Der Referentenentwurf zur neuen Kritisverordnung (KritisV) soll die bis dato geltende BSI-Kritisverordnung ablösen und konkretisiert die Vorgaben des im März 2026 in Kraft getretenen KRITIS-Dachgesetzes (KRITISDachG), das verbindliche Vorgaben für den Schutz physische kritischer Anlagenbetreiber vorsieht (siehe hierzu auch: Resilienz-Compliance als gesetzliche Organpflicht: Sabotageschutz und Business Continuity als verpflichtende Sicherheitsarchitektur für Unternehmen | Gleiss Lutz). Die Kategorisierung durch die Kritisverordnung wird maßgebliche praktische Auswirkungen auf betroffene Betreiber haben, da durch die Festlegung detaillierter Anlagenkategorien sowie die Überarbeitung bestimmter Schwellenwerte konkret ermittelt werden kann, wer künftig unter den Anwendungsbereich des KRITISDachG in den relevanten Sektoren fallen wird.
Der Entwurf orientiert sich zwar strukturell wie inhaltlich an der bisherigen BSI-Kritisverordnung, hält aber auch einige Neuerungen bereit. Der im KRITISDachG bereits als eigener Sektor angelegte Bereich „Weltraum“ (§ 4 Nr. 9 KRITISDachG) wird durch detaillierte Regulierung in dem Entwurf der KritisV erstmals hinsichtlich der erfassten Dienstleistungen, Anlagenkategorien und Schwellenwerte handhabbar. Zudem werden weitere Sektoren wie der Energiesektor deutlich weiter ausdifferenziert, indem auch Steuerungs-, Koordinierungs-, Leit- und Logistikfunktionen neu erfasst werden.
Zentral ist auch die Verzahnung mit dem Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG). Der Referentenentwurf sieht vor, dass Betreiber kritischer Anlagen nach Inkrafttreten der KritisV nur noch durch das KRITISDachG und die KritisV bestimmt werden, und zwar auch hinsichtlich der Verpflichtungen zur Cybersicherheit nach dem BSIG. In den Rechtsfolgen soll die KritisV damit eine gemeinsame Rechtsverordnung sowohl für die physische Resilienz nach dem KRITISDachG als auch für die Cybersicherheit nach dem BSIG bilden.
Beibehaltung der Grundstruktur der BSI-Kritisverordnung
Die Struktur des KritisV-Entwurfs folgt im Wesentlichen der aktuell geltenden BSI-Kritisverordnung. Die Bestimmung kritischer Anlagen erfolgt dreistufig: Im Verordnungstext werden kritische Dienstleistungen in den einzelnen Sektoren bestimmt. Die Anlagen zum KritisV-Entwurf legen sodann die für diese Dienstleistungen erforderlichen Anlagenkategorien fest und definiert Schwellenwerte. Dabei hält der Referentenentwurf der KritisV grundsätzlich als Kenngröße an dem Regelschwellenwert von 500.000 versorgten Einwohnern fest, von dem bereits die bisherige BSI-Kritisverordnung ausging und der als Grundlage für die Berechnung der sektorspezifischen Schwellenwerte fungiert. Anlagen sollen künftig ab dem 1. April des Kalenderjahres, das auf das Jahr folgt, in dem der Schwellenwert erstmals erreicht oder überschritten wird, als kritische Anlage gelten (vgl. etwa Anlage 1, Teil 1, Ziffer 3 KritisV-Entwurf).
Neuregelung des Weltraumsektors
Im KritisV-Entwurf sticht insbesondere die Ausgestaltung des Sektors „Weltraum“ in § 11 KritisV hervor, der erstmals durch detaillierte Regulierung zu erfassten Dienstleistungen, Anlagenkategorien und Schwellenwerten handhabbar wird. Der Weltraumsektor erfasst als kritische Dienstleistungen die Versorgung der Allgemeinheit mit Diensten zur Positionierung, Navigation und Zeitmessung (PNT-Dienste), Erdbeobachtungsdiensten, Transportkapazitäten sowie geodätischen Daten. Als kritische Anlagen sieht der KritisV-Entwurf für die Versorgung der Allgemeinheit mit PNT-Diensten, Erdbeobachtungsdiensten und Transportkapazitäten jeweils Antennenanlagen und Bodenstationen vor. Zudem qualifiziert der Entwurf die Transportinfrastruktur zum Start oder der Landung von Trägersystemen für Weltraumsysteme sowie Bodenstationen zur Versorgung der Allgemeinheit mit geodätischen Daten als potenziell kritische Anlagen (vgl. Anlage 10, Teil 1, Ziffer 1 KritisV-Entwurf).
Während die Einstufung kritischer Anlagen in den übrigen Sektoren regelmäßig an Versorgungs-, Produktions-, Transaktions- oder Leistungsgrößen anknüpft, soll für PNT- und Erdbeobachtungsdienste die Anzahl der an die jeweilige Bodeninfrastruktur angebundenen Missionen maßgeblich sein. Im Bereich der Transportkapazitäten wird auf die Anzahl der Start- und/oder Landevorgänge von Trägersystemen pro Jahr abgestellt. Bei Bodenstationen zur Versorgung der Allgemeinheit mit geodätischen Daten richtet sich der Schwellenwert nach den geodätischen Beobachtungs- und Auswerteverfahren. Damit orientiert sich die Einstufung als kritische Anlage weniger an klassischen Versorgungsgraden als an der funktionalen Bedeutung der jeweiligen Weltrauminfrastruktur. Beachtenswert ist, dass der Schwellenwert für alle erfassten Anlagenkategorien „1“ beträgt, also eine einzige angebundene Mission, ein einziger Start- oder Landevorgang pro Jahr bzw. ein einziges geodätisches Beobachtungs- und Auswerteverfahren genügen (vgl. Anlage 10, Teil 2 KritisV-Entwurf).
Weiterentwicklung von Kategorien, Begrifflichkeiten und Schwellenlogik
Mit Blick auf die übrigen, bereits unter der BSI-Kritisverordnung geregelten Sektoren entwickelt der Entwurf der KritisV die bereits in der BSI-Kritisverordnung angelegte Systematik fort. Jedoch erfolgt in einigen Sektoren eine deutlich stärkere Ausdifferenzierung der Anlagenkategorien.
Während die bisherige BSI-Kritisverordnung sich vielfach auf klassische physische Infrastrukturen und Prozessstufen fokussierte, sollen künftig vermehrt auch digitale, organisatorische und betriebliche Steuerungs- und Unterstützungsfunktionen als Anlagenkategorien erfasst werden. Damit trägt das Bundesministerium des Innern (BMI) als Verordnungsgeber der zunehmenden Bedeutung solcher Steuerungsebenen für die Aufrechterhaltung kritischer Dienstleistungen Rechnung.
Besonders deutlich zeigt sich diese Entwicklung im Energiesektor. Neben klassischen Erzeugungs-, Transport- und Verteilungsanlagen erfasst der KritisV-Entwurf auch Anlagen zur Anbindung von Erzeugungsanlagen, Steuerungs- und Aggregatoranlagen, Energiespeicheranlagen, „Power-to-Gas“-Anlagen neu oder ausdrücklich. Zudem wird die Fernkälteversorgung erstmals als eigenständiger Bestandteil des KritisV-Regimes berücksichtigt (vgl. Anlage 1, Teil 1, Ziffer 2 KritisV-Entwurf). Von dieser Erweiterung können insbesondere Betreiber von Infrastrukturen betroffen sein, deren Funktionsfähigkeit maßgeblich von einer kontinuierlichen Kälteversorgung abhängt, etwa Rechenzentren, Krankenhäuser oder industrielle Anlagen.
Der Verkehrssektor erfährt ebenfalls umfangreiche strukturelle Anpassungen: Im Luftverkehr entfallen eigenständige Kategorien für die Passagier- und Frachtabfertigung an Flugplätzen, sodass diesbezüglich allein die Kategorie des Infrastrukturbetriebes eines Flugplatzes verbleibt. Neu aufgenommen werden dagegen Computerreservierungsdienste und Global Distribution Systems. Im Eisenbahnverkehr sollen Serviceeinrichtungen für den Fernverkehr neu in den Anwendungsbereich einbezogen werden. Im Bereich der See- und Binnenschifffahrt werden die Schwellenwerte für Bundeswasserstraßen angepasst. Maßgeblich soll künftig die Binnenwasserklassifizierung anstelle der Güterverkehrsdichte sein. Zusätzlich werden Bundesautobahnen erstmals als eigenständige Kategorie erfasst (vgl. zum Verkehrssektor Anlage 7, Teil 1, Ziffer 1 KritisV-Entwurf).
In einigen Sektoren nimmt der Entwurf gezielte Erweiterungen vor. Im Gesundheitssektor sollen die kritischen Dienstleistungen um die Erforschung und Entwicklung potenziell versorgungsrelevanter Wirkstoffe und daraus herzustellender Arzneimittel ergänzt werden. Auf Anlagenebene enthält der KritisV-Entwurf hierzu unter anderem Entwicklungs- und Herstellungsanlagen für Forschungsarzneimittel, EU-Referenzlaboratorien, sowie Blut- oder Plasmaspendensteuerungssysteme (vgl. Anlage 5, Teil 1 KritisV-Entwurf). Im Finanzwesen erfasst der Entwurf die Entgegennahme von Einlagen und die Kreditvergabe als weitere Dienstleistungen.
Demgegenüber bleiben die Grundstrukturen in anderen Sektoren weitgehend erhalten. In den Sektoren Wasser, Ernährung, Informationstechnik und Telekommunikation, Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende sowie Siedlungsabfallentsorgung sieht der KritisV-Entwurf hinsichtlich der kritischen Dienstleistungen, der Anlagenkategorien und der Schwellenwerte keine Änderungen zur bisherigen BSI-Kritisverordnung vor (vgl. S. 74, 82 KritisV-Entwurf). Auch die Schwellenwertsystematik wird grundsätzlich beibehalten.
Grundsatz der Selbstermittlung und Übergangsregelung
Der KritisV-Entwurf setzt auf eine jährliche Selbstermittlung des Versorgungsgrades durch den Betreiber der Anlage bis zum 31. März; eine Anlage gilt dann grundsätzlich ab dem 1. April des Folgejahres als kritisch oder fällt ab diesem Zeitpunkt wieder heraus, wenn der Schwellenwert über- oder unterschritten wird. Hinzu kommt, dass mehrere Anlagen derselben Art bei engem räumlichem und betrieblichem Zusammenhang als eine gemeinsame Anlage betrachtet werden können.
Sektorübergreifend sollen Übergangsregelungen für Anlagen, welche die jeweiligen Schwellenwerte bereits im Kalenderjahr 2025 erreicht oder überschritten haben, gelten. Diese Anlagen sollen unmittelbar mit Inkrafttreten der Verordnung als kritische Anlagen gelten. Hierdurch wird sichergestellt, dass bereits kritische Anlagen ohne zeitliche Verzögerung in den Anwendungsbereich der KritisV überführt werden können.
Fazit und Ausblick
Der Referentenentwurf der KritisV führt die bisherige Systematik der BSI-KritisV im Grundsatz fort, entwickelt sie jedoch in wesentlichen Punkten weiter. Zentrale Neuerung ist die Ausgestaltung Weltraumsektors, der erstmals geregelt und nach kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerten ausdifferenziert wird. Für die übrigen, bereits unter der bisherigen BSI-Kritisverordnung geregelten Sektoren werden einzelne kritische Dienstleistungen erweitert und zahlreiche Anlagenkategorien stärker ausdifferenziert. Besonders deutlich zeigt sich dies bei der verstärkten Berücksichtigung von Steuerungs-, Koordinierungs- und digitalen Unterstützungsfunktionen im Energiesektor, deren Bedeutung für die Aufrechterhaltung kritischer Dienstleistungen zunehmend auch regulatorisch anerkannt wird.
Für Anlagenbetreiber bedeuten diese Neuerungen, dass die Betroffenheitsprüfung künftig nicht mehr allein auf klassische physische Infrastrukturen beschränkt werden kann. Vielmehr sollten Unternehmen frühzeitig prüfen, ob neu eingeführte Anlagenkategorien, geänderte Schwellenwerte oder sektorale Erweiterungen zu einer erstmaligen Erfassung unter dem KRITIS-Regime führen. Die vorgesehene Übergangsregelung verdeutlicht das Bestreben des BMI, bereits kritische Einrichtungen unmittelbar und zeitnah in das neue Regelungssystem zu überführen.
Bereits im Gesetzgebungsverfahren zum KRITISDachG wurde der weiterhin zugrunde gelegte Regelschwellenwert von 500.000 versorgten Personen vom Bundesrat kritisiert. Dieser warnte davor, dass dadurch zahlreiche versorgungsrelevante Anlagen vom Anwendungsbereich nicht erfasst würden. Der Verordnungsentwurf hält gleichwohl im Grundsatz an diesem Regelschwellenwert fest, modifiziert dessen Anwendung jedoch punktuell. So weicht der KritisV-Entwurf insbesondere im neu geregelten Weltraumsektor von der klassischen Versorgungslogik ab und stellt stattdessen sinnvollerweise auf funktionale Kriterien wie etwa die Anzahl angebundener Missionen oder Start- und Landevorgänge ab, wobei die Schwellenwerte denkbar niedrig angesetzt werden. Insgesamt bleibt jedoch offen, ob und inwieweit der Schwellenwert sowie die Systematik der Ermittlung kritischer Anlagen im weiteren Verordnungsverfahren noch angepasst oder weiter flexibilisiert wird.
Weiterleiten
