dem die Daten ursprünglich erhoben wurden, ist unbeschadet von § 23 des Bundesdatenschutzgesetzes und Artikel 6 Absatz 4 der Verordnung (EU) 2016/679 zulässig, soweit
1.
die Verarbeitung erforderlich ist zur Sammlung, Auswertung oder Untersuchung von Informationen über nach § 18 gemeldete Vorfälle oder
2.
dies der Unterstützung oder Beratung von Betreibern kritischer Anlagen bei der Gewährleistung ihrer Resilienz dient und kein Grund zu der Annahme besteht, dass das schutzwürdige Interesse der betroffenen Person an dem Ausschluss der Verarbeitung überwiegt.
(2a)
Die Erforderlichkeit der Verarbeitung personenbezogener Daten im Sinne der Absätze 1 und 2 ist insbesondere dann nicht gegeben, wenn durch eine Verarbeitung anonymisierter oder künstlich erzeugter Daten der Zweck in gleicher Weise erfüllt werden kann.
(3)
Die in Absatz 1 genannten Stellen sehen angemessene und spezifische Maßnahmen zur Wahrung der Interessen der betroffenen Person nach § 22 Absatz 2 Satz 2 des Bundesdatenschutzgesetzes vor.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 24
§ 24

Bußgeldvorschriften

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
(1)
Ordnungswidrig handelt, wer
1.
entgegen § 8 Absatz 1 a) Nummer 1 bis 3, 5 oder 6 oder b) Nummer 4 in Verbindung mit einer Rechtsverordnung nach § 5 Absatz 1 Satz 1 eine dort genannte Angabe nicht, nicht richtig, nicht vollständig, nicht in der vorgeschriebenen Weise oder nicht rechtzeitig übermittelt,
2.
einer vollziehbaren Anordnung nach a) § 8 Absatz 2 Satz 1 oder b) § 16 Absatz 2 Satz 1 oder 2 oder Absatz 3 Satz 3, auch in Verbindung mit Absatz 5 Satz 3, oder nach § 16 Absatz 5 Satz 1 oder 2 zuwiderhandelt,
3.
entgegen § 16 Absatz 3 Satz 3, auch in Verbindung mit Absatz 5 Satz 3, ein Ergebnis eines Audits nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt oder
4.
entgegen § 16 Absatz 4 Satz 3 das Betreten eines Geschäfts- oder Betriebsraums oder einen dort genannten Zugang nicht gestattet, eine Aufzeichnung, ein Schriftstück oder eine Unterlage nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig vorlegt oder eine Auskunft nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig erteilt.
(2)
Die Ordnungswidrigkeit kann in den Fällen des Absatzes 1 Nummer 2 Buchstabe a mit einer Geldbuße bis zu einer Million Euro, in den Fällen des Absatzes 1 Nummer 3 mit einer Geldbuße bis zu fünfhunderttausend Euro, in den Fällen des Absatzes 1 Nummer 2 Buchstabe b mit einer Geldbuße bis zu zweihunderttausend Euro und in den übrigen Fällen mit einer Geldbuße bis zu hunderttausend Euro geahndet werden.
(3)
Verwaltungsbehörde im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten ist in den Fällen des Absatzes 1 Nummer 1 und 2 Buchstabe a das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe und in den übrigen Fällen die jeweils nach § 3 Absatz 2 Satz 1 zuständige Behörde.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 25
§ 25

Evaluierung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
Das Bundesministerium des Innern wird dieses Gesetz regelmäßig alle fünf Jahre und erstmalig zwei Jahre nach Inkrafttreten im Benehmen mit den zuständigen Behörden der Länder auf wissenschaftlich fundierter Grundlage evaluieren, insbesondere im Hinblick auf die Identifizierung der Betreiber kritischer Anlagen und auf die gegebenenfalls abgestufte Ausgestaltung des Regelschwellenwertes gemäß § 5 Absatz 2 sowie die Höhe der Bußgelder gemäß § 24 und die Frage der Notwendigkeit eines Zertifizierungssystems für Nachweise gemäß § 16.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
KRITIS-DachGݤ 26
§ 26

Anwendungsbestimmung und Übergangsregelung

KRITIS-DachG · BGBl. 2026 I Nr. 66 (verkündet 16.03.2026, in Kraft 17.03.2026)
§ 8 Absatz 1 Nummer 2, 6 und 7 ist erst anzuwenden, wenn eine auf der Grundlage von § 4 Absatz 3 und § 5 Absatz 1 erlassene Rechtsverordnung gilt. Bis zur Geltung dieser Rechtsverordnung ist § 8 Absatz 1 Nummer 2 und 6 in der bis einschließlich 16. März 2026 geltenden Fassung weiter anzuwenden.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 1
§ 1

Begriffsbestimmungen

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Im Sinne dieser Verordnung ist oder sind 1. Anlagen a) Betriebsstätten und sonstige ortsfeste Einrichtungen, b) Maschinen, Geräte und sonstige ortsveränderliche Einrichtungen oder c) Software und IT-Dienste, die für die Erbringung einer kritischen Dienstleistung notwendig sind, 2. (weggefallen) 3. Versorgungsgrad ein Wert, mittels dessen der Beitrag einer Anlage oder Teilen davon im jeweiligen Sektor zur Versorgung der Allgemeinheit mit einer kritischen Dienstleistung bestimmt wird, 4. Schwellenwert ein Wert, bei dessen Erreichen oder dessen Überschreitung der Versorgungsgrad einer Anlage oder Teilen davon als bedeutend im Sinne von § 10 Absatz 1 Satz 1 des BSI-Gesetzes anzusehen ist.
(2)
Einer Anlage sind alle vorgesehenen Anlagenteile und Verfahrensschritte zuzurechnen, die zum Betrieb notwendig sind, sowie Nebeneinrichtungen, die mit den Anlagenteilen und Verfahrensschritten in einem betriebstechnischen Zusammenhang stehen und die für die Erbringung einer kritischen Dienstleistung notwendig sind. Mehrere Anlagen derselben Kategorie, die durch einen betriebstechnischen Zusammenhang verbunden sind, gelten als gemeinsame Anlage, wenn sie gemeinsam zur Erbringung derselben kritischen Dienstleistung notwendig sind. Betreiben zwei oder mehr Personen gemeinsam eine Anlage, so ist jeder für die Erfüllung der Pflichten als Betreiber verantwortlich.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 2
§ 2

Sektor Energie

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Energie kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Versorgung der Allgemeinheit mit Elektrizität (Stromversorgung); 2. die Versorgung der Allgemeinheit mit Gas (Gasversorgung); 3. die Versorgung der Allgemeinheit mit Kraftstoff und Heizöl (Kraftstoff- und Heizölversorgung); 4. die Versorgung der Allgemeinheit mit Fernwärme (Fernwärmeversorgung).
(2)
Die Stromversorgung wird in den Bereichen Stromerzeugung, Stromhandel, Stromübertragung und Stromverteilung erbracht.
(3)
Die Gasversorgung wird in den Bereichen Gasförderung, Gashandel, Gastransport und Gasverteilung erbracht.
(4)
Die Kraftstoff- und Heizölversorgung wird in den Bereichen Erdölförderung, Produktenherstellung, Mineralölhandel, Öltransport und -lagerung sowie Kraftstoff- und Heizölverteilung erbracht.
(5)
Die Fernwärmeversorgung wird in den Bereichen Erzeugung von Fernwärme, Steuerung und Überwachung von Fernwärme sowie Verteilung von Fernwärme erbracht.
(6)
Im Sektor Energie sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 1 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 1 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 3
§ 3

Sektor Wasser

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Wasser kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Versorgung der Allgemeinheit mit Trinkwasser (Trinkwasserversorgung); 2. die Beseitigung von Abwasser der Allgemeinheit (Abwasserbeseitigung).
(2)
Die Trinkwasserversorgung wird in den Bereichen Gewinnung, Aufbereitung, Verteilung sowie Steuerung und Überwachung von Trinkwasser erbracht.
(3)
Die Abwasserbeseitigung wird in den Bereichen Siedlungsentwässerung, Abwasserbehandlung und Gewässereinleitung sowie Steuerung und Überwachung erbracht.
(4)
Im Sektor Wasser sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 2 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 2 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 4
§ 4

Sektor Ernährung

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Ernährung die Versorgung der Allgemeinheit mit Lebensmitteln (Lebensmittelversorgung) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2)
Die Lebensmittelversorgung wird in den Bereichen Lebensmittelherstellung und -behandlung sowie Lebensmittelhandel erbracht.
(3)
Im Sektor Ernährung sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 3 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 3 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 5
§ 5

Sektor Informationstechnik und Telekommunikation

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Informationstechnik und Telekommunikation kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Sprach- und Datenübertragung; 2. die Datenspeicherung und -verarbeitung.
(2)
Die Sprach- und Datenübertragung wird in den Bereichen Zugang, Übertragung, Vermittlung und Steuerung erbracht.
(3)
Die Datenspeicherung und -verarbeitung wird in den Bereichen Housing, IT-Hosting und Vertrauensdienste erbracht.
(4)
Im Sektor Informationstechnik und Telekommunikation sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 4 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 4 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 6
§ 6

Sektor Gesundheit

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Gesundheit kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die stationäre medizinische Versorgung; 2. die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind; 3. die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper; 4. die Laboratoriumsdiagnostik.
(2)
Die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind, wird in den Bereichen Herstellung und Abgabe erbracht.
(3)
Die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper wird in den Bereichen Herstellung, Vertrieb und Abgabe erbracht.
(4)
Im Sektor Gesundheit sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 5 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 5 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 7
§ 7

Sektor Finanzwesen

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Finanzwesen kritische Dienstleistungen im Sinne des § 56 Absatz 4 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes: 1. die Bargeldversorgung; 2. der kartengestützte Zahlungsverkehr; 3. der konventionelle Zahlungsverkehr; 4. der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften.
(2)
Die Bargeldversorgung wird in den Bereichen Autorisierung einer Abhebung, Einbringen in den Zahlungsverkehr, Belastung Kundenkonto und Bargeldlogistik erbracht.
(3)
Der kartengestützte Zahlungsverkehr wird bei kartengebundenen Zahlungsvorgängen im Sinne der Verordnung (EU) 2015/751 des Europäischen Parlaments und des Rates vom 29. April 2015 über Interbankenentgelte für kartengebundene Zahlungsvorgänge (ABl. L 123 vom 19.5.2015, S. 1) in den Bereichen Autorisierung, Einbringen in den Zahlungsverkehr sowie Belastung auf dem Konto des Zahlers und Gutschrift auf dem Konto des Zahlungsempfängers erbracht.
(4)
Der konventionelle Zahlungsverkehr wird bei Zahlungsvorgängen mittels Überweisung und Lastschrift im Sinne der Verordnung (EU) Nr. 260/2012 des Europäischen Parlaments und des Rates vom 14. März 2012 zur Festlegung der technischen Vorschriften und der Geschäftsanforderungen für Überweisungen und Lastschriften in Euro (ABl. L 94 vom 30.3.2012, S. 22) in den Bereichen Annahme einer Überweisung oder Lastschrift, Einbringen in den Zahlungsverkehr sowie Belastung und Gutschrift auf Kundenkonten erbracht.
(5)
Der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften wird in den Bereichen Einbringen von Aufträgen in den Handel, Ausführung des Handels und Bestandsführung für den Kunden sowie Verrechnung von Wertpapier- und Derivatgeschäften, Verbuchung Wertpapiere und Verbuchung Geld erbracht.
(6)
Im Sektor Finanzwesen sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 6 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 6 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 8
§ 8

Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Leistungen der Sozialversicherung werden im Bereich Inanspruchnahme von Sozialversicherungsleistungen erbracht. Leistungen der Grundsicherung für Arbeitsuchende werden im Bereich der Inanspruchnahme von Leistungen, die der Sicherung des Lebensunterhalts dienen, mithilfe von IT-Systemen der Bundesagentur für Arbeit erbracht.
(2)
Im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 9 Teil 2 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 9 Teil 2 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 9
§ 9

Sektor Transport und Verkehr

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Transport und Verkehr die Versorgung der Allgemeinheit mit Leistungen zum Transport von Personen und Gütern (Personen- und Güterverkehr) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2)
Der Personen- und Güterverkehr wird in den Bereichen Luftverkehr, Eisenbahnverkehr, See- und Binnenschifffahrt, Straßenverkehr, öffentlicher Personennahverkehr (ÖPNV) und Logistik sowie verkehrsträgerübergreifend erbracht.
(3)
Im Sektor Transport und Verkehr sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 7 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 7 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 10
§ 10

Sektor Siedlungsabfallentsorgung

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
(1)
Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Siedlungsabfallentsorgung die Entsorgung von Siedlungsabfällen kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2)
Die Siedlungsabfallentsorgung wird in den Bereichen „Abfallsammlung und -beförderung“ und „Abfallverwertung und -beseitigung“ erbracht.
(3)
Im Sektor Siedlungsabfallentsorgung sind kritische Anlagen solche Anlagen oder Teile davon, die 1. den in Anhang 8 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und 2. den Schwellenwert nach Anhang 8 Teil 3 Spalte D erreichen oder überschreiten.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 11
§ 11

Evaluierung

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
Zwei Jahre nach Inkrafttreten dieser Rechtsverordnung und danach alle zwei Jahre sind unter Beteiligung der in § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes genannten Ressorts und unter Berücksichtigung von Erkenntnissen der Betreiber kritischer Anlagen, von deren Verbänden sowie von Vertretern der Wissenschaft zu evaluieren 1. die Festlegung der kritischen Dienstleistungen und Bereiche, 2. die Festlegung der Anlagenkategorien, die für die Erbringung der kritischen Dienstleistungen erforderlich sind, und 3. die Bestimmung der Schwellenwerte.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisVݤ 12
§ 12

Außerkrafttreten

BSI-Kritisverordnung (geltend) · gilt fort bis zur neuen KritisV nach dem KRITIS-DachG
Die BSI-Kritisverordnung vom 22. April 2016 (BGBl. I S. 958), die zuletzt durch Artikel 2 des Gesetzes vom 18. Dezember 2025 (BGBl. 2025 I Nr. 347) geändert worden ist, tritt mit Inkrafttreten der Rechtsverordnung nach § 4 Absatz 3 und § 5 Absatz 1 des KRITIS-Dachgesetzes außer Kraft. Das Bundesministerium des Innern gibt das Inkrafttreten im Bundesgesetzblatt bekannt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 1
Anhang 1

(zu § 1 Absatz 1 Nummer 2 und 3, § 2 Absatz 5 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Energie

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. I 2016, 960 - 962 bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Für die in Teil 3 Spalte B genannten Anlagenkategorien gelten vorrangig die Begriffsbestimmungen nach § 3 des Energiewirtschaftsgesetzes und nach § 2 des Kraft-Wärme-Kopplungsgesetzes in der jeweils geltenden Fassung.
2.
Im Sinne von Anhang 1 ist oder sind
2.1
Erzeugungsanlage
eine Anlage im Sinne des § 3 Nummer 43 des Energiewirtschaftsgesetzes. Diese Kategorie umfasst auch Anlagen zur Speicherung von elektrischer Energie sowie dezentrale Energieerzeugungsanlagen im Sinne des § 3 Nummer 25 des Energiewirtschaftsgesetzes.
2.2
Digitaler Energiedienst
Eine Anlage oder ein System, das den zentralen, standortübergreifenden Zugriff auf die Steuerung oder die unmittelbare Beeinflussung von Energieanlagen oder den zentralen, standortübergreifenden Zugriff auf die Steuerung oder die unmittelbare Beeinflussung dezentraler Anlagen zum Verbrauch elektrischer Energie oder Gas ermöglicht.
2.3
Übertragungsnetz
ein Netz zur Übertragung im Sinne des § 3 Nummer 100 des Energiewirtschaftsgesetzes.
2.4
Zentrale Anlage oder System für den Stromhandel
eine Anlage oder ein elektronisches Handelssystem, das den physischen, kurzfristigen Spothandel sowie den Terminhandel mit Energie für das deutsche Marktgebiet betrifft.
2.5
Stromverteilernetz
ein Netz zur Verteilung von Elektrizität im Sinne des § 3 Nummer 108 des Energiewirtschaftsgesetzes.
2.6
Gasförderanlage
eine Anlage zur Förderung von Erdgas aus einer Bohrung.
2.7
Anlage zur zentralen standortübergreifenden Steuerung
eine Anlage oder ein IT-System, durch das eine oder mehrere Anlagen standortübergreifend gesteuert oder überwacht werden.
2.8
Fernleitungsnetz
ein Netz zur Fernleitung im Sinne des § 3 Nummer 45 des Energiewirtschaftsgesetzes.
2.9
Gasgrenzübergabestelle
eine Netzkoppelstelle, die in der Regel zwischen einem deutschen Fernleitungsnetz und dem eines anderen Staates besteht, soweit diese nicht von einem deutschen Fernleitungsnetzbetreiber als Bestandteil dessen Fernleitungsnetzes betrieben wird.
2.10
Gasspeicher
eine Speicheranlage im Sinne des § 3 Nummer 49 des Energiewirtschaftsgesetzes.
2.11
Gasverteilernetz
ein Netz zur Verteilung von Gas im Sinne des § 3 Nummer 108 des Energiewirtschaftsgesetzes.
2.12
Gas- oder Kapazitätshandelssystem
eine Anlage oder ein elektronisches Handelssystem für den Handel von Gasmengen oder -kapazitäten.
2.13
LNG-Anlage
schwimmende oder landgebundene stationäre Anlagen oder Systeme zur Verflüssigung von Gas nach § 3 Nummer 47 des Energiewirtschaftsgesetzes oder zur Einfuhr, Entladung und Wiederverdampfung von verflüssigtem Gas, einschließlich der Anlagenteile für Hilfsdienste und für die vorübergehende Speicherung von verflüssigtem Erdgas, die für die Wiederverdampfung und die anschließende Einspeisung in das Fernleitungsnetz erforderlich sind.
2.14
Ölförderanlage
eine Anlage zur Förderung von Erdöl aus einer Bohrung.
2.15
Raffinerie
eine Anlage zur Destillation oder Raffination oder sonstigen Weiterverarbeitung von Erdöl in Mineralölraffinerien im Sinne der Nummer 4.3 der Anlage 1 des Gesetzes über die Umweltverträglichkeitsprüfung.
2.16
Mineralölfernleitung
eine Rohrfernleitung im Sinne der Rohrfernleitungsverordnung zum Transport von Erdöl oder Erdölprodukten.
2.17
Erdöl- und Erdölproduktenlager
eine Anlage zur Lagerung von Erdöl oder Mineralölprodukten.
2.18
Anlage oder System von Aggregatoren zum Vertrieb von Kraftstoff und Heizöl
eine Anlage oder ein IT-System, das zur Disposition insbesondere von Tankkraftwagen, Kesselwagen oder Binnenschiffen verwendet wird, mit dem Ziel, den Vertrieb von Kraftstoff oder Heizöl abzuwickeln, zu koordinieren oder zu optimieren, unabhängig davon, ob durch die Anlage oder das IT-System Verbraucher beliefert werden.
2.19
Tankstellennetz
eine Anlage oder ein System zur Verbindung voneinander unabhängiger Tankstellen oder Flugfeldbetankungsanlagen mittels zentraler Komponenten (beispielsweise physischer oder datentechnischer Verbindungen). Eine zentrale Komponente dient der zentralen Erbringung wichtiger Aufgaben für den Betrieb der Tankstellen oder Flugfeldbetankungsanlagen eines Tankstellennetzes zur Versorgung mit Kraftstoff.
2.20
Anlage oder System zur zentralen kommerziellen Steuerung
eine Anlage oder ein System zur zentralen Steuerung oder Koordinierung der Betriebsplanung einer oder mehrerer Anlagen oder zur kommerziellen Abwicklung für eine oder mehrere Anlagen, soweit diese zum Betrieb notwendig sind. Dazu zählen auch Clearing-Instanzen oder Kollaborationslösungen, die als Cloud-Lösung betrieben werden.
2.21
Heizwerk
eine Anlage zur Erzeugung von Wärme zur Belieferung von Endkunden im Sinne der Verordnung über Allgemeine Bedingungen für die Versorgung mit Fernwärme.
2.22
Heizkraftwerk
eine KWK-Anlage im Sinne des § 2 Nummer 14 des Kraft-Wärme-Kopplungsgesetzes.
2.23
Fernwärmenetz
ein Netz zur Versorgung der Allgemeinheit mit Wärme.
3.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet. Anlagen nach Teil 3 Nummer 2.2.4 gelten ab dem ersten Tag des dritten Kalendermonats, der auf den Kalendermonat folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erreicht oder überschreitet als kritische Anlage. Diese Anlagen gelten nicht mehr als kritische Anlage ab dem 1. April des Kalenderjahres, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln. Betreiber von Anlagen nach Teil 3 Nummer 2.2.4 haben den aktuellen Versorgungsgrad ihrer Anlage jeweils zur Inbetriebnahme und zum 31. März eines jeden Kalenderjahres zu ermitteln.
5.
Ist der Versorgungsgrad anhand der Anzahl angeschlossener Haushalte zu ermitteln, ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres maßgeblich.
6.
Ist der Versorgungsgrad anhand der Kapazität (installierte Netto-Nennleistung) einer Anlage zu ermitteln, ist auf den rechtlich und tatsächlich möglichen Betriebsumfang der durch denselben Betreiber betriebenen Anlage abzustellen.
7.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
8.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 und 1.1.2 genannte Schwellenwert von 104 MW ist unter Annahme eines Durchschnittsverbrauchs von 1 815 kWh pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:



Die durchschnittliche elektrische Arbeit zur Versorgung von 500 000 Personen im Jahr entspricht im Falle der Nummern 1.1.1 und 1.1.2 einer installierten Nettonennleistung von:



Der Schwellenwert von 36 MW für zur Erbringung von Primärregelleistung präqualifizierter Anlagen ergibt sich aus Artikel 5 Absatz 3 der Verordnung (EU) 2016/631 der Kommission vom 14. April 2016 zur Festlegung eines Netzkodex mit Netzanschlussbestimmungen für Stromerzeuger.
9.
Der für die Anlagenkategorien des Teils 3 Nummer 1.4.1 genannte Schwellenwert ist unter Annahme eines Gesamthandelsvolumens rund 7 400 TWh und eines Durchschnittshandelsvolumens pro Person pro Jahr von 92,6 MWh und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




10.
Der für die Anlagenkategorien des Teils 3 Nummer 2 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 10 380 kWh pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




11.
Der für die Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.2, 3.2.3, 3.3.1 und 3.3.3 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 0,84 Tonnen Kraftstoff zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




12.
Der für Erdöl in den Anlagenkategorien des Teils 3 Nummer 3.1.1, 3.1.3, 3.2.1, 3.2.2, 3.2.3 und 3.4.1 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und damit einer durchschnittlichen Gesamtproduktionsmenge von 620 000 Tonnen leichtem Heizöl für 500 000 versorgte Personen sowie unter der Annahme, dass aus einer Tonne Rohöl etwa 0,14 Tonnen leichtes Heizöl hergestellt werden, wie folgt berechnet:




13.
Der für Kraftstoff in den Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.1, 3.2.2, 3.2.3, 3.3.1, 3.3.2, 3.3.3 und 3.4.1 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 0,84 Tonnen Kraftstoff zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:




14.
Der für Flugkraftstoff in den Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.1., 3.2.2, 3.2.3, 3.3.1, 3.3.2, 3.3.3 und 3.4.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs einer Person pro Jahr von 0,1275 Tonnen Flugkraftstoff und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:



15.
Der für Heizöl in den Anlagenkategorien des Teils 3 Nummer 3.1.2, 3.1.3, 3.2.1, 3.2.2, 3.2.3, 3.3.1, 3.3.3 und 3.4.1 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Produktionsmenge von 1,24 Tonnen leichtem Heizöl zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Stromversorgung
1.1Stromerzeugung
1.1.1ErzeugungsanlageInstallierte Nettonennleistung (elektrisch oder direkt mit Wärmeauskopplung verbundene elektrische Wirkleistung bei Wärmenennleistung ohne Kondensationsanteil) in MW oder104
installierte Nettonennleistung in MW, wenn die Anlage als Schwarzstartanlage nach § 3 Absatz 2 des Beschlusses der Bundesnetzagentur vom 20. Mai 2020, Aktenzeichen BK6-18-249 kontrahiert ist, oder0
installierte Nettonennleistung in MW, wenn die Anlage zur Erbringung von Primärregelleistung nach § 2 Nummer 8 StromNZV präqualifiziert ist36
1.1.2Digitaler EnergiedienstInstallierte Nettonennleistung (elektrisch) in MW oder104
installierte Nettonennleistung in MW, wenn die Anlage als Schwarzstartanlage nach § 3 Absatz 2 des Beschlusses BK6-18-249 kontrahiert ist, oder0
installierte Nettonennleistung in MW, wenn die Anlage zur Erbringung von Primärregelleistung nach § 2 Nummer 8 StromNZV präqualifiziert ist36
1.2Stromübertragung
1.2.1ÜbertragungsnetzDurch Letztverbraucher und Weiterverteiler entnommene Jahresarbeit in GWh/Jahr3 700
1.3Stromverteilung
1.3.1StromverteilernetzDurch Letztverbraucher und Weiterverteiler entnommene Jahresarbeit in GWh/Jahr3 700
1.4Stromhandel
1.4.1Zentrale Anlage oder System für den StromhandelAbgewickeltes Handelsvolumen in TWh/Jahr3,7
2Gasversorgung
2.1Gasförderung
2.1.1GasförderanlageEnergie des geförderten Gases in GWh/Jahr5 190
2.1.2Anlage zur zentralen standortübergreifenden SteuerungEnergie des geförderten Gases in GWh/Jahr5 190
2.2Gastransport und -speicherung
2.2.1FernleitungsnetzDurch Letztverbraucher und Weiterverteiler entnommene Jahresarbeit in GWh/Jahr5 190
2.2.2GasgrenzübergabestelleDurchgeleitete Arbeit in GWh/Jahr5 190
2.2.3GasspeicherEntnommene Arbeit in GWh/Jahr5 190
2.2.4LNG-AnlageTechnische Regasifizierungskapazität in GWh/Jahr5 190
2.3Gasverteilung
GasverteilernetzEntnommene Arbeit in GWh/Jahr5 190
2.4Gashandel
2.4.1Gas- oder KapazitätshandelssystemEnergie der gehandelten Gasmengen in GWh/Jahr oder5 190
Menge der gehandelten Gastransportkapazitäten in GWh/h/Jahr5 190
3Kraftstoff- und Heizölversorgung
3.1Erdölförderung und Produktenherstellung
3.1.1ÖlförderanlageGefördertes Erdöl in Tonnen/Jahr4 400 000
3.1.2RaffinerieErzeugter Kraftstoff in Tonnen/Jahr oder420 000 (≈ 420 Millionen Liter)
erzeugter Flugkraftstoff in Tonnen/Jahr oder63 750
erzeugtes Heizöl in Tonnen/Jahr620 000
3.1.3Anlage zur zentralen standortübergreifenden SteuerungGefördertes Rohöl in Tonnen/Jahr oder4 400 000
erzeugter Kraftstoff in Tonnen/Jahr oder420 000
erzeugter Flugkraftstoff in Tonnen/Jahr oder63 750
erzeugtes Heizöl in Tonnen/Jahr620 000
3.2Erdöltransport und -lagerung
3.2.1MineralölfernleitungTransportierte entnommene Rohölmenge in Tonnen/Jahr oder4 400 000
transportierte Kraftstoffmenge in Tonnen/Jahr oder420 000
transportierte Flugkraftstoffmenge in Tonnen/Jahr oder63 750
transportierte Heizölmenge in Tonnen/Jahr620 000
3.2.2Erdöl- und ErdölproduktenlagerUmgeschlagenes Rohöl in Tonnen/Jahr oder4 400 000
umgeschlagener Kraftstoff in Tonnen/Jahr oder420 000
umgeschlagener Flugkraftstoff in Tonnen/Jahr oder63 750
umgeschlagenes Heizöl in Tonnen/Jahr620 000
3.2.3Anlage zur zentralen standortübergreifenden SteuerungGesamtmenge des transportierten Rohöls und der transportierten Ölprodukte in Tonnen/Jahr oder4 400 000
umgeschlagenes Rohöl in Tonnen/Jahr oder4 400 000
umgeschlagener Kraftstoff in Tonnen/Jahr oder420 000
umgeschlagener Flugkraftstoff in Tonnen/Jahr oder63 750
umgeschlagenes Heizöl in Tonnen/Jahr620 000
3.3Kraftstoff- und Heizölverteilung
3.3.1Anlage oder System von Aggregatoren zum Vertrieb von Kraftstoff und HeizölVerteilter Kraftstoff in Tonnen/Jahr oder420 000
verteilter Flugkraftstoff in Tonnen/Jahr oder63 750
verteiltes Heizöl in Tonnen/Jahr620 000
3.3.2TankstellennetzVerteilter Kraftstoff in Tonnen/Jahr oder420 000
verteilter Flugkraftstoff in Tonnen/Jahr63 750
3.3.3Anlage zur zentralen standortübergreifenden SteuerungVerteilter Kraftstoff in Tonnen/Jahr oder420 000
verteilter Flugkraftstoff in Tonnen/Jahr oder63 750
verteiltes Heizöl in Tonnen/Jahr620 000
3.4Mineralölhandel
3.4.1Anlagen oder Systeme zur zentralen kommerziellen SteuerungAbgewickeltes Erdöl in Tonnen/Jahr oder4 400 000
abgewickelter Kraftstoff in Tonnen/Jahr oder420 000
abgewickelter Flugkraftstoff in Tonnen/Jahr oder63 750
abgewickeltes Heizöl in Tonnen/Jahr620 000
4Fernwärmeversorgung
4.1Erzeugung von Fernwärme
4.1.1HeizwerkAusgeleitete Wärmeenergie in GWh/Jahr2 300
4.1.2HeizkraftwerkAusgeleitete Wärmeenergie in GWh/Jahr2 300
4.2Verteilung von Fernwärme
4.2.1FernwärmenetzAngeschlossene Haushalte250 000
4.3Steuerung und Überwachung
4.3.1Anlage zur zentralen standortübergreifenden SteuerungAngeschlossene Haushalte oder250 000
ausgeleitete Wärmeenergie in GWh/Jahr2 300
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 2
Anhang 2

(zu § 1 Absatz 1 Nummer 2 und 3, § 3 Absatz 4 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Wasser

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. I 2016,963 - 964bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Im Sinne von Anhang 2 ist oder sind
1.1.
Gewinnungsanlage
ein Brunnen oder eine Brunnenreihe, eine Sickerleitung, ein Sickerstollen, eine Zisterne, ein Entnahmebauwerk oder eine Stauanlage zur Gewinnung, Bevorratung oder Bewirtschaftung von Oberflächenwasser oder andere Wasserfassung zur Gewinnung von Rohwasser.
1.2.
Aufbereitungsanlage (Wasserwerk)
die Gesamtheit aller technischen Einrichtungen zur Trinkwasseraufbereitung einschließlich der zugehörigen Nebenanlagen sowie der Mess-, Steuerungs- und Regelungstechnik.
1.3.
Wasserverteilungssystem
ein Teil eines Wasserversorgungssystems mit Rohrleitungen, Trinkwasserbehältern, Förderanlagen und sonstigen Einrichtungen zum Zweck der Verteilung von Wasser an die Verbraucher. Dieses System beginnt nach der Wasseraufbereitungsanlage oder, wenn keine Aufbereitung erfolgt, nach der Wassergewinnung oder bei Weiterverteilern an der Übergabestelle des Vorlieferanten und endet an der Übergabestelle zum Verbraucher.
1.4.
Leitzentrale
eine Anlage, insbesondere eine Leitwarte, Leitstelle oder Prozessleitwarte, in der ein oder mehrere Prozessschritte auch räumlich verteilter Anlagen zentral überwacht und/oder gesteuert werden können.
1.5.
Kanalisation
ein Netz von Rohrleitungen und Zusatzbauten (zum Beispiel Regenüberlaufbecken, Regenrückhaltebecken, Regenklärbecken und Pumpstationen), das Abwasser von Anschlusskanälen zu Kläranlagen oder zu anderen Entsorgungsstellen ableitet.
1.6.
Kläranlage
eine Anlage, in der Abwasser physikalisch, biologisch oder chemisch behandelt wird. Die Anlagen zur Gewässereinleitung (zum Beispiel Hochwasserpumpwerke und Ableitungskanäle) werden als Bestandteil der Kläranlage angesehen.
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.3.1 ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres maßgeblich.
5.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
6.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.4.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 44 m 3 pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Trinkwasserversorgung
1.1Gewinnung
1.1.1GewinnungsanlageGewonnene Wassermenge in Millionen m 3 /Jahr22
1.2Aufbereitung
1.2.1Aufbereitungsanlage (Wasserwerk)Aufbereitete Trinkwassermenge in Millionen m 3 /Jahr22
1.3Verteilung
1.3.1WasserverteilungssystemVerteilte Wassermenge in Millionen m 3 /Jahr22
1.4Steuerung und Überwachung
1.4.1LeitzentraleVon den gesteuerten/überwachten Anlagen gewonnene, transportierte oder aufbereitete Wassermenge in Millionen m 3 /Jahr22
2Abwasserbeseitigung
2.1Siedlungsentwässerung
2.1.1KanalisationAngeschlossene Einwohner500 000
2.2Abwasserbehandlung und Gewässereinleitung
2.2.1KläranlageAusbaugröße in Einwohnerwerten500 000
2.3Steuerung und Überwachung
2.3.1LeitzentraleAusbaugrößen der Anlagen in Einwohnerwerten oder angeschlossene Einwohner der gesteuerten oder überwachten Anlagen500 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 3
Anhang 3

(zu § 1 Absatz 1 Nummer 2 und 3, § 4 Absatz 3 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Ernährung

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. I 2016,965 - 966bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Für die in Teil 3 Spalte B Nummer 1 genannten Anlagenkategorien gelten grundsätzlich die Begriffsbestimmungen des § 3 Nummer 1 bis 3 des Lebensmittel-, Bedarfsgegenstände- und Futtermittelgesetzbuches in der jeweils geltenden Fassung.
2.
Im Sinne von Anhang 3 ist oder sind
2.1
Anlage oder System zur Herstellung von Lebensmitteln
eine Anlage zum Herstellen von Lebensmitteln im Sinne des § 3 Absatz 1 Nummer 1 des Lebensmittel- und Futtermittelgesetzbuches.
2.2
Anlage oder System zur Behandlung von Lebensmitteln
eine Anlage zum Behandeln von Lebensmitteln im Sinne des § 3 Absatz 1 Nummer 2 des Lebensmittel- und Futtermittelgesetzbuches.
2.3
Anlage oder System zur Distribution von Lebensmitteln
eine Anlage oder ein System zur Planung, Steuerung, Bereitstellung und Verteilung von Produktionsmitteln oder Lebensmitteln, zum Beispiel Fuhrpark-, Hof- oder Flottenmanagementsysteme.
2.4
Anlage oder System zur zentralen Steuerung oder Überwachung
eine Anlage oder ein System, durch die oder das eine oder mehrere andere Anlagen oder Systeme gesteuert oder überwacht werden, zum Beispiel ERP-, Warenwirtschafts- oder Lagerverwaltungssysteme.
2.5
Anlage oder System zur Bestellung von Lebensmitteln
eine Anlage oder ein System zur Aufgabe oder Entgegennahme von Lebensmittelbestellungen, zum Beispiel EDI-Dispositionssysteme, Lieferanten- und Kundenstammdatensysteme.
2.6
Anlage oder System zum Inverkehrbringen von Lebensmitteln
eine Anlage oder ein System zum Inverkehrbringen von Lebensmitteln im Sinne des Artikels 3 Nummer 8 der Verordnung (EG) Nr. 178/2002 des Europäischen Parlaments und des Rates vom 28. Januar 2002 zur Festlegung der allgemeinen Grundsätze und Anforderungen des Lebensmittelrechts, zur Errichtung der Europäischen Behörde für Lebensmittelsicherheit und zur Festlegung von Verfahren zur Lebensmittelsicherheit (ABl. L 31 vom 1.2.2002, S. 1), die zuletzt durch die Verordnung (EU) 2019/1381 (ABl. L 231 vom 6.9.2019, S. 1) geändert worden ist, zum Beispiel eine Verkaufsstelle des Einzel- oder Großhandels.
3.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmalig erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
5.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
6.
Die Ermittlung des Versorgungsgrads kann, bei einer Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 1.2 zuzuordnen ist, mittels einer pauschalierten Umrechnung der in Teil 3 Spalte D genannten Schwellenwerte auf den in einem Kalenderjahr erzielten Bruttoumsatz in einem Verhältnis von 3,90 Euro pro kg oder l erfolgen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
7.
Der für die Anlagenkategorien des Teils 3 genannte Schwellenwert (Lebensmittel außer Getränke) ist unter Annahme einer durchschnittlichen Produktionsmenge zur Versorgung einer Person mit Lebensmitteln aller Produktgruppen außer Getränken von 0,869 Tonnen/Jahr sowie eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
8.
Der für die Anlagenkategorien des Teils 3 genannte Schwellenwert (Getränke) ist unter Annahme eines Durchschnittsverbrauchs von 700 l/Jahr von Getränken mit Ausnahme von Getränken mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent sowie eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Lebensmittelversorgung
1.1Lebensmittelherstellung und -behandlung
1.1.1Anlage oder System zur Herstellung von LebensmittelnHergestellte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
hergestellte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.1.2Anlage oder System zur Behandlung von LebensmittelnBehandelte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
behandelte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.1.3Anlage oder System zur Distribution von LebensmittelnUmgeschlagene Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
umgeschlagene Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.1.4Anlage oder System zur zentralen Steuerung oder ÜberwachungHergestellte, behandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Lebensmittel außer Getränke aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Tonnen/Jahr oder434 500
hergestellte, behandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Liter/Jahr350 000 000
1.2Lebensmittelhandel
1.2.1Anlage oder System zur Behandlung von LebensmittelnBehandelte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
behandelte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.2Anlage oder System zur Distribution von LebensmittelnUmgeschlagene Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
umgeschlagene Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.3Anlage oder System zur Bestellung von LebensmittelnBestellte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
bestellte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.4Anlage oder System zum Inverkehrbringen von LebensmittelnIn Verkehr gebrachte Lebensmittel außer Getränke in Tonnen/Jahr oder434 500
in Verkehr gebrachte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent in Liter/Jahr350 000 000
1.2.5Anlage oder System zur zentralen Steuerung oder ÜberwachungBehandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Lebensmittel außer Getränke aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Tonnen/Jahr oder434 500
behandelte, umgeschlagene, bestellte oder in Verkehr gebrachte Getränke außer Getränke mit einem Alkoholgehalt von mehr als 1,2 Volumenprozent aller durch die Anlage oder das System gesteuerten oder überwachten Anlagen in Liter/Jahr350 000 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 4
Anhang 4

(zu § 1 Absatz 1 Nummer 2 und 3, § 5 Absatz 4 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Informationstechnik und Telekommunikation

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. I 2016, 967 - 969bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen
1.
Für die in Teil 3 Spalte B genannten Anlagenkategorien gelten vorrangig die Begriffsbestimmungen nach § 3 des Telekommunikationsgesetzes in der jeweils geltenden Fassung.
2.
Im Sinne von Anhang 4 ist oder sind
2.1
Zugangsnetz
eine Anlage, über die der Zugang zu einem Sprachkommunikationsdienst, zu einem öffentlich zugänglichen Datenübertragungsdienst oder zu einem Internetzugangsdienst erfolgt, zum Beispiel Glasfaseranschlüsse und Mobilfunkzugangsnetze.
2.2
Übertragungsnetz
eine Anlage zur Übertragung von Sprache und Daten für Sprachkommunikationsdienste und öffentlich zugängliche Datenübertragungsdienste oder für Internetzugangsdienste, zum Beispiel Backbone- und Core-Netze.
2.3
Seekabelanlandestation
eine Anlandestation zur Anbindung primär der Sprach- und Datenübertragung dienender Seekabel an landgestützte Telekommunikationsnetze.
2.4
IXP
eine von den angeschlossenen autonomen Systemen unabhängige Netzeinrichtung, die die Zusammenschaltung von mehr als zwei unabhängigen autonomen Systemen für den Zweck des Austausches von Internetdatenverkehr ermöglicht. Eine Anlage ist auch dann ein IXP, wenn der Internetdatenverkehr zwischen zwei beliebigen teilnehmenden autonomen Systemen nicht über ein intermediäres autonomes System läuft.
2.5
DNS-Resolver
eine Anlage oder ein System im Zugangsnetz eines Anbieters von Internetzugangsdiensten zur Beantwortung von Anfragen zur Namensauflösung, die oder das bei Unkenntnis der Antwort die Anfragen an übergeordnete DNS-Instanzen weiterreicht, wenn die Anlage oder das System zur Nutzung von Sprachkommunikationsdiensten, öffentlich zugänglichen Datenübertragungsdiensten oder Internetzugangsdiensten angeboten wird.
2.6
Autoritativer DNS-Server
eine Anlage oder ein System zur Beantwortung von Anfragen zur Namensauflösung gemäß Kapitel 5 des RFC 7719, in der oder in dem durch lokal vorliegende Informationen über den Inhalt einer DNS-Zone Anfragen über diese DNS-Zone beantwortet werden oder die Anfragen an andere Server delegiert werden.
2.7
Top-Level-Domain-Name-Registry
eine Anlage, welche die Registrierung von Internet-Domain-Namen innerhalb einer spezifischen Top-Level-Domain (TLD) verwaltet und betreibt.
2.8
Rechenzentrum (Housing)
ein oder mehrere Gebäude, zumindest aber ein geschlossener Raum mit dem vorrangigen Zweck, eine geeignete Umgebung für die Unterbringung und den Betrieb von zentralen IT-Komponenten, zum Beispiel Server oder Netzwerktechnik, in mindestens zehn Racks bereitzustellen.
2.9
Serverfarm (Hosting)
zwei oder mehrere physische oder virtuelle Instanzen, die im IT-Netzwerk Dienste bereitstellen. Dabei gelten virtuelle Maschinen, die mit einem eigenen Betriebssystem auf einer physischen Instanz betrieben werden, als virtuelle Instanzen.
2.10
Content Delivery Network
ein Netz regional verteilter und über das Internet verbundener Server, mit dem Inhalte ausgeliefert und zwischengespeichert werden, um insbesondere die Verfügbarkeit und Performanz zu erhöhen.
2.11
Anlage zur Erbringung von Vertrauensdiensten
eine vertrauenswürdige dritte Instanz (Trusted Third Party), die in elektronischen Kommunikationsprozessen die jeweilige Identität des Kommunikationspartners bescheinigt.
3.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr bis zum 31. März des Folgejahres zu ermitteln.
5.
Für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.2.1 und 2.1.1 ist der Versorgungsgrad zum 30. Juni des zurückliegenden Kalenderjahres jeweils maßgeblich.
6.
Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger betrieblicher Zusammenhang ist unabhängig von der räumlichen Distanz der Anlagen gegeben, wenn die Anlagen
a)
mit gemeinsamen Betriebseinrichtungen oder untereinander verbunden sind,
b)
einem vergleichbaren technischen Zweck dienen und
c)
unter gemeinsamer Leitung oder Steuerung stehen.

Teil 2

Berechnungsformeln zur Ermittlung der Schwellenwerte
7.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1 und 1.2 genannte Schwellenwert ergibt sich aus § 185 Absatz 1 Satz 1 des Telekommunikationsgesetzes in der jeweils geltenden Fassung.
8.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.1 genannte Schwellenwert von 100 autonomen Systemen basiert auf der wirtschaftlichen und regionalen Relevanz der betroffenen IXPs.
9.
Der für die Anlagenkategorie des Teils 3 Nummer 1.4.2 und 1.4.3 genannte Schwellenwert ist unter Annahme von 40 Millionen in der Bundesrepublik Deutschland verwalteten Domains und einer Bedarfsabdeckung von 500 000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:
10.
Die für die Anlagenkategorie des Teils 3 Nummer 2.2.1 genannten Schwellenwerte sind unter Annahme von 1,6 Millionen physischen und 2,4 Millionen virtuellen in der Bundesrepublik Deutschland verwalteten Serverinstanzen und einer Bedarfsabdeckung von 500 000 versorgten Personen bei einer Gesamtbevölkerung von 80 Millionen Personen wie folgt berechnet:
11.
Der für die Anlagenkategorie des Teils 3 Nummer 2.2.2 genannte Schwellenwert ist unter Annahme eines Transportvolumens von 11 826 000 Terabyte/Jahr und einer Bedarfsabdeckung von 500 000 versorgten Personen bei 80 Millionen Personen Gesamtbevölkerung wie folgt berechnet:

Teil 3

Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1.Sprach- und Datenübertragung
1.1Zugang
1.1.1ZugangsnetzTeilnehmeranschlüsse des Zugangsnetzes nach § 3 Nummer 58 TKG100 000
1.2Übertragung
1.2.1ÜbertragungsnetzVertragspartner des jeweiligen Dienstes100 000
1.2.2SeekabelanlandestationAnzahl der angebundenen Seekabel1
1.3Vermittlung
1.3.1IXPAnzahl angeschlossener autonomer Systeme (Jahresdurchschnitt)100
1.4Steuerung
1.4.1DNS-ResolverAnzahl der Vertragspartner des Zugangsnetzes, in dem der DNS-Resolver betrieben wird100 000
1.4.2Autoritativer DNS-ServerAnzahl der Domains, für die der Server autoritativ ist oder die aus der Zone delegiert werden250 000
1.4.3Top-Level-Domain-Name-RegistryAnzahl der Domains, die verwaltet oder betrieben werden250 000
2.Datenspeicherung- und Verarbeitung
2.1Housing
2.1.1Rechenzentrum (Housing)Vertraglich vereinbarte Leistung in MW3,5
2.2IT-Hosting
2.2.1Serverfarm (Hosting)Anzahl der für Nutzer betriebenen physischen Instanzen (Jahresdurchschnitt)10 000
Anzahl der für Nutzer betriebenen virtuellen Instanzen (Jahresdurchschnitt)15 000
2.2.2Content Delivery NetworkAusgeliefertes Datenvolumen (in TByte/Jahr)75 000
2.3Vertrauensdienste
2.3.1Anlage zur Erbringung von VertrauensdienstenAnzahl der ausgegebenen qualifizierten Zertifikate oder500 000
Anzahl der Zertifikate zur Authentifizierung öffentlich zugänglicher Server (Serverzertifikate, z. B. für Webserver, E-Mailserver, Cloudserver (z. B. TLS/SSL-Zertifikate))10 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 5
Anhang 5

(zu § 1 Absatz 1 Nummer 2 und 3, § 6 Absatz 6 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Gesundheit

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. I 2017, 1910 — 1912bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1Grundsätze und Fristen
1.
Im Sinne von Anhang 5 ist oder sind
1.1
Krankenhaus
ein zugelassenes Krankenhaus im Sinne des § 108 des Fünften Buches Sozialgesetzbuch.
1.2
Produktionsstätte für unmittelbar lebenserhaltende Medizinprodukte, die Verbrauchsgüter sind
eine Betriebsstätte, in der Medizinprodukte für Beatmung/Tracheostomie, parenterale Ernährung, enterale Ernährung, ableitende Inkontinenz, Dialyse und Diabetes – Typ 1 hergestellt werden.
1.3
Abgabestelle
eine Einrichtung, in der Medizinprodukte für Beatmung/Tracheostomie, parenterale Ernährung, enterale Ernährung, ableitende Inkontinenz und Diabetes – Typ 1 abgegeben werden.
1.4
Produktionsstätte für verschreibungspflichtige Arzneimittel zur Anwendung im oder am menschlichen Körper
eine Betriebsstätte, die auf der Grundlage einer Herstellungserlaubnis nach § 13 des Arzneimittelgesetzes Hilfsstoffe und Hilfsmaterialien sowie Wirkstoffe zu verschreibungspflichtigen Arzneimitteln zur Anwendung im oder am menschlichen Körper nach § 48 Absatz 1 des Arzneimittelgesetzes verarbeitet.
1.5
Blut- oder Plasmaspendensteuerungssystem
ein zentrales IT-System in Blutspendeeinrichtungen oder Herstellungseinheiten zur Steuerung und Verwaltung von Entnahme und Weiterverarbeitung von Blut- oder Plasmaspenden zur Anwendung im oder am menschlichen Körper.
1.7
Betriebs- und Lagerraum
eine Einrichtung zur kurzzeitigen Lagerung von verschreibungspflichtigen Arzneimitteln, von Blutspenden und Blut- und Plasmaderivaten sowie zur Weiterverarbeitung oder Aufbereitung von Blutspenden und Blut- und Plasmaderivaten zur Anwendung im oder am menschlichen Körper; Teil der Einrichtung sind Anlagen und Systeme für den Wareneingang, die Lagerung und den Warenausgang.
1.8
Anlage oder System zum Vertrieb von verschreibungspflichtigen Arzneimitteln
ein zentrales Logistikmanagementsystem für den Vertrieb und die Disposition von verschreibungspflichtigen Arzneimitteln zur Anwendung im oder am menschlichen Körper.
1.9
Apotheke
eine Einrichtung im Sinne des ersten Abschnitts des Apothekengesetzes zur Bereitstellung verschreibungspflichtiger Arzneimittel für Patienten.
1.10
Labor
eine Einrichtung, in der medizinische labordiagnostische Verfahren für Diagnose und Therapiekontrolle in der Humanmedizin durchgeführt und deren Ergebnisse fachärztlich befundet werden.
1.11
Laborinformationsverbund
ein Verbund von Anlagen oder Systemen, die IT-Dienstleistungen für Diagnose und Therapiekontrolle in der Humanmedizin für mindestens ein Labor zur Verfügung stellen; zu den IT-Dienstleistungen zählen insbesondere die Steuerung des Probentransports, die Kommunikation zum Auftragseingang und zur Befundübermittlung sowie der Betrieb eines Laborinformationssystems.
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
5.
Nummer 4 findet keine Anwendung auf Anlagen, die der in Teil 3 Nummer 1.1 genannten Anlagenkategorie zuzuordnen sind.
Teil 2Berechnungsformeln zur Ermittlung der Schwellenwerte
6.
Der für die Anlagenkategorien des Teils 3 Nummer 2.1.1 und 2.2.1 genannte Schwellenwert ist unter Annahme von durchschnittlichen Ausgaben für Medizinprodukte, die Verbrauchsgüter sind, von 181,36 Euro pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

90 680 000 Euro Umsatz/Jahr = 181,36 Euro Umsatz/Jahr x 500 000
7.
Der für die Anlagenkategorien des Teils 3 Nummer 3.1.1 sowie 3.2.1 bis 3.3.1 genannte Schwellenwert ist unter Annahme eines Durchschnittsverbrauchs von 9,3 Packungen verschreibungspflichtiger Arzneimittel pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

4 650 000 Packungen/Jahr = 9,3 Packungen/Jahr x 500 000
8.
Der für die Anlagenkategorie des Teils 3 Nummer 3.1.2 genannte Schwellenwert ist unter Annahme eines Durchschnittswerts von 0,068 Einheiten hergestellten Erythrozytenkonzentrats, Thrombozytenkonzentrats und Plasmas zur Transfusion pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

34 000 Einheiten/Jahr = 0,068 Einheiten/Jahr x 500 000
9.
Der für die Anlagenkategorien des Teils 3 Nummer 4 genannte Schwellenwert ist unter Annahme eines Durchschnittswerts von 3 Aufträgen für eine labormedizinische Untersuchung pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

1 500 000 Aufträge/Jahr = 3 Aufträge/Jahr x 500 000
Teil 3Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Stationäre medizinische Versorgung
1.1KrankenhausVollstationäre Fallzahl/Jahr30 000
2Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind
2.1Herstellung
2.1.1ProduktionsstätteUmsatz in Euro/Jahr90 680 000
2.2Abgabe
2.2.1AbgabestelleUmsatz in Euro/Jahr90 680 000
3Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper
3.1Herstellung
3.1.1ProduktionsstätteIn Verkehr gebrachte Packungen/Jahr4 650 000
3.1.2Blut- oder PlasmaspendensteuerungssystemHergestellte oder in Verkehr gebrachte Produkte/Jahr34 000
3.2Vertrieb
3.2.1Betriebs- und LagerraumUmgeschlagene Packungen/Jahr4 650 000
3.2.2Anlage oder System zum Vertrieb verschreibungspflichtiger ArzneimittelTransportierte Packungen/Jahr4 650 000
3.3Abgabe
3.3.1ApothekeAbgegebene Packungen/Jahr4 650 000
4Laboratoriumsdiagnostik
4.1LaborAnzahl der Aufträge/Jahr oder1 500 000
4.2Laborinformationsverbundkumulierte Anzahl der Aufträge im Verbund/Jahr1 500 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 6
Anhang 6

(zu § 1 Absatz 1 Nummer 2 und 3, § 7 Absatz 7 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Finanzwesen

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. I 2017, 1913 — 1918bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1Grundsätze und Fristen
1.
Im Sinne von Anhang 6 ist oder sind
1.1
Autorisierungssystem
ein System, mit dem ein angefragter Transaktionsbetrag bei Transaktionen aus Geldautomatensystemen oder aus dem kartengestützten Zahlungsverkehr nach Prüfung der Kartendaten durch das kontoführende Institut oder den Zahlungsdienstleister genehmigt oder abgelehnt wird.
1.2
System zur Anbindung an ein Autorisierungssystem aus Sicht des Geldautomatenbetreibers
ein System, das der Anbindung des Geldautomatenbetreibers an ein Autorisierungssystem des kontoführenden Instituts dient.
1.3
System zur Aufbereitung durch den Geldautomatenbetreiber
ein System eines Geldautomatenbetreibers, welches Nachrichten oder Transaktionen aus Geldautomatensystemen verarbeitet, um die Transaktion in den Zahlungsverkehr einzubringen.
1.4
System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem
ein System, das den Zahlungsdienstleister an die Interbanken-Zahlungsverkehrssysteme anbindet.
1.5
Clearing-System
ein System, das im Interbankenverkehr die Transaktionsdaten (Clearing-Daten) an das kontoführende Institut weiterleitet.
1.6
Settlement-System
ein System zur Verrechnung von Beträgen zwischen den partizipierenden Instituten.
1.7
Kontoführungssystem
ein System des Zahlungsdienstleisters des Zahlers oder des Zahlungsdienstleisters des Zahlungsempfängers zur elektronischen Führung und Verwaltung der Konten.
1.8
Cash Center
Einrichtungen von Wertdienstleistern, in denen Bargeld geprüft, gezählt, sortiert, gelagert oder wieder ausgegeben wird.
1.9
IT-System für das Cash Management
ein System des Wertdienstleisters zur Berichterstattung, zur Bestellung von Bargeld und zum Cash Management des Wertdienstleisters.
1.10
System zur Anbindung an ein Autorisierungssystem aus Sicht des Terminalbetreibers
ein System, das der Anbindung des Terminalbetreibers (zum Beispiel des Netzbetreibers) an ein Autorisierungssystem dient oder Transaktionen zum zuständigen Autorisierungssystem weiterleitet.
1.11
System zur Aufbereitung durch den POS-Terminalbetreiber
ein System eines Netzbetreibers oder POS-Terminalbetreibers, welches Nachrichten oder Transaktionen von POS-Terminals verarbeitet, um Transaktionen in den Zahlungsverkehr einzubringen.
1.12
System zur Annahme der POS-Transaktionsdaten beim Zahlungsdienstleister des Zahlungsempfängers
ein System, das Transaktionen von einem Acquirer annimmt.
1.13
System zur Annahme einer Überweisung oder Lastschrift
ein System, mit dem Überweisungsaufträge oder Aufträge zum Einzug von Lastschriften durch den Zahlungsdienstleister des Zahlers oder des Zahlungsempfängers als kontoführendes Institut angenommen und verarbeitet werden. Hiervon umfasst sind auch Überweisungsaufträge, die über einen Zahlungsauslösedienstleister im Sinne von Artikel 4 Nummer 18 der Richtlinie (EU) 2015/2366 des Europäischen Parlaments und des Rates vom 25. November 2015 eingereicht werden.
1.14
System einer Clearingstelle oder einer zentralen Gegenpartei zur Verrechnung von Wertpapier- und Derivatgeschäften
ein System der Clearingstelle oder einer zentralen Gegenpartei gemäß § 1 Absatz 31 des Kreditwesengesetzes.
1.15
System zur Anbindung für die Verrechnung und Verbuchung von Wertpapier- und Derivatgeschäften
ein System, das der Anbindung eines Teilnehmers oder einer Handelsplattform zu einer Clearingstelle oder zentralen Gegenpartei sowie von einer Clearingstelle oder zentralen Gegenpartei zu einer Verbuchungsstelle dient.
1.16
Wertpapier-Settlement-System
ein Wertpapierliefer- und -abrechnungssystem gemäß Artikel 2 Absatz 1 Nummer 10 der Verordnung (EU) Nr. 909/2014.
1.17
Depotführungssystem eines Finanzmarktinfrastrukturbetreibers
ein System eines Finanzmarktinfrastrukturbetreibers, das zur Prüfung des Depotbestands und für Transaktionen von Depots genutzt wird.
1.18
System eines Zentralverwahrers
ein System eines Zentralverwahrers gemäß Artikel 2 Absatz 1 Nummer 1 der Verordnung (EU) Nr. 909/2014.
1.19
System zur Aufbereitung von Zahlungsanweisungen
ein System eines Finanzmarktbetreibers, welches Wertpapier- oder Derivattransaktionen mittelbar oder unmittelbar verarbeitet, um die Transaktionen in den Zahlungsverkehr einzubringen.
1.20
System für das Erzeugen und Weiterleiten von Aufträgen zum Handel von Wertpapieren und Derivaten an einen Handelsplatz
ein System, in dem Kundenaufträge zum Handel von Wertpapieren und Derivaten entgegengenommen, aufbereitet und an Handelsplätze weitergeleitet werden.
1.21
System eines Handelsplatzes
System eines Handelsplatzes im Sinne des Artikels 4 Nummer 24 der Richtlinie 2014/65/EU des Europäischen Parlaments und des Rates vom 15. Mai 2014.
1.22
Sonstiges Depotführungssystem
ein System, das zur Prüfung des Depotbestands und für Transaktionen von Depots genutzt wird und nicht zur unmittelbaren Infrastruktur eines Zentralverwahrers in der Rolle eines Finanzmarktinfrastrukturbetreibers gehört.
1.23
(weggefallen)
1.24
(weggefallen)
1.25
(weggefallen)
1.26
(weggefallen)
1.27
(weggefallen)
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Abweichend von Nummer 1 gilt eine Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 5.1.3, 5.1.7 oder 5.1.11 zuzuordnen ist, ab dem 1. April des Kalenderjahres, das auf die drei Kalenderjahre folgt, deren durchschnittlicher Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage.
4.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
5.
Bei der Ermittlung des Versorgungsgrades einer Anlage, die den Anlagenkategorien des Teils 3 Spalte A Nummer 5.1.1, 5.1.4 oder 5.1.8 zuzuordnen ist, sind nur ablaufende Verträge mit Auszahlung der Versicherungsleistung zu berücksichtigen. Ungeachtet der Auszahlungsweise ist jeder Leistungsfall nur einmalig, bei wiederkehrenden Auszahlungen nur bei der erstmaligen Leistungsbearbeitung zu berücksichtigen.
6.
Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
b)
einem identischen technischen Zweck dienen und
c)
unter gemeinsamer Leitung stehen.
Teil 2Berechnungsformeln zur Ermittlung der Schwellenwerte
7.
Der für die Anlagenkategorien des Teils 3 Nummer 1.1.1 bis 1.2.1 und 1.3.1 genannte Schwellenwert ist unter Annahme von 30 Transaktionen mit im Inland ausgegebenen Karten an Terminals (Geldautomaten) in- und ausländischer Zahlungsdienstleister pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

15 000 000 Transaktionen/Jahr = 30 Transaktionen/Jahr x 500 000
8.
Der für die Anlagenkategorie des Teils 3 Nummer 1.4 genannte Schwellenwert ist unter der Annahme von 187 im Cash-Center bearbeiteten Banknoten zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

93 500 000 Banknoten/Jahr = 187 Banknoten/Jahr x 500 000
9.
Der für die Anlagenkategorien des Teils 3 Nummer 1.2.2 bis 1.2.4 und 2.2.3 bis 2.2.5 genannte Schwellenwert ist unter Annahme von 36 Transaktionen als Mittelwert mit im Inland ausgegebenen Karten an POS-Terminals und Geldautomaten in- und ausländischer Zahlungsdienstleister pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

18 000 000 Transaktionen/Jahr = 36 Transaktionen/Jahr x 500 000
10.
Der für die Anlagenkategorien des Teils 3 Nummer 2.1.1 bis 2.2.2 und 2.3.1 genannte Schwellenwert ist unter Annahme von 43 Transaktionen mit im Inland ausgegebenen Karten an Terminals (POS) in- und ausländischer Zahlungsdienstleister und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

21 500 000 Transaktionen/Jahr = 43 Transaktionen/Jahr x 500 000
11.
Der für die Anlagenkategorien des Teils 3 Nummer 3 genannte Schwellenwert ist unter Annahme von 200 Transaktionen bei Überweisungen und Lastschriften pro versorgter Person und pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

100 000 000 Transaktionen/Jahr = 200 Transaktionen/Jahr x 500 000
12.
Der für die Anlagenkategorien des Teils 3 Nummer 4.1.1, 4.1.2, 4.2.1, 4.2.2, 4.2.3, 4.3.1 und 4.5.1 genannte Schwellenwert ist unter Annahme von 1,7 Abwicklungstransaktionen im In- und Ausland pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
13.
Der für die Anlagenkategorien des Teils 3 Nummer 4.4.1 und 4.6.1 genannte Schwellenwert ist unter Annahme von 13,5 Transaktionen pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 Personen wie folgt berechnet:
14.
Der für die Anlagenkategorien des Teils 3 Nummer 5.1.1, 5.1.2 und 5.1.4 genannte Schwellenwert für die private Krankenversicherung ist unter Annahme von vier Leistungsfällen pro versorgter Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
Teil 3Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Bargeldversorgung
1.1Autorisierung einer Abhebung
1.1.1AutorisierungssystemAnzahl der Transaktionen/Jahr15 000 000
1.1.2System zur Anbindung an ein Autorisierungssystem aus Sicht des GeldautomatenbetreibersAnzahl der Transaktionen/Jahr15 000 000
1.2Einbringen in den Zahlungsverkehr
1.2.1System zur Aufbereitung durch den GeldautomatenbetreiberAnzahl der Transaktionen/Jahr15 000 000
1.2.2System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem (Clearing und Settlement)Anzahl der Transaktionen/Jahr18 000 000
1.2.3Clearing-SystemAnzahl der Transaktionen/Jahr18 000 000
1.2.4Settlement-SystemAnzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr18 000 000
1.3Belastung Kundenkonto
1.3.1KontoführungssystemAnzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung verbuchten Transaktionen15 000 000
1.4Bargeldlogistik
1.4.1Cash CenterAnzahl bearbeiteter Banknoten/Jahr93 500 000
1.4.2IT-System für das Cash ManagementAnzahl bearbeiteter Banknoten/Jahr93 500 000
2Kartengestützter Zahlungsverkehr
2.1Autorisierung
2.1.1AutorisierungssystemAnzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung autorisierten Transaktionen21 500 000
2.1.2System zur Anbindung an ein Autorisierungssystem aus Sicht des TerminalbetreibersAnzahl der in diesem System bei der Erbringung einer kritischen Dienstleistung autorisierten Transaktionen21 500 000
2.2Einbringen in den Zahlungsverkehr
2.2.1System zur Aufbereitung durch den POS-TerminalbetreiberAnzahl der Transaktionen/Jahr21 500 000
2.2.2System zur Annahme der POS-Transaktionsdaten beim Zahlungsdienstleister des ZahlungsempfängersAnzahl der Transaktionen/Jahr21 500 000
2.2.3System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem (Clearing und Settlement)Anzahl der Transaktionen/Jahr18 000 000
2.2.4Clearing-SystemAnzahl der Transaktionen/Jahr18 000 000
2.2.5Settlement-SystemAnzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr18 000 000
2.3Belastung auf dem Konto des Zahlers und Gutschrift auf dem Konto des Zahlungsempfängers
2.3.1KontoführungssystemAnzahl der in diesem System bei der Erbringung der jeweiligen kritischen Dienstleistung verbuchten Transaktionen21 500 000
3Konventioneller Zahlungsverkehr
3.1Annahme einer Überweisung oder Lastschrift
3.1.1System zur Annahme einer Überweisung oder LastschriftAnzahl der Transaktionen/Jahr100 000 000
3.2Einbringen in den Zahlungsverkehr
3.2.1System zur Anbindung an ein Interbanken-Zahlungsverkehrssystem (Clearing und Settlement)Anzahl der Transaktionen/Jahr100 000 000
3.2.2Clearing-SystemAnzahl der Transaktionen/Jahr100 000 000
3.2.3Settlement-SystemAnzahl der Transaktionen des zugehörigen Clearing-Systems/Jahr100 000 000
3.3Belastung und Gutschrift auf Kundenkonten
3.3.1KontoführungssystemAnzahl der Transaktionen/Jahr100 000 000
4Handel, Verrechnung und Abwicklung von Wertpapier- und Derivatgeschäften
4.1Verrechnung von Wertpapier- und Derivatgeschäften
4.1.1System einer Clearingstelle oder zentralen Gegenpartei zur Verrechnung von Wertpapier- und DerivatgeschäftenAnzahl der Transaktionen/Jahr850 000
4.1.2System zur Anbindung für die Verrechnung und Verbuchung von Wertpapier- und DerivatgeschäftenAnzahl der Transaktionen/Jahr850 000
4.2Verbuchung Wertpapiere
4.2.1Wertpapier-Settlement-SystemAnzahl der Transaktionen/Jahr850 000
4.2.2Depotführungssystem eines FinanzmarktinfrastrukturbetreibersAnzahl der Transaktionen/Jahr850 000
4.2.3System eines ZentralverwahrersAnzahl der Transaktionen/Jahr850 000
4.3Verbuchung Geld
4.3.1System zur Aufbereitung der ZahlungsanweisungAnzahl der Transaktionen/Jahr850 000
4.4Einbringen von Aufträgen in den Handel
4.4.1System für das Erzeugen von Aufträgen zum Handel von Wertpapieren und Derivaten und Weiterleiten an einen HandelsplatzAnzahl der Transaktionen/Jahr6 750 000
4.5Ausführung des Handels
4.5.1System eines HandelsplatzesAnzahl der Transaktionen/Jahr850 000
4.6Bestandsführung für den Kunden
4.6.1Sonstiges DepotführungssystemAnzahl der Transaktionen/Jahr6 750 000
5(weggefallen)
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 7
Anhang 7

(zu § 1 Absatz 1 Nummer 2 und 3, § 8 Absatz 3 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Transport und Verkehr

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. I 2017, 1918 - 1922bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1Grundsätze und Fristen
1.
Im Sinne von Anhang 7 ist oder sind
1.1
Anlage oder System zur Passagierabfertigung an Flugplätzen
eine Anlage oder ein System für die Passagier- oder Gepäckabfertigung im Sinne von § 2 Nummer 4 in Verbindung mit Anlage 1 Nummer 2 oder 3 der Bodenabfertigungsdienst-Verordnung.
1.2
Anlage oder System zur Frachtabfertigung an Flugplätzen
eine Anlage oder ein System zur Abfertigung von Fracht im Luftverkehr im Sinne von § 2 Nummer 4 in Verbindung mit Anlage 1 Nummer 4 der Bodenabfertigungsdienst-Verordnung.
1.3
Infrastrukturbetrieb eines Flugplatzes
die Gesamtheit aller Anlagen oder Systeme zur Erbringung von sonstigen Bodenabfertigungsdiensten nach § 2 Nummer 4 in Verbindung mit Anlage 1 Nummer 5, 7, 9 oder 10 der Bodenabfertigungsdienst-Verordnung.
1.4
Anlage zur Erbringung von Flugsicherungsdiensten
eine Anlage oder ein System der Flugsicherungsdienste nach der Durchführungsverordnung (EU) 2017/373 der Kommission vom 1. März 2017 zur Festlegung gemeinsamer Anforderungen an Flugverkehrsmanagementanbieter und Anbieter von Flugsicherungsdiensten sowie sonstiger Funktionen des Flugverkehrsmanagementnetzes und die Aufsicht hierüber sowie zur Aufhebung der Verordnung (EG) Nr. 482/2008, der Durchführungsverordnungen (EU) Nr. 1034/2011, (EU) Nr. 1035/2011 und (EU) 2016/1377 und zur Änderung der Verordnung (EU) Nr. 677/2011 (ABl. L 62 vom 8.3.2017, S. 1; L 15 vom 20.1.2020, S. 9), die durch die Durchführungsverordnung (EU) 2020/469 (ABl. L 104 vom 3.4.2020, S. 1) geändert worden ist.
1.5
Verkehrszentrale einer Fluggesellschaft
eine Anlage oder ein System einer Fluggesellschaft zur Planung, Steuerung oder Überwachung des Flugbetriebs, zur Disposition von Personal oder zur Disposition des Wartungsbetriebs.
1.6
Flughafenleitungsorgan
eine Anlage oder ein System zur Verwaltung oder zum Betrieb der Einrichtungen eines Flughafens oder Flughafennetzes oder zur Koordinierung oder Überwachung der Tätigkeiten der verschiedenen Akteure auf einem Flughafen oder in einem Flughafennetz.
1.7
Personenbahnhof der Eisenbahn
ein Bahnhof zur Abwicklung des Reiseverkehrs gemäß § 4 Absatz 1 und 2 der Eisenbahn-Bau- und Betriebsordnung.
1.8
Güterbahnhof
ein Bahnhof zur Abwicklung des Güterverkehrs gemäß § 4 Absatz 1 und 2 der Eisenbahn-Bau- und Betriebsordnung.
1.9
Zugbildungsbahnhof
ein Bahnhof zur Bildung von Zügen (Einzelwagen, Ganzzüge sowie kombinierter Verkehr).
1.10
Schienennetz und Stellwerke der Eisenbahn
ein Schienennetz gemäß § 4 Absatz 3 bis 7 und 10 bis 11 der Eisenbahn-Bau- und Betriebsordnung einschließlich der zugehörigen Stellwerke.
1.11
Verkehrssteuerungs- und Leitsystem der Eisenbahn
die zentrale Einrichtung des Eisenbahninfrastrukturbetreibers, die den Zugbetrieb vorausschauend und bei unerwartet eintretenden Ereignissen disponiert.
1.12
Leitzentrale der Eisenbahn
eine regionale oder überregionale zentrale Einrichtung des Eisenbahnverkehrsunternehmens zur Überwachung des betrieblichen Ist-Zustandes, zur Einleitung von Maßnahmen bei Verspätungen oder Störungsfällen oder zur Disposition der unternehmenseigenen Züge, des Personals oder der Instandhaltung der Fahrzeuge.
1.13
Anlage oder System zum Betrieb von Bundeswasserstraßen
eine Anlage oder ein System zum sicheren Betrieb einer Wasserstraße nach § 1 Absatz 4 Nummer 1 des Bundeswasserstraßengesetzes.
1.14
Verkehrssteuerungs- und Leitsystem der See- und Binnenschifffahrt
Revier- und Verkehrszentralen der Wasserstraßen- und Schifffahrtsverwaltung des Bundes.
1.15
Leitzentrale von Betreibern und Verkehrsunternehmen der Seeschifffahrt
eine Anlage oder ein System zur operativen Steuerung oder zur Disposition des Schiffsraums von Seeschiffen.
1.16
Leitzentrale von Betreibern und Verkehrsunternehmen der Binnenschifffahrt (nur Güterverkehr)
eine Anlage oder ein System zur operativen Steuerung oder zur Disposition des Schiffsraums der Binnenschifffahrtsflotte.
1.17
Umschlaganlage in See- und Binnenhäfen
eine Umschlaganlage in einem See- oder Binnenhafen, in der Container oder lose, unverpackte Güter zwischen Verkehrsträgern (auch den gleichen) be- und entladen, umgeschlagen, sortiert oder zwischenabgestellt werden.
1.18
Hafenleitungsorgan (nur Güterverkehr)
eine Anlage oder ein System zur Koordinierung des Hafenverkehrs, zur Verwaltung des Hafenverkehrs oder zur Koordinierung oder zur Überwachung der Tätigkeiten der Akteure in dem betreffenden Hafen.
1.19
Hafeninformationssystem
eine Anlage oder ein System einer übergreifenden IT-Plattform, welches als Port Community System (PCS), Cargo Community System (CCS) oder Single Submission Portal (SSP) oder der Erfüllung der gesetzlichen Anforderungen an die Hafenanmeldungen nach Artikel 4 der Richtlinie 2010/65/EU des Europäischen Parlaments und des Rates vom 20. Oktober 2010 über Meldeformalitäten für Schiffe beim Einlaufen in und/oder Auslaufen aus Häfen der Mitgliedstaaten und zur Aufhebung der Richtlinie 2002/6/EG (ABl. L 283 vom 29.10.2010, S. 1), die zuletzt durch die Richtlinie (EU) 2019/883 (ABl. L 151 vom 7.6.2019, S. 116) geändert worden ist, dient.
1.20
Verkehrssteuerungs- und Leitsystem
eine Anlage oder ein System zur Verkehrsbeeinflussung im Straßenverkehr einschließlich der in § 1 Absatz 4 Nummer 1, 3 und 4 des Bundesfernstraßengesetzes genannten Einrichtungen, zum Beispiel Verkehrs-, Betriebs- und Tunnelleitzentralen, Entwässerungsanlagen, intelligente Verkehrssysteme und Fachstellen für Informationstechnik und -sicherheit im Straßenbau, sowie der Telekommunikationsnetze der Bundesautobahnen.
1.21
Verkehrssteuerungs- und Leitsystem im kommunalen Straßenverkehr
ein System für die kommunale Steuerung und Überwachung von Lichtsignalanlagen, von Verkehrsbeeinflussungsanlagen sowie von Verkehrswarn- und Informationssystemen.
1.22
Intelligentes Verkehrssystem
ein intelligentes Verkehrssystem im Sinne des § 2 Nummer 1 des Intelligente-Verkehrssysteme-Gesetzes.
1.23
Schienennetz und Stellwerke des öffentlichen Straßenpersonenverkehrs (ÖSPV)
das schienengebundene Netz des ÖSPV im Sinne des § 4 Absatz 1 bis 3 des Personenbeförderungsgesetzes einschließlich der zu diesen Strecken und Haltestellen gehörenden Stellwerke und Beeinflussungsanlagen sowie der Fahrstromversorgung.
1.24
Leitzentrale des ÖSPV
eine Anlage oder ein System zur betreiberseitigen Überwachung und Steuerung des Verkehrs einschließlich Systeme für die Fahrgastsicherheit und Fahrgastinformation, zur Personaldisposition und Fahrzeugdisposition, auch zur Fahrzeugbereitstellung im Betriebshof, sowie der Flottentelematik. Systeme für die Fahrgastsicherheit und Fahrgastinformation sowie zur Personaldisposition und Fahrzeugdisposition sind nur insoweit erfasst, als deren Störung das Potenzial aufweist, die kritische Dienstleistung erheblich kapazitiv zu beeinträchtigen, oder sie zur Evakuierung im Notfall kritisch sind, insbesondere in unterirdischen Verkehrsanlagen.
1.25
Anlage oder System zur Erbringung operativer Logistikleistungen
eine Anlage oder ein System zur Bereitstellung, Verteilung, Lagerung, Bearbeitung oder zum Transport oder Umschlag von Gütern in den Segmenten Massengut, Ladungsverkehr, Stückgut, Kontraktlogistik sowie See- und Luftfracht.
1.26
IT-System zur Logistiksteuerung oder -verwaltung
ein betreiberseitiges, zentrales IT-System zur Gesamtkoordinierung und -steuerung von Logistikdienstleistungen in den Segmenten Massengut, Ladungsverkehr, Stückgut, Kontraktlogistik sowie See- und Luftfracht.
1.27
Anlage zur Wettervorhersage, zur Gezeitenvorhersage oder zur Wasserstandsmeldung
eine Anlage oder ein System zur Erbringung von Wettervorhersagen, insbesondere im Kürzestfristbereich (bis zu 12 Stunden), sowie zur Messung von Gezeiten- und Wasserstand (Pegelstation).
1.28
Bodenstation eines europäischen Satellitennavigationssystems
eine Bodenstation im Sinne des Artikels 28 der Verordnung (EU) Nr. 1285/2013 des Europäischen Parlaments und des Rates vom 11. Dezember 2013 betreffend den Aufbau und den Betrieb der europäischen Satellitennavigationssysteme und zur Aufhebung der Verordnung (EG) Nr. 876/2002 des Rates und der Verordnung (EG) Nr. 683/2008 des Europäischen Parlaments und des Rates (ABl. L 347 vom 20.12.2013, S. 1).
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
Teil 2Berechnungsformeln zur Ermittlung der Schwellenwerte
5.
Der für die Anlagenkategorie des Teils 3 Nummer 1.1.4 genannte Schwellenwert ist unter Annahme von durchschnittlich 0,035 Flugbewegungen zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

17 500 Flugbewegungen/Jahr = 0,035 Flugbewegungen/Jahr x 500 000
6.
Der für die Anlagenkategorien des Teils 3 Nummer 1.2.2 und 1.2.3 genannte Schwellenwert ist unter Annahme einer durchschnittlichen disponierten Transportleistung im Schienengüterverkehr von 1 460 Tonnenkilometern zur Versorgung einer Person, eines Regelschwellenwertes von 500 000 versorgten Personen sowie einer durchschnittlichen Transportleistung von 32 000 Tonnenkilometern pro Güterzug pro Jahr wie folgt berechnet:
7.
Der für die Anlagenkategorie des Teils 3 Nummer 1.2.6 genannte Schwellenwert ist unter Annahme einer durchschnittlichen disponierten Transportleistung im Güterschienenverkehr von 1 460 Tonnenkilometern zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

730 000 000 tkm/Jahr = 1 460 tkm/Jahr x 500 000
8.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.5 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Gesamttransportmenge der Binnenschifffahrt von 223 000 000 Tonnen und einer durchschnittlichen Güterumschlagsmenge in deutschen Seehäfen von 300 000 000 Tonnen für einen Regelschwellenwert von 500 000 versorgten Personen bei einer Gesamtbevölkerung von 80 000 000 wie folgt berechnet:
9.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.6 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Frachtmenge der Seeschifffahrtsflotte von 3,75 Tonnen zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

1 875 000 t/Jahr = 3,75 t/Jahr x 500 000
10.
Der für die Anlagenkategorie des Teils 3 Nummer 1.3.7 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Transportleistung der durch die Binnenschifffahrtsflotte transportierten Fracht von 691 Tonnenkilometern zur Versorgung einer Person pro Jahr und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:

345 500 000 tkm/Jahr = 691 tkm/Jahr x 500 000
11.
Der für die Anlagenkategorien des Teils 3 Nummer 1.6.1 und 1.6.2 genannte Schwellenwert ist unter Annahme einer durchschnittlichen Gütermenge im Straßenverkehr von 35,1 Tonnen pro Jahr zur Versorgung einer Person und eines Regelschwellenwertes von 500 000 versorgten Personen wie folgt berechnet:
Das ermittelte Gewicht von 17 550 000 Tonnen pro Jahr entspricht unter Annahme eines durchschnittlichen Gewichts einer Stückgutsendung von 330 Kilogramm der Anzahl von 53 200 000 Sendungen pro Jahr:
Teil 3
Anlagenkategorien und Schwellenwerte
Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Personen- und Güterverkehr
1.1Luftverkehr
1.1.1Anlage oder System zur Passagierabfertigung an FlugplätzenAnzahl der Passagiere/Jahr20 000 000
1.1.2Anlage oder System zur Frachtabfertigung an FlugplätzenGütermenge in Tonnen/Jahr750 000
1.1.3Infrastrukturbetrieb eines FlugplatzesAnzahl der Passagiere/Jahr oder20 000 000
Gütermenge in Tonnen/Jahr750 000
1.1.4Anlage zur Erbringung von FlugsicherungsdienstenAnzahl der Flugbewegungen/Jahr17 500
1.1.5Verkehrszentrale einer FluggesellschaftAnzahl der Passagiere/Jahr oder20 000 000
Gütermenge in Tonnen/Jahr750 000
1.1.6FlughafenleitungsorganAnzahl der Passagiere/Jahr oder20 000 000
Gütermenge in Tonnen/Jahr750 000
1.2Eisenbahnverkehr
1.2.1Personenbahnhof der EisenbahnBahnhofskategoriejeweils höchste Kategorie
1.2.2GüterbahnhofAnzahl ausgehender Züge/Jahr23 000
1.2.3ZugbildungsbahnhofAnzahl gebildete Züge/Jahr23 000
1.2.4Schienennetz und Stellwerke der EisenbahnEinordnung des Schienennetzes nach der Verordnung (EU) Nr. 1315/2013 des Europäischen Parlaments und des Rats vom 11. Dezember 2013 über Leitlinien der Union für den Aufbau eines transeuropäischen Verkehrsnetzes und zur Aufhebung des Beschlusses Nr. 661/2010/EU (ABl. L 348 vom 20.12.2013, S. 1), die zuletzt durch die Delegierte Verordnung (EU) 2019/254 (ABl. L 43 vom 14.2.2019, S. 1) geändert worden istDeutscher Teil des Kernnetzes
1.2.5Verkehrssteuerungs- und Leitsystem der EisenbahnEinordnung des zu dem System gehörenden Schienennetzes nach der Verordnung (EU) Nr. 1315/2013Deutscher Teil des Kernnetzes
1.2.6Leitzentrale der EisenbahnDisponierte Transportleistung (Personenverkehr) in Zugkilometer/Jahr pro Netz/Teilnetz oder8 200 000
disponierte Transportleistung (Güterverkehr) in Tonnenkilometer/Jahr730 000 000
1.3See- und Binnenschifffahrt
1.3.1Anlage oder System zum Betrieb von BundeswasserstraßenGüterverkehrsdichte in Tonnen17 000 000
1.3.2Verkehrssteuerungs- und Leitsystem der See- und BinnenschifffahrtGüterverkehrsdichte in Tonnen17 000 000
1.3.3Hafenleitungsorgan (nur Güterverkehr)Gesamtmenge der bereitgestellten, verteilten, gelagerten oder umgeschlagenen Güter im Zuständigkeitsbereich des Hafens in Tonnen/Jahr50 000 000
1.3.4HafeninformationssystemGesamtmenge der bereitgestellten, verteilten, gelagerten oder umgeschlagenen Güter im Zuständigkeitsbereich des Hafens, in dem die Anlage oder das System eingesetzt wird, in Tonnen/Jahr50 000 000
1.3.5Umschlaganlage in See- und BinnenhäfenAbgefertigte Fracht in Tonnen/Jahr3 270 000
1.3.6Leitzentrale von Betreibern und Verkehrsunternehmen der SeeschifffahrtDisponierte Frachtmenge der Seeschiffe des Betreibers einschließlich gecharterter Schiffe in Tonnen/Jahr1 875 000
1.3.7Leitzentrale von Betreibern und Verkehrsunternehmen der Binnenschifffahrt (nur Güterverkehr)Disponierte Transportleistung der Binnenschiffe des Betreibers einschließlich gecharterter Schiffe in Tonnenkilometer/Jahr345 500 000
1.4Straßenverkehr
1.4.1Verkehrssteuerungs- und LeitsystemArt der zu dem Verkehrssteuerungs- und Leitsystem gehörenden BundesfernstraßenBundesautobahn
1.4.2Verkehrssteuerungs- und Leitsystem im kommunalen StraßenverkehrAnzahl Einwohner der versorgten Stadt500 000
1.4.3Intelligentes VerkehrssystemAnzahl angeschlossener Nutzer oder durchschnittlich im Versorgungsgebiet versorgter Nutzer500 000
1.5ÖPNV
1.5.1Schienennetz und Stellwerke des öffentlichen Straßenpersonenverkehrs (ÖSPV)Anzahl unternehmensbezogene Fahrgastfahrten/Jahr125 000 000
1.5.2Leitzentrale des ÖSPVAnzahl unternehmensbezogene Fahrgastfahrten/Jahr125 000 000
1.6Logistik
1.6.1Anlage oder System zum Betrieb eines Logistikzentrums in den Segmenten Massengut-, Ladungs-, Stückgut-, Kontrakt-, See- oder LuftfrachtlogistikTransportmengen im Im- und Export, sowie im Binnenverkehr in Tonnen/Jahr, soweit diese im Unternehmen erfasst werden, im Übrigen17 550 000
Anzahl der Sendungen pro Jahr53 200 000
1.6.2Anlage oder IT-System zur Logistiksteuerung oder -verwaltung in den Segmenten Massengut, Ladungsverkehr, Stückgut, Kontraktlogistik sowie See- und LuftfrachtGesamtmenge bereitgestellte, verteilte, gelagerte, bearbeitete oder umgeschlagene Transporte im Im- und Export, sowie im Binnenverkehr in Tonnen/Jahr, soweit diese im Unternehmen erfasst werden, im Übrigen17 550 000
Anzahl der Sendungen pro Jahr53 200 000
1.7Verkehrsträgerübergreifende Anlagen
1.7.1Anlage zur Wettervorhersage, zur Gezeitenvorhersage oder zur WasserstandsvorhersageEinsatz der Anlage zur Erbringung von Wettervorhersagen insbesondere im Kürzestfristbereich (bis zu 12 Stunden) zur Erfüllung der gesetzlichen Aufgaben nach § 4 Absatz 1 des Gesetzes über den Deutschen Wetterdienst oderzur Aufgabenerfüllung eingesetzte Anlage
Einsatz der Anlage zur Erfüllung der gesetzlichen Aufgaben nach § 1 Nummer 9 des Seeaufgabengesetzeszur Aufgabenerfüllung eingesetzte Anlage
1.7.2Bodenstation eines SatellitennavigationssystemsEinordnung der Anlage nach der Verordnung (EU) Nr. 1285/2013Bodenstationen
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 8
Anhang 8

(zu § 1 Absatz 1 Nummer 2 und 3, § 9 Absatz 3 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Siedlungsabfallentsorgung

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. 2023 I Nr. 339, S. 2 – 4bzgl. der einzelnen Änderungen vgl. Fußnote)

Teil 1

Grundsätze und Fristen

1.
Im Sinne von Anhang 8 ist oder sind
1.1
Anlage zur Disposition der Siedlungsabfallsammlung oder -beförderung
eine Anlage zur Planung, Steuerung, Optimierung und Durchführung der Sammlung oder Beförderung von Siedlungsabfällen, zum Beispiel Dispositionssysteme, Flottenmanagement- oder Enterprise Resource Planning-Systeme (ERP-Systeme).
1.2
Anlage zur Lagerung, Zwischenlagerung und Umladung von Siedlungsabfällen
eine Anlage zur Planung, Steuerung, Optimierung und Durchführung der Lagerung, Zwischenlagerung und Umladung von Siedlungsabfällen zum Zweck des Weitertransports, zum Beispiel Zwischenlager oder Umladestationen.
1.3
Anlage zur thermischen Behandlung von Siedlungsabfällen
eine Anlage zur Verbrennung von Siedlungsabfällen, zum Beispiel Müllverbrennungsanlagen (MVA) oder Ersatzbrennstoffkraftwerke (EBS-Kraftwerke).
1.4
Anlage zur mechanisch-biologischen oder mechanisch-physikalischen Behandlung von Siedlungsabfällen
eine Anlage zur Trennung, Sortierung, Zerkleinerung, Pressung, aeroben oder anaeroben Behandlung von Siedlungsabfällen, zum Beispiel mechanisch-biologische Abfallbehandlungsanlagen (MBA), mechanisch-biologische Stabilisierungsanlagen (MBS) oder mechanisch-physikalische Abfallbehandlungsanlagen (MPS).
1.5
Anlage zur biologischen Behandlung von Siedlungsabfällen
eine Anlage zum hygienisierenden oder biologisch-stabilisierenden Behandeln von getrennt erfassten Bioabfällen, zum Beispiel Kompostierungs- und Vergärungsanlagen.
1.6
Anlage zur mechanischen Behandlung von Siedlungsabfällen
eine Anlage zur Zerkleinerung, Klassierung, Sortierung, Pressung und Palettierung von Siedlungsabfällen.
1.7
Anlage zur Sortierung von Siedlungsabfällen
eine Anlage zur Trennung und Sortierung von Siedlungsabfällen, zum Beispiel Sortieranlagen.
2.
Eine Anlage, die einer in Teil 3 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 3 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen räumlichen und betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 3 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger räumlicher und betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
auf demselben Betriebsgelände liegen,
b)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
c)
einem vergleichbaren technischen Zweck dienen und
d)
unter gemeinsamer Leitung stehen.
Teil 2

Berechnungsformen zur Ermittlung der Schwellenwerte

5.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (Rest- oder gemischter Gewerbeabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 159 kg Rest- oder Hausmüll sowie hausmüllähnliche Gewerbeabfälle, in Bezug auf übliche Restmülltonnen, einer Person pro Jahr wie folgt berechnet:

6.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (Bioabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 67 kg Abfälle aus der Biotonne einer Person pro Jahr wie folgt berechnet:


7.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (LVP- und Kunststoffabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 35 kg Leichtverpackungen und 2 kg Kunststoff (Gesamtmenge: 37 kg) einer Person pro Jahr wie folgt berechnet:


8.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (PPK-Abfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 65 kg Papier, Pappe und Karton einer Person pro Jahr wie folgt berechnet:


9.
Der für die Anlagekategorien des Teils 3 genannte Schwellenwert (Glasabfall) ist unter Annahme eines durchschnittlichen Abfallaufkommens von 24 kg Glas einer Person pro Jahr wie folgt berechnet:


Teil 3

Anlagekategorien und Schwellenwerte

Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1.Sammlung und Beförderung
1.1Anlage zur Disposition der Siedlungsabfallsammlung oder -beförderungAnzahl Einwohner, die an die Abfallsammlung angeschlossen sind, oder500 000
gesammelter oder beförderter Rest- oder gemischter Gewerbeabfall in Mg/Jahr oder79 500
gesammelter oder beförderter Bioabfall in Mg/Jahr oder33 500
gesammelter oder beförderter LVP- und Kunststoffabfall in Mg/Jahr oder18 500
gesammelter PPK-Abfall in Mg/Jahr oder32 500
gesammelter Glasabfall in Mg/Jahr12 000
1.2Anlage zur Lagerung, Zwischenlagerung und Umladung von SiedlungsabfällenZugang an Rest- oder gemischtem Gewerbeabfall in Mg/Jahr oder79 500
Zugang an Bioabfall in Mg/Jahr oder33 500
Zugang an LVP- und Kunststoffabfall in Mg/Jahr18 500
2.Verwertung und Beseitigung
2.1Anlage zur thermischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr79 500
2.2Anlage zur mechanisch-biologischen oder mechanisch-physikalischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr79 500
2.3Anlage zur biologischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Bioabfall in Mg/Jahr33 500
2.4Anlage zur mechanischen Behandlung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr79 500
2.5Anlage zur Sortierung von SiedlungsabfällenGenehmigte Behandlungskapazität von Rest- oder gemischtem Gewerbeabfall in Mg/Jahr oder79 500
genehmigte Behandlungskapazität von LVP- und Kunststoffabfall in Mg/Jahr18 500
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
BSI-KritisV›Anhang 9
Anhang 9

(zu § 1 Absatz 1 Nummer 2 und 3, § 8 Absatz 2 Nummer 1 und 2)Anlagenkategorien und Schwellenwerte im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende

BSI-Kritisverordnung (geltend) · Anlagenkategorien & Schwellenwerte

(Fundstelle: BGBl. 2025 I Nr. 301, S. 52 – 53)

Teil 1Grundsätze und Fristen

1.
Im Sinne von Anhang 9 ist oder sind
1.1
Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und Pflegeversicherung
ein integriertes Anwendungssystem im Bereich der gesetzlichen Kranken- und Pflegeversicherung.
1.2
Leistungssystem
ein integriertes Anwendungssystem zur Erfassung, Prüfung und Berechnung von sozialversicherungsrechtlichen Entgeltersatzleistungen der gesetzliche Unfall- und Arbeitslosenversicherung, der gesetzlichen Rentenversicherung oder ein IT-System der Bundesagentur für Arbeit zur Erfassung, Speicherung, Berechnung und Bewilligung von Leistungen der Grundsicherung für Arbeitsuchende zur Sicherung des Lebensunterhalts nach dem Zweiten Buch Sozialgesetzbuch.
1.3
Auszahlungssystem
ein System zur Auszahlung der Entschädigung, Versicherungsleistung oder Leistungen der Sozialversicherung oder ein IT-System der Bundesagentur für Arbeit zur Auszahlung von Leistungen der Grundsicherung für Arbeitsuchende zur Sicherung des Lebensunterhaltes nach dem Zweiten Buch Sozialgesetzbuch an den Zahlungsempfänger.
2.
Eine Anlage, die einer in Teil 2 Spalte B genannten Anlagenkategorie zuzuordnen ist, gilt ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den in Teil 2 Spalte D genannten Schwellenwert erstmals erreicht oder überschreitet, als kritische Anlage. Nicht mehr als kritische Anlage gilt eine solche Anlage ab dem 1. April des Kalenderjahres, das auf das Kalenderjahr folgt, in dem ihr Versorgungsgrad den genannten Schwellenwert unterschreitet.
3.
Der Betreiber hat den Versorgungsgrad seiner Anlage für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres zu ermitteln.
4.
Stehen mehrere Anlagen derselben Art in einem engen betrieblichen Zusammenhang (gemeinsame Anlage) und erreichen oder überschreiten die in Teil 2 Spalte D genannten Schwellenwerte zusammen, gilt die gemeinsame Anlage als kritische Anlage. Ein enger betrieblicher Zusammenhang ist gegeben, wenn die Anlagen
a)
mit gemeinsamen Betriebseinrichtungen verbunden sind,
b)
einem identischen technischen Zweck dienen und
c)
unter gemeinsamer Leitung stehen.

Teil 2Anlagenkategorien und Schwellenwerte

Spalte ASpalte BSpalte CSpalte D
Nr.AnlagenkategorieBemessungskriteriumSchwellenwert
1Leistungen der Sozialversicherung sowie der Grundsicherung für Arbeitsuchende
1.1Leistungen der Sozialversicherung sowie der Grundsicherung für Arbeitsuchende
1.1.1Verwaltungs- und Zahlungssystem der gesetzlichen Kranken- und PflegeversicherungAnzahl der Versicherten500 000
1.1.2LeistungssystemLeistungsfälle Sozialversicherungsträger der gesetzlichen Unfall- und Arbeitslosenversicherung/Jahr oder500 000
Anzahl der Versicherungskonten des Sozialversicherungsträgers der gesetzlichen Rentenversicherung oder500 000
Leistungsfälle zur Sicherung des Lebensunterhalts in der Grundsicherung für Arbeitsuchende nach dem Zweiten Buch Sozialgesetzbuch500 000
1.1.3AuszahlungssystemLeistungsfälle Sozialversicherungsträger der gesetzlichen Unfall- und Arbeitslosenversicherung/Jahr oder500 000
Anzahl der Versicherungskonten des Sozialversicherungsträgers der gesetzlichen Rentenversicherung oder500 000
Leistungsfälle zur Sicherung des Lebensunterhalts in der Grundsicherung für Arbeitsuchende nach dem Zweiten Buch Sozialgesetzbuch500 000
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DelVO 2023/2450›Art. 1
Artikel 1

Gegenstand

Delegierte Verordnung (EU) 2023/2450 — Liste wesentlicher Dienste
Mit dieser Verordnung wird gemäß Artikel 5 Absatz 1 der Richtlinie (EU) 2022/2557 eine nicht erschöpfende Liste wesentlicher Dienste im Sinne von Artikel 2 Nummer 5 jener Richtlinie in den im Anhang jener Richtlinie aufgeführten Sektoren und Teilsektoren festgelegt.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DelVO 2023/2450›Art. 2
Artikel 2

Nicht erschöpfende Liste wesentlicher Dienste

Delegierte Verordnung (EU) 2023/2450 — Liste wesentlicher Dienste
Die nicht erschöpfende Liste wesentlicher Dienste, auf die Artikel 1 verweist, lautet wie folgt:
1.
Sektor „Energie“: a) Teilsektor „Strom“: i) Elektrizitätsversorgung (Elektrizitätsunternehmen); ii) Betrieb, Wartung und Ausbau eines Elektrizitätsverteilernetzes (Verteilernetzbetreiber); iii) Betrieb, Wartung und Ausbau eines Elektrizitätsübertragungsnetzes (Übertragungsnetzbetreiber); iv) Elektrizitätserzeugung (Erzeuger); v) Dienste nominierter Strommarktbetreiber (nominierte Strommarktbetreiber); vi) Laststeuerung (Strommarktteilnehmer); vii) Aggregierung von Elektrizität (Strommarktteilnehmer); viii) Energiespeicherung (Strommarktteilnehmer); b) Teilsektor „Fernwärme und -kälte“: Bereitstellung von Fernwärme oder -kälte (Betreiber von Fernwärme oder -kälte); c) Teilsektor „Erdöl“: i) Fernleitung von Erdöl (Betreiber von Erdöl-Fernleitungen); ii) Produktion von Erdöl (Betreiber von Anlagen zur Produktion von Erdöl); iii) Raffination und Aufbereitung von Erdöl (Betreiber von Anlagen zur Raffination und Aufbereitung von Erdöl); iv) Lagerung von Erdöl (Betreiber von Erdöllagern); v) Verwaltung von Erdölvorräten, einschließlich Notvorräten und spezifischen Erdölvorräten (zentrale Bevorratungsstellen); d) Teilsektor „Erdgas“: i) Lieferung von Erdgas (Versorgungsunternehmen); ii) Verteilung von Erdgas (Verteilernetzbetreiber); iii) Fernleitung von Erdgas (Fernleitungsnetzbetreiber); iv) Speicherung von Erdgas (Betreiber von Speicheranlagen); v) Betrieb eines Flüssigerdgassystems (Betreiber von LNG-Anlagen); vi) Gewinnung von Erdgas (Erdgasunternehmen); vii) Ankauf von Erdgas (Erdgasunternehmen); viii) Raffination und Aufbereitung von Erdgas (Betreiber von Anlagen zur Raffination und Aufbereitung von Erdgas); e) Teilsektor „Wasserstoff“: i) Erzeugung von Wasserstoff (Betreiber im Bereich Wasserstofferzeugung); ii) Speicherung von Wasserstoff (Betreiber im Bereich Wasserstoffspeicherung); iii) Fernleitung von Wasserstoff (Betreiber im Bereich Wasserstofffernleitung);
2.
Sektor „Verkehr“: a) Teilsektor „Luftfahrt“: i) zu gewerblichen Zwecken genutzte Luftverkehrsdienste (Passagiere und Fracht) (Luftfahrtunternehmen); ii) Betrieb, Verwaltung und Instandhaltung von Flughäfen und Flughafennetzinfrastruktur (Flughafenleitungsorgane); iii) Flugverkehrskontrolldienste (Betreiber von Verkehrsmanagement- und Verkehrssteuerungssystemen); b) Teilsektor „Schienenverkehr“: i) Schienenverkehrsdienstleistungen (Passagiere und Fracht) (Eisenbahnunternehmen); ii) Betrieb, Verwaltung und Instandhaltung von Eisenbahninfrastruktur, einschließlich Personenbahnhöfen, Güterterminals, Betriebshöfen und Verkehrskontrollzentren (Infrastrukturbetreiber); iii) Betrieb, Management und Instandhaltung von Schienenverkehr-Serviceeinrichtungen (Betreiber von Serviceeinrichtungen); iv) Betrieb, Verwaltung und Instandhaltung von Systemen für Schienenverkehrsmanagement, Zugsteuerung/Zugsicherung und Signalgebung sowie von Telekommunikationseinrichtungen und -systemen für die Zugsteuerung, Zugsicherung und Signalgebung (Infrastrukturbetreiber); c) Teilsektor „Schifffahrt“: i) Binnen-, See- und Küstenschifffahrtsdienste (Passagiere und Fracht) (Passagier- und Frachtbeförderungsunternehmen der Binnen-, See- und Küstenschifffahrt); ii) Betrieb, Verwaltung und Instandhaltung von Häfen und Hafenanlagen sowie Betrieb von Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben, einschließlich Bunkern, Ladungsumschlag, Festmachen, Personenverkehrsdienste, Sammlung von Schiffsabfällen und Ladungsrückständen, Lotsen-, Schleppdienste (Leitungsorgane von Häfen und Einrichtungen, die innerhalb von Häfen befindliche Anlagen und Ausrüstung betreiben); iii) Schiffsverkehrsdienste (Betreiber von Schiffsverkehrsdiensten); d) Teilsektor „Straßenverkehr“: i) Verkehrsmanagementkontrolle, einschließlich Aspekten im Zusammenhang mit der Straßennetzplanung sowie Verkehrsmanagement- und -steuerungsdiensten, mit Ausnahme des Verkehrsmanagements oder des Betriebs intelligenter Verkehrssysteme, sofern sie nicht wesentlicher Bestandteil der allgemeinen Tätigkeit öffentlicher Einrichtungen sind (Straßenverkehrsbehörden); ii) Intelligente Verkehrsdienste (Betreiber intelligenter Verkehrssysteme); e) Teilsektor „öffentlicher Verkehr“: öffentliche Personenverkehrsdienste mit der Eisenbahn, anderen Arten des Schienenverkehrs und auf der Straße (Betreiber öffentlicher Dienste);
3.
Sektor „Bankwesen“: i) Entgegennahme von Einlagen (Kreditinstitute); ii) Kreditvergabe (Kreditinstitute);
4.
Sektor „Finanzmarktinfrastrukturen“: i) Betrieb eines Handelsplatzes (Betreiber von Handelsplätzen); ii) Betrieb von Clearingsystemen (zentrale Gegenparteien);
5.
Sektor „Gesundheit“: i) Erbringung von Gesundheitsdienstleistungen (Gesundheitsdienstleister); ii) Analysen durch ein Referenzlaboratorium der Europäischen Union (EU-Referenzlaboratorien); iii) Erforschung und Entwicklung von Arzneimitteln (Einrichtungen, die Forschungs- und Entwicklungstätigkeiten in Bezug auf Arzneimittel ausüben); iv) Herstellung von pharmazeutischen Grundstoffen und grundlegenden pharmazeutischen Zubereitungen (Einrichtungen, die pharmazeutische Erzeugnisse herstellen); v) Einrichtungen, die Medizinprodukte herstellen, die während einer Notlage im Bereich der öffentlichen Gesundheit als kritisch eingestuft werden (Einrichtungen, die Medizinprodukte herstellen); vi) Vertrieb von Arzneimitteln (Einrichtungen, die eine Großhandelsgenehmigung besitzen);
6.
Sektor „Trinkwasser“: Trinkwasserversorgung und -lieferung unter Ausschluss der Lieferung von Wasser für den menschlichen Gebrauch, sofern dieser Dienst ein nicht wesentlicher Teil der allgemeinen Tätigkeit von Lieferanten anderer Rohstoffe und Güter ist (Lieferanten von und Unternehmen der Versorgung mit Wasser für den menschlichen Gebrauch);
7.
Sektor „Abwasser“: Sammlung, Entsorgung und Behandlung von Abwasser mit Ausnahme der Sammlung, Entsorgung oder Behandlung von kommunalem, häuslichem oder industriellem Abwasser, sofern diese Dienste ein nicht wesentlicher Bestandteil der allgemeinen Tätigkeit von Unternehmen sind (Unternehmen, die kommunales, häusliches oder industrielles Abwasser sammeln, entsorgen oder behandeln);
8.
Sektor „digitale Infrastruktur“: i) Bereitstellung und Betrieb von Internet-Knoten (Betreiber von Internet-Knoten); ii) Erbringung von Diensten für Domänennamensysteme (DNS-Dienste), ausgenommen Dienste im Zusammenhang mit Root-Namenservern (DNS-Diensteanbieter); iii) Betrieb und Verwaltung von Namensregistern für Domänen oberster Stufe (TLD-Namenregister); iv) Erbringung von Cloud-Computing-Diensten (Anbieter von Cloud-Computing-Diensten); v) Erbringung von Rechenzentrumsdiensten (Anbieter von Rechenzentrumsdiensten); vi) Bereitstellung von Inhaltszustellnetzen (Betreiber von Inhaltszustellnetzen); vii) Erbringung von Vertrauensdiensten (Vertrauensdiensteanbieter); viii) Bereitstellung öffentlich zugänglicher elektronischer Kommunikationsdienste (Anbieter elektronischer Kommunikationsdienste); ix) Bereitstellung öffentlicher elektronischer Kommunikationsnetze (Anbieter öffentlicher elektronischer Kommunikationsnetze);
9.
Sektor „öffentlichen Verwaltung“: Dienstleistungen, die von Einrichtungen der öffentlichen Verwaltung im Sinne von Artikel 2 Nummer 10 der Richtlinie (EU) 2022/2557 von Zentralregierungen entsprechend der jeweiligen Definition der Mitgliedstaaten gemäß nationalem Recht erbracht werden (Einrichtungen der öffentlichen Verwaltung von Zentralregierungen);
10.
Sektor „Weltraum“: Betreiber von Bodeninfrastrukturen, die sich im Eigentum von Mitgliedstaaten oder privaten Parteien befinden und von diesen verwaltet und betrieben werden und die Erbringung von weltraumgestützten Diensten unterstützen, ausgenommen Anbieter öffentlicher elektronischer Kommunikationsnetze (Betreiber von Bodeninfrastrukturen);
11.
Sektor „Produktion, Verarbeitung und Vertrieb von Lebensmitteln“ (Lebensmittelunternehmen, die ausschließlich Logistik und Großhandel sowie industrielle Großproduktion und -verarbeitung betreiben): i) industrielle Großproduktion und -verarbeitung von Lebensmitteln; ii) Lebensmittelkettendienste, einschließlich Lagerung und Logistik; iii) Großhandelsvertrieb von Lebensmitteln.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
DelVO 2023/2450›Art. 3
Artikel 3
Delegierte Verordnung (EU) 2023/2450 — Liste wesentlicher Dienste
Diese Verordnung tritt am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft.
Rechtsstand: Juli 2026 · Katalog-Entwurf V0.2 — nicht freigegeben · Keine Rechtsberatung; keine amtliche Quelle der Rechtstexte — maßgeblich sind EUR-Lex bzw. BGBl./gesetze-im-internet.de.
CER-Navigator›Fachbeiträge und Material

Fachbeiträge und Material

marlen-hofmann.de/cer/

Meine Fachbeiträge, Cheatsheets und Materialien stehen auf meiner Website — dort nach Themen geordnet, durchsuchbar und auf dem jeweils aktuellen Stand.

Zu den Fachbeiträgen auf marlen-hofmann.de

Maßgeblich für die Umsetzung sind die Rechtstexte und die Sollmaßnahmen in diesem Handbuch, nicht die Beiträge. Die Links öffnen in einem neuen Tab.

Userhandbuch

Hinweis zur Vorschau: Diese Vorschau speichert nichts. Was Sie hier eintragen — Status, Notizen, Merkliste — bleibt im Arbeitsspeicher dieses Tabs und ist nach dem Neuladen verschwunden. Die folgenden Abschnitte beschreiben das Kundentool: Dort sichert der Navigator Ihren Stand automatisch im Browser-Speicher, und Sie können ihn als Datei mitnehmen.

Produkt-Version 1.1 · Stand 10.08.2026

Dieses Handbuch beschreibt die Bedienung. Welche Rechtstexte Ihr Navigator abbildet, auf welchem Rechtsstand sie sind und welche Katalog-Version er trägt, steht auf seiner Cockpit-Seite.

1. Was der Navigator ist

Eine einzige HTML-Datei, die Sie per Doppelklick im Browser öffnen. Kein Server, keine Installation, keine Internetverbindung, keine Anmeldung.

Darin drei Dinge:

  • Der Rechtstext — die Artikel und Anhänge der abgebildeten Rechtsakte, gegen den amtlichen Volltext geprüft. Amtliche Berichtigungen sind eingearbeitet und im jeweiligen Artikel sichtbar vermerkt. Welche Rechtstexte enthalten sind, listet das Cockpit — je Text mit Link auf die amtliche Quelle.
  • Der Sollmaßnahmenkatalog — die Sollmaßnahmen als aufklappbare Karten, jede direkt unter der Pflicht, aus der sie abgeleitet ist, mit einer thematischen ISO-27002-Einordnung.
  • Ihre eigene Dokumentation — zu jeder Sollmaßnahme ein Umsetzungsstatus und drei Freitextfelder. Daraus rechnet der Navigator den Compliance-Reifegrad.

Was er nicht ist: kein Audit, keine Rechtsberatung, kein GRC-Tool. Er ist ein interaktives Handbuch mit Merkzettel. Maßgeblich bleibt in jedem Fall die amtliche Fassung.

Zwei Sätze, die Sie kennen sollten, bevor Sie anfangen:

  1. Lesen geht immer. Rechtstext und Katalog sind reines HTML. Nur die Dokumentations-Funktionen (Statusfelder, Umsetzen-Leiste, Suche, Sichern/Einlesen) brauchen JavaScript. Ist es abgeschaltet, existieren sie schlicht nicht — der Lese-Teil bleibt vollständig.
  2. Ihre Eingaben liegen im Browser, nicht in der Datei. Was das genau heißt und wie Sie damit sicher arbeiten, steht in Kapitel 5. Lesen Sie das Kapitel, bevor Sie ernsthaft dokumentieren.

2. Bildschirmaufbau

Der Navigator nach dem Öffnen, am Motiv vorbeigescrollt: links die Navigation, in der Mitte die Inhalte, rechts die Kontextspalte, unten die Umsetzen-Leiste.

Ganz oben ein Bildband mit Titel, Produkt-Version, Suchfeld und dem Menü „Hilfe & Doku" (dieses Handbuch und „Was ist neu"). Scrollen Sie einmal daran vorbei — dann füllt das Werkzeug den Bildschirm und die Umsetzen-Leiste steht am unteren Rand.

  • Links die Navigation. Unter Verstehen die Einstiege — Cockpit, Sollmaßnahmen-Überblick und „Fachbeiträge und Material“. Unter Rechtsakte die abgebildeten Rechtstexte mit ihren Artikellisten. Unter Sonstiges die Compliance-Hinweise, dieses Userhandbuch und „Was ist neu" — die beiden letzten erreichen Sie auch über das Menü „Hilfe & Doku" oben.
  • In der Mitte der gewählte Inhalt — Normtext mit den Sollmaßnahmen-Karten darunter.
  • Rechts die Kontextspalte mit Kästen, die sich am Farbstrich unterscheiden: „Worum geht es" (grau), der Relevanz-Kasten (grün), „Konkretisierung & Verweise" (aubergine) und, je nach Rechtsakt, Kästen mit Hinweisen der zuständigen Aufsicht (blau und petrol).
  • Unten die Umsetzen-Leiste (▸ Umsetzen) — der eine Ort für alles Arbeiten: Fortschritt, „Stand sichern", „Stand einlesen", „Weitergabe-Kopie", „Stand löschen" und rechts der Hinweis, wann Sie zuletzt gesichert haben.
  • Die Zähler an den Artikeln (etwa 3/7) zeigen, wie viele der dortigen Sollmaßnahmen Sie bewertet haben. Vollständig bewertete Artikel werden grün, Artikel ohne Sollmaßnahmen tragen keinen Zähler.

Ein Einstieg ist kein Katalog-Inhalt: „Fachbeiträge und Material" verweist auf marlen-hofmann.de — dort stehen meine Beiträge und Materialien, beim DORA-Navigator zusätzlich die Sammlung der Veröffentlichungen von BaFin, Bundesbank und den europäischen Aufsichtsbehörden. Eine Linkliste in der Datei wäre ab dem Tag der Auslieferung im Rückstand, die Website ist es nie.

3. Lesen und Finden

Suche. Das Suchfeld oben rechts (Taste / springt hinein) durchsucht ab zwei Zeichen den gesamten Navigator: Normtext, Artikeltitel, Sollmaßnahmen mit ID, Titel und Text sowie ISO-Kennungen — ohne Rücksicht auf Groß-/Kleinschreibung und Umlaute („prufung" findet „Prüfung"). Die Treffer erscheinen gruppiert nach Fundort; ein Klick oder Pfeiltaste plus Enter öffnet den Artikel, klappt die Karte auf und hebt die Fundstelle kurz hervor. Strg/Cmd + F durchsucht dagegen nur die gerade geöffnete Seite.

Die Suche mit Trefferliste, gruppiert nach Fundort.

Die Sollmaßnahmen-Karte. Ein Klick auf die Titelzeile klappt sie auf. Oben der Maßnahmentext, darunter die Einordnung — welche Angaben dort stehen, hängt vom Rechtsakt ab:

  • Ergibt sich aus — die Fundstelle. Folgt eine Sollmaßnahme aus mehreren Absätzen zusammengenommen, steht die Karte unter der letzten beteiligten Stelle und nennt die Fundstelle vollständig (etwa „Art. 4 Abs. 1 und 2"), damit Sie sie direkt zitieren können.
  • ISO-2700X — eine rein thematische Einordnung, keine Deckungsaussage. Sie sagt, wo die Anforderung thematisch hingehört, nicht, ob das Control sie inhaltlich abdeckt.
  • Adressat — wen die Pflicht trifft, wo der Rechtsakt mehrere Adressaten kennt.
  • Steht auch bei — blau und anklickbar; springt zur anderen Fundstelle derselben Sollmaßnahme.

Vermerke im Text sind Absicht: Sie zeigen, wo der Wortlaut von der ursprünglichen Verkündung abweicht oder wo eine Lücke ehrlich markiert ist.

Drucken blendet alle Bedienelemente aus; gedruckt wird der Lesetext.

Sollmaßnahmen-Überblick. Der Nav-Eintrag (oder „Alle Sollmaßnahmen (Tabelle) ▸" im Cockpit) zeigt den ganzen Katalog als eine Tabelle: ID, Titel, Anforderungstext, Anforderungstyp, Rechtsgrundlage(n), ISO-Einordnung, Zuletzt geändert. Jede Rechtsgrundlage ist anklickbar und führt an ihre Stelle im Rechtstext. Die Tabelle ist zum Lesen und Herauskopieren da — bearbeitet wird an der Karte.

4. Dokumentieren

Eine aufgeklappte Sollmaßnahmen-Karte mit Statusauswahl und den Feldern Verantwortlich, Beschreibung und Nachweis.

In jeder aufgeklappten Karte steht unten der Block „Umsetzungs-Doku — Status:":

  1. Status aus der Auswahlliste wählen (Voreinstellung „— offen —").
  2. Verantwortlich — Person, Rolle oder Organisationseinheit.
  3. Beschreibung — worauf sich Ihre Einstufung stützt.
  4. Nachweis — Dokument, Ticket, Fundstelle im ISMS.

Es gibt keinen Speichern-Knopf: Jede Eingabe wird sofort im Browser abgelegt. Unter den Feldern erscheint „Stand der Einstufung" mit dem Tagesdatum, und rechts in der Titelzeile der Karte steht der Kurzstatus (z. B. „Teilweise (2)"), sodass Sie ihn auch bei zugeklappter Karte sehen.

Kommt dieselbe Sollmaßnahme an mehreren Artikeln vor, gilt Ihre Eingabe für alle Vorkommen — Sie dokumentieren je Sollmaßnahme, nicht je Karte.

Die sieben Stufen
AuswahlPunktezählt als bewertet
In Prüfung (zählt nicht als bewertet)—nein, wird getrennt geführt
Nicht anwendbar (ohne Wertung)—ja, aber ohne Punktwert
Nicht verfügbar (0 Pkt)0ja
Ansätze vorhanden (1 Pkt)1ja
Teilweise umgesetzt (2 Pkt)2ja
Überwiegend umgesetzt (3 Pkt)3ja
Vollständig umgesetzt (4 Pkt)4ja

„Bewertet" heißt: eine definitive Einstufung liegt vor — einschließlich „Nicht anwendbar". Offene Sollmaßnahmen und „In Prüfung" zählen nicht.

Wo Sie beim Durcharbeiten stehen, zeigen die Zähler an den Artikeln (3/7) und der Fortschrittsbalken in der Umsetzen-Leiste.

Compliance-Reifegrad
Die Tafel „Compliance-Reifegrad" am Ende der Cockpit-Seite, Sicht „Nach ISO-Control".

Am Ende der Cockpit-Seite steht die Tafel „Compliance-Reifegrad": der Durchschnitt Ihrer vergebenen Punktwerte (0–4), wahlweise nach ISO-Control oder nach Artikel/Einheit. Das Kennzahlenband im Cockpit fasst dasselbe in drei Zahlen zusammen — Reifegrad gesamt, Zahl der bewerteten Sollmaßnahmen, Zahl der Bereiche unter Ø 1,0.

  • Die Liste ist vollständig: Jede Gruppe erscheint, mit Zwischenstand („Ø 3,0 / 4 · 2 von 5 bewertet") oder mit „noch nichts bewertet".
  • Die Zeilenfläche färbt sich nach dem Durchschnitt, von Rot unter 1,0 bis Grün ab 3,5. Unbewertete Gruppen bleiben grau.
  • Ein Klick auf eine Zeile zeigt die zugehörigen Sollmaßnahmen als farbige Kürzel; ein Klick darauf springt zur Karte.
  • „Nicht anwendbar" senkt den Durchschnitt nicht; offene Sollmaßnahmen und „In Prüfung" bleiben draußen. Bereiche, in denen Sie noch nichts bewertet haben, zählen auch nicht als schlechtes Ergebnis.

Die Tafel ist eine Selbstauskunft aus Ihren eigenen Angaben, kein Prüfurteil. Ohne JavaScript gibt es sie nicht.

5. Wo Ihre Eingaben liegen

Der eine Satz: Ihre Eingaben liegen im lokalen Speicher Ihres Browsers — nicht in der HTML-Datei, nicht auf einem Server, nirgendwo sonst. Die Datei, die Sie weitergeben oder sichern, entsteht erst, wenn Sie „Stand sichern" oder „Weitergabe-Kopie" klicken.

Daraus folgt alles Weitere:

SituationFolge
Sie öffnen dieselbe Datei in einem anderen Browserleerer Stand — jeder Browser hat seinen eigenen
Sie öffnen die Datei auf einem anderen Rechnerleerer Stand
Sie verschieben oder kopieren die HTML-DateiIhr Stand bleibt, er hängt nicht an der Datei
Sie löschen Browserdaten („Cookies und Websitedaten")Stand weg, ohne Rückfrage
Sie arbeiten im privaten FensterStand endet mit dem Fenster
Mehrere Personen nutzen denselben Rechner-Loginalle teilen sich einen Stand
Sie wechseln auf eine neue Fassung des Navigatorsneue Datei, eigener Stand — Übernahme siehe Kapitel 7

Praktische Konsequenz: Bleiben Sie bei einer Kopie der Datei, an einem Ort, in einem Browser. Und sichern Sie nach jeder Arbeitssitzung (Kapitel 6) — nur die gesicherte Datei überlebt eine Browser-Bereinigung.

Der Stand liegt unter einem sprechenden Namen, den Ihre IT im Browser wiederfindet, nach dem Muster „Name des Navigators · Umsetzungsstand · Katalog-Version" (technisch: localStorage). Der Navigator sendet nichts — keine Telemetrie, keine Netzwerkzugriffe. Ihre Compliance-Daten verlassen das Haus nur, wenn Sie selbst eine Datei exportieren und weitergeben.

Ein Stand, ein Tab. Öffnen Sie den Navigator nicht in zwei Tabs oder Fenstern gleichzeitig. Passiert es doch, schützt er Ihre Daten: Der Tab mit dem älteren Stand speichert nicht mehr und zeigt „Dieser Stand wurde in einem anderen Tab geändert" — dort weiterarbeiten oder die Seite neu laden.

Lokalen Stand löschen. Der Knopf „Stand löschen" entfernt den gespeicherten Stand und die Rückfall-Kopie aus dem Browser — nach einer Rückfrage. Ihre gesicherten JSON-Dateien bleiben unberührt. Der Speicher ist browser- und gerätegebunden und wird weder verschlüsselt noch revisionssicher abgelegt — die Sicherung Ihrer Arbeitsstände sind die exportierten Dateien, nicht der Browser.

Wenn das Speichern nicht geht. Im privaten Fenster oder wenn eine Firmenrichtlinie Website-Daten blockiert, kann der Navigator nichts ablegen. Er sagt das: In der Umsetzen-Leiste steht dann dauerhaft „Automatisches Speichern fehlgeschlagen — der Stand liegt nur in diesem Tab. Jetzt „Stand sichern" nutzen." Der Stand ist dann beim Schließen des Tabs verloren — sichern Sie sofort und auch zwischendurch.

6. Sichern, Einlesen, Weitergeben

Drei Knöpfe in der Umsetzen-Leiste, drei verschiedene Zwecke.

„Stand sichern" — Ihre Sicherung

Erzeugt eine kleine JSON-Datei mit Status, Punkten, Verantwortlichen, Beschreibungen und Nachweisen; der Dateiname trägt den Navigator und das Tagesdatum. Sie landet im Download-Ordner; legen Sie sie in Ihre Dokumentenablage. Danach verschwindet der rote Hinweis „ungesicherte Änderungen".

Das ist die einzige belastbare Sicherung. Machen Sie sie nach jeder Sitzung; das Datum im Namen macht sie versionierbar.

„Stand einlesen" — zurückholen

Nimmt eine JSON-Sicherung oder eine Weitergabe-Kopie (.html) als Quelle. Der Import ersetzt Ihren lokalen Stand vollständig; er führt nichts zusammen. Ist schon ein Stand da, fragt der Navigator vorher nach — und bricht ab, falls die Rückfall-Kopie nicht geschrieben werden kann (dann zuerst „Stand sichern", danach erneut einlesen).

Danach zieht er eine ehrliche Bilanz: „Import: X Bewertungen übernommen, Y Maßnahmen sind neu (offen), Z nicht zuordenbar (unbekannte IDs — Datei aus anderer Katalog-Version?)." Nicht zuordenbare Einträge werden nicht übernommen, sie wären im Dokument unsichtbar.

Vier Fälle weist der Navigator ab, ohne Ihren Stand anzufassen: keine gültige Sicherungsdatei · eine HTML-Datei ohne eingebetteten Stand (die ausgelieferte Originaldatei enthält keinen) · eine Datei aus einem anderen Navigator · eine Datei, von der keine einzige ID zu diesem Katalog passt.

Unmittelbar vor dem Überschreiben legt der Navigator den bisherigen Stand in eine einzige Rückfall-Kopie im Browser. Sie ist eine Notreserve für den Support, kein Ersatz für Ihre Sicherungen — der nächste Import überschreibt sie.

„Weitergabe-Kopie" — zeigen statt schicken

Erzeugt eine vollständige HTML-Datei mit Ihrem Stand fest eingebettet (mehrere Megabyte — bei E-Mail die Postfachgrenze beachten). Der Empfänger öffnet sie per Doppelklick und sieht sofort Ihre Einstufungen und Notizen.

  • Sie ist als Kopie erkennbar: ein Band am oberen Rand nennt Herkunft und Datum, der Browser-Tab trägt „KOPIE · …".
  • Sie ist eine Momentaufnahme. Was Sie danach ändern, wandert nicht mehr hinein.
  • Arbeitet der Empfänger darin weiter, entsteht bei ihm ein eigener, unabhängiger Stand. Soll er zu Ihnen zurück, sichert er ihn und Sie lesen die Datei ein — mit der Ersetzungs-Regel von oben. Ein automatisches Zusammenführen zweier Stände gibt es nicht; teilen Sie die Arbeit deshalb zeitlich oder nach Abschnitten auf.
  • Notizen können Internes enthalten. Behandeln Sie die Kopie wie jedes andere interne Dokument.
Arbeitsroutine
  1. Öffnen. Ist der Stand leer oder falsch, zuerst die letzte Sicherung einlesen.
  2. Arbeiten — Artikel für Artikel; die Zähler an den Artikeln zeigen, wo noch offene Sollmaßnahmen liegen.
  3. Zwischenstand am Compliance-Reifegrad prüfen.
  4. „Stand sichern" und die Datei ablegen. Erst schließen, wenn „ungesicherte Änderungen" verschwunden ist.

7. Wechsel auf eine neue Fassung

Ein Versionswechsel läuft hier wie bei einem Dokument, nicht wie bei einer Software: Sie bekommen die neue Fassung als eigene Datei, übertragen selbst, was Sie brauchen, und legen die alte erst weg, wenn Sie fertig sind. Es gibt keinen Automatismus und kein Nachschauen im Hintergrund.

Jede Auslieferung trägt ihre Katalog-Version im Dateinamen; alte und neue Fassung liegen nebeneinander, nichts wird überschrieben.

  1. Neue Fassung speichern. Die alte bleibt, wo sie ist.
  2. Alte Fassung öffnen → „Stand sichern" → Datei ablegen. (Eine Weitergabe-Kopie tut es auch.)
  3. Neue Fassung öffnen → „Stand einlesen" → gesicherte Datei wählen. Die Bilanz sagt Ihnen, was übernommen wurde und was neu ist.
  4. „Hilfe & Doku → Was ist neu" lesen: neue Sollmaßnahmen (bei Ihnen auf „offen"), sprachlich korrigierte (Bedeutung unverändert, Ihre Bewertung gilt weiter) und entfallene (deren Bewertung finden Sie in Ihrer alten Fassung).
  5. Erst jetzt die alte Fassung löschen — oder als Nachweis behalten.

Wer Schritt 2 vergisst, merkt es in Schritt 3 an einem leeren Stand („0 / n bewertet") und geht zurück; die alte Fassung ist ja noch da, samt ihrem eigenen Browser-Stand. Es geht nichts verloren.

Warum eine Prüfroutine nicht nötig ist: Für den Katalog gilt die Regel der Autorin — eine Sollmaßnahme wird sprachlich korrigiert, aber nie inhaltlich verändert. Ändert sich die Anforderung, entfällt die alte ID und eine neue kommt hinzu. Gleiche ID heißt also gleiche Bedeutung, Ihre übernommenen Bewertungen bleiben gültig. Die Regel wird bei jeder Auslieferung maschinell geprüft.

8. Die Excel-Beilage

Liegt Ihrer Auslieferung eine Excel-Arbeitsmappe bei, enthält sie denselben Sollmaßnahmenkatalog mit Arbeitsspalten und einem Auswertungsblatt, das den Reifegrad je ISO-Bereich per Formel rechnet. Wer die GRC-übliche Excel-Arbeit will — filtern, pivotieren, in ein GRC-Tool übernehmen —, arbeitet dort.

Sie entscheiden sich für einen Arbeitsort. Es gibt keinen Übertragungsweg zwischen Excel und Navigator, in keine Richtung. Wer im Excel dokumentiert, liest im Navigator nach; wer im Navigator dokumentiert, nutzt das Excel allenfalls auf Basis eines manuellen Abgleichs. Das ist der Preis dafür, dass der Navigator ein Handbuch bleibt und kein GRC-Tool wird.

9. Grenzen

  • Selbstauskunft, kein Audit. Der Navigator prüft nicht, ob ein „Vollständig umgesetzt" zutrifft.
  • Import ersetzt, er ergänzt nicht. Vor jedem Import sichern.
  • Kein Mehrbenutzerbetrieb. Kein gemeinsamer Speicher, kein Zusammenführen, keine Konfliktauflösung — das regeln Sie organisatorisch.
  • Die ISO-Einordnung ist thematisch, keine Deckungsaussage.
  • Rechtstext-Treue: Der Text ist gegen den amtlichen Volltext geprüft; wo er abweicht, steht das im Artikel. Maßgeblich bleibt die amtliche Fassung — das Cockpit verlinkt sie je Rechtstext.
  • Desktop ist die Zielplattform. Unter 760 px Fensterbreite weist ein Balken darauf hin.
  • Browser: aktueller Chrome, Edge, Firefox oder Safari; maschinell gegen alle drei Engines geprüft. Entscheidend ist, bei einem zu bleiben.
  • Ohne JavaScript entfallen Suche, Statusfelder, Umsetzen-Leiste und Reifegrad-Tafel. Lesen bleibt vollständig möglich.

10. Wenn etwas klemmt

„Website verlassen?" beim Schließen. Es gibt Änderungen seit der letzten Sicherung. Zurück in den Tab, „Stand sichern", dann schließen. Wegklicken kostet nichts — außer wenn die Leiste „Automatisches Speichern fehlgeschlagen" zeigt; dann ist der Stand danach weg.

Meine Eingaben sind weg. Anderer Browser, anderes Gerät, gelöschte Browserdaten oder eine geöffnete Weitergabe-Kopie statt der Arbeitsdatei. Abhilfe: letzte Sicherung einlesen. Gab es keine, gibt es nichts wiederherzustellen.

„Der lokal gespeicherte Doku-Stand war beschädigt und wurde verworfen." Der Browser-Speicher enthielt unlesbare Daten. Der Navigator startet leer, statt mit kaputten Daten weiterzurechnen — letzte Sicherung einlesen.

Ich habe versehentlich importiert. Der vorherige Stand liegt in der Rückfall-Kopie und lässt sich über die Browser-Konsole zurückholen (__dokuBackup(true)) — ein Fall für die IT. Ein weiterer Import überschreibt sie.

In der Karte ist kein Statusfeld. Der Block sitzt am Ende der aufgeklappten Karte, also nach unten scrollen. Fehlt er ganz, ist JavaScript für lokale Dateien deaktiviert; dann fehlt auch die Umsetzen-Leiste.

Ich finde die Reifegrad-Tafel nicht. Sie steht am Ende der Cockpit-Seite. Fehlt sie, siehe voriger Punkt.

Der Import wird abgewiesen. Der Navigator nennt den Grund in der Meldung: falsches Format, HTML ohne eingebetteten Stand, Datei aus einem anderen Navigator oder aus einer anderen Katalog-Version. Die richtige Datei ist die per „Stand sichern" erzeugte JSON-Datei, unverändert.

Anhang — Die Dateien

DateiEntsteht durchZweck
die Navigator-Datei (….html)Auslieferungder Navigator selbst
die Excel-Arbeitsmappe (….xlsx)Auslieferung, sofern beigelegtder zweite Arbeitsort (Kapitel 8)
umsetzungs-doku_…_JJJJ-MM-TT.json„Stand sichern"Ihre Sicherung — wieder einlesbar
…-umsetzungs-doku_JJJJ-MM-TT.html„Weitergabe-Kopie"Navigator mit eingebettetem Stand

Exporte landen im Download-Ordner des Browsers; von dort in die Dokumentenablage verschieben.

Fragen und Korrekturen an die Autorin.

Was ist neu

Produkt-Version 1.1 — der Stand der Oberfläche und ihrer Funktionen; er steht auch oben neben dem Titel. Davon getrennt läuft die Katalog-Version — der Stand der Sollmaßnahmen. Beide ändern sich unabhängig voneinander.

Jede Auslieferung ist eine eigene Datei mit eigenem Namen; nichts wird überschrieben. Beim Wechsel auf eine neue Fassung nehmen Sie Ihren Arbeitsstand selbst mit — „Stand sichern“ in der alten Fassung, „Stand einlesen“ in der neuen (Schritt für Schritt im Userhandbuch, Abschnitt „Wechsel auf eine neue Fassung“). Was sich je Auslieferung geändert hat, steht hier.

Dies ist die erste Fassung dieses Navigators — es gibt noch keine Vorgänger-Fassung. Änderungen künftiger Fassungen erscheinen hier.