IT für Kritische Infrastrukturen (KRITIS)
Verfügbar, sicher und nachweisbar. Wir bringen die IT von KRITIS-Betreibern auf das Niveau, das Gesetz und Aufsicht verlangen.
Kritische Infrastrukturen (KRITIS) sind Organisationen, deren Ausfall die Versorgung der Bevölkerung nachhaltig stören oder die öffentliche Sicherheit gefährden würde, etwa in Energie, Wasser, Gesundheit, Transport, IT und Telekommunikation. Für ihre Betreiber gelten besondere gesetzliche Pflichten, von Systemen zur Angriffserkennung über die Registrierung bis zu Nachweisen.
Was Sie davon haben
Als Betreiber kritischer Infrastrukturen tragen Sie besondere Pflichten und ein hohes Risiko. Wir liefern die komplette IT-Betreuung, von der Verfügbarkeit über die Angriffserkennung bis zum Nachweis gegenüber der Aufsicht, abgestimmt auf das IT-Sicherheitsgesetz 2.0.
Leistungsumfang
- Managed Services mit 24/7-Monitoring, Wartung und Support nach IT-Sicherheitsgesetz 2.0.
- Systeme zur Angriffserkennung (SzA) nach BSI-Vorgaben, Umsetzung und Betrieb.
- Sichere Cloud-Lösungen, Migration und Betrieb unter KRITIS-Anforderungen.
- Compliance-Management, Unterstützung bei der Einhaltung KRITIS-spezifischer Vorgaben.
- Redundante Netzinfrastruktur, Auslegung und Umsetzung für hohe Verfügbarkeit.
So arbeiten wir
- Wir erheben Schutzbedarf und regulatorische Anforderungen.
- Wir setzen Verfügbarkeit, Angriffserkennung und Compliance um.
- Wir betreiben, überwachen und liefern die Nachweise.
Häufige Fragen
Für wen gilt das?
Für Betreiber kritischer Infrastrukturen und Unternehmen mit hohen Anforderungen an Verfügbarkeit und Nachweisbarkeit.
Was ist ein System zur Angriffserkennung (SzA)?
Eine nach BSI geforderte Lösung, die Angriffe erkennt und meldet. Wir setzen sie um und betreiben sie, unter anderem mit ZephSense.
Was sind Kritische Infrastrukturen?
Organisationen, deren Ausfall die Versorgung nachhaltig stören oder die öffentliche Sicherheit gefährden würde, etwa Energie, Wasser, Gesundheit, Transport, IT und Telekommunikation. In Deutschland legt die KRITIS-Verordnung je Sektor Schwellenwerte fest.
Wer gilt als KRITIS-Betreiber?
Wer eine Anlage aus einem KRITIS-Sektor betreibt, die die Schwellenwerte der KRITIS-Verordnung erreicht, als Faustregel die Versorgung von rund 500.000 Menschen. Betreiber müssen sich registrieren und ihre Sicherheitsmaßnahmen regelmäßig nachweisen.
Was fordert NIS-2 von KRITIS-Betreibern?
Die Registrierung beim BSI, Maßnahmen zum Risikomanagement, eine strenge Meldekette bei Vorfällen (24 Stunden für die Erstmeldung, 72 Stunden für die Bewertung), Systeme zur Angriffserkennung und regelmäßige Nachweisprüfungen.
Worin unterscheiden sich KRITIS und NIS-2?
KRITIS bezeichnet die Betreiber kritischer Anlagen oberhalb bestimmter Schwellenwerte. NIS-2 ist der EU-weite Rechtsrahmen, der zusätzlich viele wichtige und besonders wichtige Einrichtungen verpflichtet. KRITIS-Betreiber behalten darin die strengsten Pflichten.
NIS-2 und KRITIS
Das deutsche NIS-2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 in Kraft. Es weitet die Pflichten zur Cybersicherheit weit über klassische KRITIS-Betreiber hinaus auf viele wichtige und besonders wichtige Einrichtungen aus. Die Registrierung beim BSI ist Pflicht, erhebliche Sicherheitsvorfälle sind binnen 24 Stunden zu melden, eine Bewertung folgt binnen 72 Stunden.
Für KRITIS-Betreiber bleiben die strengeren Regeln bestehen: Systeme zur Angriffserkennung, Registrierung und regelmäßige Nachweisprüfungen. Unser NOC und unser SOC decken den betrieblichen Teil dieser Pflichten ab, vom Monitoring bis zur Meldekette. Ob und wie Ihr Haus betroffen ist, klärt sich am schnellsten in einem kurzen Gespräch.
Unsere NIS-2-Seite erklärt Pflichten, Fristen und den Weg aus dem Registrierungs-Verzug im Einzelnen.