BSI-KritisV: Anlagenkategorien und Schwellenwerte im Überblick

Die BSI-Kritisverordnung (BSI-KritisV) beantwortet eine einzige, aber folgenreiche Frage: Welche Anlagen gelten in Deutschland als kritische Anlagen? Ihre Systematik ist überall gleich — je Sektor die kritischen Dienstleistungen, dazu Anlagenkategorien, je Kategorie ein Bemessungskriterium und ein Schwellenwert. Wird der Schwellenwert erreicht oder überschritten, ist die Anlage kritisch. Hinter fast allen Zahlen steht derselbe Regelwert: 500.000 versorgte Personen.

Das ist keine akademische Einordnung. Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von ihrer Größe als besonders wichtige Einrichtung — mit den schärfsten Pflichten, die das BSIG kennt.

Was die Verordnung regelt

Die BSI-KritisV vom 22. April 2016 ist in ihrer aktuellen Fassung eine Rechtsverordnung auf Grundlage des BSI-Gesetzes. Sie besteht aus zwölf Paragraphen und neun Anhängen:

§ 1 definiert die Grundbegriffe: „Anlage” (Betriebsstätten, ortsveränderliche Einrichtungen sowie Software und IT-Dienste, die für eine kritische Dienstleistung notwendig sind), „Versorgungsgrad” und „Schwellenwert”.
§§ 2 bis 10 benennen je Sektor die kritischen Dienstleistungen und verweisen für Anlagenkategorien und Schwellenwerte auf den jeweiligen Anhang.
Anhänge 1 bis 9 enthalten die eigentliche Substanz: Grundsätze und Fristen, die Berechnungsformeln und die Schwellenwerttabelle mit Anlagenkategorie (Spalte B), Bemessungskriterium (Spalte C) und Schwellenwert (Spalte D) — in den meisten Anhängen als Teil 3, in Anhang 9 als Teil 2.

Wichtig für die Zuordnung: Zu einer Anlage zählen alle Anlagenteile und Verfahrensschritte, die zum Betrieb notwendig sind, sowie Nebeneinrichtungen im betriebstechnischen Zusammenhang (§ 1 Abs. 2). Betreiben mehrere Personen eine Anlage gemeinsam, ist jede für die Betreiberpflichten verantwortlich.

Sektoren und kritische Dienstleistungen

Sektor	Kritische Dienstleistungen	Anhang
Energie (§ 2)	Strom-, Gas-, Kraftstoff- und Heizöl-, Fernwärmeversorgung	Anhang 1
Wasser (§ 3)	Trinkwasserversorgung, Abwasserbeseitigung	Anhang 2
Ernährung (§ 4)	Lebensmittelversorgung	Anhang 3
Informationstechnik und Telekommunikation (§ 5)	Sprach- und Datenübertragung; Datenspeicherung und -verarbeitung (Housing, IT-Hosting, Vertrauensdienste)	Anhang 4
Gesundheit (§ 6)	stationäre medizinische Versorgung; Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten (Verbrauchsgüter); Versorgung mit verschreibungspflichtigen Arzneimitteln sowie Blut- und Plasmakonzentraten; Laboratoriumsdiagnostik	Anhang 5
Finanzwesen (§ 7)	Bargeldversorgung; kartengestützter Zahlungsverkehr; konventioneller Zahlungsverkehr; Handel mit Wertpapieren und Derivaten samt Verrechnung und Abwicklung	Anhang 6
Sozialversicherung und Grundsicherung (§ 8)	Inanspruchnahme von Sozialversicherungsleistungen und von Leistungen zur Sicherung des Lebensunterhalts	Anhang 9
Transport und Verkehr (§ 9)	Personen- und Güterverkehr — in den Bereichen Luftverkehr, Eisenbahn, See- und Binnenschifffahrt, Straßenverkehr, ÖPNV und Logistik	Anhang 7
Siedlungsabfallentsorgung (§ 10)	Entsorgung von Siedlungsabfällen — Sammlung und Beförderung, Verwertung und Beseitigung	Anhang 8

Beispiele für Schwellenwerte

Die folgende Auswahl zeigt die Größenordnung. Maßgeblich ist immer der vollständige Anhang, weil viele Kategorien mehrere alternative Bemessungskriterien kennen.

Sektor	Anlagenkategorie	Bemessungskriterium	Schwellenwert
Energie	Erzeugungsanlage (Strom)	installierte Nettonennleistung	104 MW (36 MW bei Präqualifikation für Primärregelleistung; 0 MW bei kontrahierter Schwarzstartfähigkeit)
Energie	Übertragungs- oder Stromverteilernetz	entnommene Jahresarbeit	3.700 GWh/Jahr
Energie	Gasverteilernetz, Fernleitungsnetz, Gasspeicher	entnommene bzw. durchgeleitete Arbeit	5.190 GWh/Jahr
Energie	Raffinerie	erzeugter Kraftstoff	420.000 t/Jahr (Flugkraftstoff 63.750 t, Heizöl 620.000 t)
Wasser	Gewinnungs-, Aufbereitungsanlage, Verteilungssystem	Wassermenge	22 Mio. m³/Jahr
Wasser	Kanalisation, Kläranlage	angeschlossene Einwohner bzw. Ausbaugröße	500.000
Ernährung	Herstellung, Behandlung, Distribution von Lebensmitteln	hergestellte Lebensmittel	434.500 t/Jahr (Getränke 350 Mio. l/Jahr)
IT und TK	Zugangs- oder Übertragungsnetz	Teilnehmeranschlüsse bzw. Vertragspartner	100.000
IT und TK	autoritativer DNS-Server, TLD-Registry	verwaltete Domains	250.000
IT und TK	Rechenzentrum (Housing)	vertraglich vereinbarte Leistung	3,5 MW
IT und TK	Serverfarm (Hosting)	physische bzw. virtuelle Instanzen	10.000 bzw. 15.000
Gesundheit	Krankenhaus	vollstationäre Fallzahl	30.000/Jahr
Gesundheit	Apotheke, Arzneimittelvertrieb	abgegebene bzw. transportierte Packungen	4,65 Mio./Jahr
Gesundheit	Labor oder Laborinformationsverbund	Aufträge	1,5 Mio./Jahr
Finanzwesen	Autorisierungssystem Bargeld	Transaktionen	15 Mio./Jahr
Finanzwesen	Clearing- und Settlement-System	Transaktionen	18 Mio./Jahr
Transport	Passagierabfertigung an Flugplätzen	Passagiere	20 Mio./Jahr
Transport	Güterbahnhof, Zugbildungsbahnhof	ausgehende bzw. gebildete Züge	23.000/Jahr
Siedlungsabfall	thermische, mechanische oder Sortieranlage	genehmigte Behandlungskapazität Rest-/Gewerbeabfall	79.500 Mg/Jahr
Siedlungsabfall	biologische Behandlung	Bioabfall	33.500 Mg/Jahr
Sozialversicherung	Verwaltungs-, Leistungs-, Auszahlungssystem	Versicherte, Versicherungskonten oder Leistungsfälle	500.000

Quelle: BSI-KritisV, Anhänge 1 bis 9, jeweils Spalte D der Schwellenwerttabelle (Teil 3, in Anhang 9 Teil 2). Stand der Verordnung: zuletzt geändert durch Art. 3 Abs. 1 des Gesetzes vom 15. Mai 2026.

Woher die Zahlen kommen: der Regelschwellenwert

Die Verordnung erklärt ihre Zahlen selbst. Der Regelschwellenwert beträgt 500.000 versorgte Personen — daraus werden die sektorspezifischen Werte hergeleitet. Anhang 1 Teil 2 rechnet das für die Stromerzeugung vor: Bei einem Durchschnittsverbrauch von 1.815 kWh je Person und Jahr ergeben 500.000 Personen rund 908 GWh im Jahr, verteilt auf 8.760 Stunden also etwa 104 MW installierte Nettonennleistung. Im Siedlungsabfall funktioniert es genauso: 65 kg Papier, Pappe und Karton je Person und Jahr mal 500.000 ergeben 32.500 Mg.

Wer eine Zahl für plausibel oder unplausibel hält, kann die Rechnung also nachvollziehen — und für den eigenen Fall prüfen, ob das unterstellte Pro-Kopf-Maß zur eigenen Anlage passt.

Auch das KRITIS-Dachgesetz übernimmt diese Logik: Nach § 5 Abs. 2 Satz 3 KRITISDachG beträgt der Regelwert für Schwellenwerte grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner.

Wann der Status beginnt — und endet

Der Statuswechsel ist stichtagsgebunden und nicht sofortig:

Der Betreiber ermittelt den Versorgungsgrad für das zurückliegende Kalenderjahr jeweils bis zum 31. März des Folgejahres.
Erreicht oder überschreitet der Versorgungsgrad den Schwellenwert, gilt die Anlage ab dem 1. April des Folgejahres als kritische Anlage.
Unterschreitet sie den Schwellenwert, entfällt der Status ebenfalls zum 1. April des Folgejahres.
Wird der Versorgungsgrad anhand angeschlossener Haushalte ermittelt, ist der Stand zum 30. Juni des Vorjahres maßgeblich.
Mehrere Anlagen derselben Art in engem räumlichen und betrieblichen Zusammenhang gelten als gemeinsame Anlage, wenn sie zusammen den Schwellenwert erreichen. Der Zusammenhang setzt kumulativ voraus: dasselbe Betriebsgelände, gemeinsame Betriebseinrichtungen, vergleichbarer technischer Zweck und gemeinsame Leitung.

Diese Fristenlogik ist der Grund, warum die jährliche Ermittlung zum 31. März in den Regelbetrieb gehört und nicht in ein Projekt. Wer sie versäumt, merkt den Statuswechsel erst, wenn die Pflichten längst laufen.

Verhältnis zu NIS-2: warum das für die Betroffenheit zählt

Die BSI-KritisV entscheidet nicht nur über den KRITIS-Status, sondern unmittelbar über die NIS-2-Einordnung:

Folge	Grundlage
Betreiber kritischer Anlagen sind unabhängig von Mitarbeiterzahl und Umsatz besonders wichtige Einrichtung	§ 28 Abs. 1 Nr. 1 BSIG
Zusätzliche Anforderungen an die Risikomanagementmaßnahmen für kritische Anlagen	§ 31 BSIG
Zusatzangaben in der Vorfallmeldung: Art der Anlage, kritische Dienstleistung, Auswirkungen auf diese Dienstleistung	§ 32 Abs. 3 BSIG
Nachweispflicht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen — alle drei Jahre	§ 39 BSIG
Registrierung kritischer Anlagen	§ 8 KRITIS-Dachgesetz (i. V. m. § 33 Abs. 2 BSIG)

Ein 40-Personen-Wasserwerk kann damit dieselben Pflichten treffen wie einen Konzern. Umgekehrt gilt: Wer keine kritische Anlage betreibt, kann trotzdem besonders wichtige oder wichtige Einrichtung sein — dann über Sektor und Größe nach § 28 Abs. 1 Nr. 4 und Abs. 2 BSIG. Die beiden Wege in den Anwendungsbereich sind unabhängig voneinander. Wie die Größenschwellen funktionieren, erklärt unser Beitrag zu den NIS-2-Schwellenwerten; die Systematik des Gesetzes insgesamt der Beitrag zum BSI-Gesetz.

Stand: BSI-KritisV und KRITIS-Dachgesetz

Hier ändert sich gerade die Rechtsgrundlage, und der Zwischenstand ist erklärungsbedürftig.

Das KRITIS-Dachgesetz (KRITISDachG) vom 11. März 2026 ist am 17. März 2026 in Kraft getreten. Es regelt die physische Resilienz kritischer Anlagen — Zugangskontrolle, Schutz vor physischen Gefahren, Resilienzpläne — als Gegenstück zur IT-Sicherheit nach dem BSIG, und es zieht die Bestimmung kritischer Anlagen an sich: § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG ermächtigen das Bundesinnenministerium, kritische Dienstleistungen, Anlagenkategorien und Schwellenwerte künftig in einer eigenen Rechtsverordnung festzulegen. Sein Sektorenkatalog umfasst zehn Sektoren und damit einen mehr als die BSI-KritisV: zusätzlich den Weltraum.

Bis diese neue Verordnung in Kraft tritt, gilt die BSI-KritisV weiter. Das steht an zwei Stellen:

§ 12 BSI-KritisV ordnet ausdrücklich an, dass die Verordnung mit dem Inkrafttreten der Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG außer Kraft tritt — bis dahin also nicht.
§ 66 BSIG bestimmt, dass § 2 Nr. 22 und 24 sowie § 33 Abs. 2 und 5 BSIG erst anzuwenden sind, wenn diese Rechtsverordnung in Kraft getreten ist; bis dahin gelten die bisherigen Fassungen weiter.

Zum Rechtsstand dieses Beitrags am 3. September 2026 ist die neue Verordnung nicht in Kraft. Ein Entwurf des Bundesinnenministeriums liegt vor. Für Betreiber heißt das: Die Einordnung erfolgt heute weiterhin nach den Anhängen der BSI-KritisV — und der Entwurfsstand gehört auf die Wiedervorlage, weil sich Kategorien und Schwellenwerte mit der Ablösung ändern können.

Was Betreiber jetzt tun sollten

Anlagen den Kategorien zuordnen. Für jeden Standort und jedes IT-System prüfen, welcher Anlagenkategorie aus Spalte B des einschlägigen Anhangs es zuzuordnen ist — Software und IT-Dienste ausdrücklich eingeschlossen.
Versorgungsgrad berechnen und dokumentieren. Nach dem Bemessungskriterium aus Spalte C, für das zurückliegende Kalenderjahr, bis zum 31. März. Auch ein Ergebnis unterhalb der Schwelle ist ein Prüfergebnis, das Sie vorlegen können sollten.
Gemeinsame Anlagen prüfen. Vier Kriterien, kumulativ — sonst rechnen Sie sich unter die Schwelle, obwohl Sie darüber liegen.
Bei Überschreitung den 1. April im Blick behalten. Ab diesem Stichtag laufen Registrierung (drei Monate), Risikomanagement nach §§ 30 und 31 BSIG und die Nachweisfrist nach § 39 BSIG.
Ablösung durch die neue Verordnung beobachten. Sobald die Rechtsverordnung nach dem KRITIS-Dachgesetz in Kraft tritt, ist die Zuordnung neu zu prüfen.

Ob Ihr Unternehmen unabhängig vom KRITIS-Status unter NIS-2 fällt, klären Sie in zwei Minuten mit unserem kostenlosen Betroffenheits-Check. Den Gesamtrahmen erklärt der NIS-2-Überblick, die Meldeketten der Beitrag zur NIS-2-Meldepflicht.

Häufige Fragen

Was regelt die BSI-Kritisverordnung? Die BSI-KritisV bestimmt, welche Anlagen als kritische Anlagen im Sinne des BSI-Gesetzes gelten. Sie definiert je Sektor die kritischen Dienstleistungen, ordnet ihnen Anlagenkategorien zu und legt für jede Kategorie ein Bemessungskriterium und einen Schwellenwert fest. Wird der Schwellenwert erreicht oder überschritten, gilt die Anlage als kritische Anlage.

Woher kommt der Wert von 500.000? Aus dem Regelschwellenwert der Verordnung: Sie unterstellt, dass eine Anlage dann bedeutend für die Versorgung der Allgemeinheit ist, wenn sie rund 500.000 Personen versorgt. Alle sektorspezifischen Zahlen — 104 MW installierte Nettonennleistung, 22 Mio. Kubikmeter Trinkwasser, 30.000 vollstationäre Fälle — sind aus diesem Regelwert abgeleitet. Auch das KRITIS-Dachgesetz nennt in § 5 Abs. 2 grundsätzlich 500.000 zu versorgende Einwohner als Regelwert.

Ab wann gilt meine Anlage als kritische Anlage? In der Regel ab dem 1. April des Kalenderjahres, das auf das Jahr folgt, in dem der Versorgungsgrad den Schwellenwert erstmals erreicht oder überschritten hat. Den Versorgungsgrad für das zurückliegende Kalenderjahr müssen Betreiber jeweils bis zum 31. März des Folgejahres ermitteln. Sinkt der Versorgungsgrad unter den Schwellenwert, endet die Eigenschaft ebenfalls zum 1. April des Folgejahres.

Was bedeutet „kritische Anlage” für die NIS-2-Betroffenheit? Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 Nr. 1 BSIG unabhängig von ihrer Größe als besonders wichtige Einrichtung. Für sie gelten damit die schärfsten Pflichten: Risikomanagement nach §§ 30 und 31 BSIG, Meldepflichten einschließlich der Zusatzangaben nach § 32 Abs. 3 BSIG und die Nachweispflicht alle drei Jahre nach § 39 BSIG.

Gilt die BSI-KritisV nach dem KRITIS-Dachgesetz noch? Ja. Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten und sieht in § 4 Abs. 3 und § 5 Abs. 1 eine eigene Rechtsverordnung für kritische Dienstleistungen, Anlagenkategorien und Schwellenwerte vor. Solange diese Verordnung nicht in Kraft ist, gilt die BSI-KritisV weiter; § 12 BSI-KritisV regelt ihr Außerkrafttreten ausdrücklich für diesen Zeitpunkt. Zum Rechtsstand dieses Beitrags am 3. September 2026 ist die neue Verordnung nicht in Kraft.

Zählen mehrere kleine Anlagen zusammen? Ja, wenn sie in einem engen räumlichen und betrieblichen Zusammenhang stehen. Nach Anhang 1 Teil 1 Nr. 7 BSI-KritisV liegt dieser vor, wenn die Anlagen auf demselben Betriebsgelände liegen, mit gemeinsamen Betriebseinrichtungen verbunden sind, einem vergleichbaren technischen Zweck dienen und unter gemeinsamer Leitung stehen. Erreichen sie zusammen den Schwellenwert, gilt die gemeinsame Anlage als kritische Anlage.

Quellen

BSI-Kritisverordnung (BSI-KritisV) vom 22. April 2016, zuletzt geändert durch Art. 3 Abs. 1 G v. 15.05.2026 — §§ 1 bis 12 und Anhänge 1 bis 9: gesetze-im-internet.de/bsi-kritisv
BSI-Gesetz (BSIG), §§ 28, 31, 32, 33, 39, 66: gesetze-im-internet.de/bsig_2025
KRITIS-Dachgesetz (KRITISDachG) vom 11. März 2026 (BGBl. 2026 I Nr. 66), in Kraft seit 17.03.2026 — §§ 4, 5, 8: gesetze-im-internet.de/kritisdachg

Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung. Die verbindliche Einordnung einer Anlage hängt von den vollständigen Angaben des jeweiligen Anhangs ab.