KRITIS Sektor-Steckbrief: Finanzwesen
Kreditinstitute
Bargeldversorgung
Zahlungsverkehr
Finanzmarktinfrastrukturen
Bin ich betroffen? (Schwellenwerte)
Der Regelschwellenwert: Die Versorgung von mindestens 500.000 Personen.
Berechnungsbeispiele (laut BSI-KritisV): Die Werte berechnen sich aus den durchschnittlichen Transaktionen oder Volumina, die auf 500.000 Einwohner im Jahr entfallen:
Bargeldversorgung: Mehr als 15 Millionen Transaktionen/Jahr an den betriebenen Geldautomaten (berechnet auf Basis von statistisch 30 Abhebungen pro Person/Jahr).
Konventioneller Zahlungsverkehr: Mehr als 100 Millionen Transaktionen/Jahr (Überweisungen/Lastschriften).
Kartengestützter Zahlungsverkehr: Mehr als 110 Millionen Transaktionen/Jahr (Kartenabrechnungen/Autorisierungen).
Girokonten (Kontoführung): Banken, die mehr als 500.000 aktiv geführte Konten im System haben.
Wer ist meine Aufsichtsbehörde?
BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht): Die primäre fachliche Aufsichtsbehörde für alle Finanzinstitute. Sie überwacht sowohl die finanzielle Stabilität als auch die Einhaltung von DORA.
Deutsche Bundesbank: Als Partner der BaFin involviert in die Überwachung von Zahlungsverkehrssystemen und der Bargeldversorgung.
BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe): Zuständig für die physische Resilienz (Vorgaben des KRITIS-Dachgesetzes, z. B. physischer Schutz von Zentralrechenzentren oder Bargelddepots), arbeitet hierbei eng mit der BaFin zusammen.
BSI (Bundesamt für Sicherheit in der Informationstechnik): Technischer Berater. Achtung bei Vorfällen: Schwerwiegende IT-Vorfälle werden von DORA-regulierten Instituten primär an die BaFin gemeldet, die die Daten an das BSI weitergibt.
Maßnahmen & Pflichten (IT vs. Physisch)
Digitale/Informationssicherheit (nach DORA): VollumfänglichesIKT-Risikomanagement (Informations- und Kommunikationstechnologie). Pflicht zur Durchführung von Bedrohungsorientierten Penetrationstests (TLPT / Threat-Led Penetration Testing), Überwachung von Drittanbieter-Risiken (IT-Dienstleister der Banken) und Etablierung eines strikten IKT-Vorfallsmeldewesens.
Physische Resilienz (§ 13 KRITIS-DachG): All-Gefahren-Ansatz: Schutz kritischer physischer Knotenpunkte vor Sabotage, Terrorismus, Einbruch und Naturkatastrophen (z. B. Schutz von Kernrechenzentren vor Überflutung). Konkrete Schutzmaßnahmen: Hochgradiger Perimeterschutz für Rechenzentren und Bargeldlager (biometrische Zugangskontrollen, lückenlose Videoüberwachung), geografisch redundante Spiegelrechenzentren (Geo-Redundanz) zur Business Continuity und unterbrechungsfreie Stromversorgungsanlagen (USV/Netzersatz), um den digitalen Handel und Zahlungsverkehr auch bei Blackouts fortzuführen.
Fristen & Sanktionen 2026
Registrierung: Nach den Regelungen des KRITIS-Dachgesetzes (DachG) und der aktualisierten KritisV innerhalb von 3 Monaten nach Feststellung des Status als kritische Anlage über das gemeinsame Meldeportal.
Risikoanalysen: Physische Risikoanalysen und Fortschreibung des Resilienzplans alle 4 Jahre (digitale IKT-Risikoanalysen nach DORA erfolgen ohnehin fortlaufend/jährlich).
Strafen: Bei physischen Verstößen gegen das KRITIS-Dachgesetz drohen Bußgelder bis zu 500.000 € (nach jüngsten Verschärfungen im parlamentarischen Verfahren in Einzelfällen bis zu 1 Mio. €). Bei schweren Verstößen gegen die digitalen Vorgaben (DORA) kann die BaFin empfindliche Umsatzstrafen gegen das Institut verhängen.
Haftung: Vorstände und Geschäftsführer von Banken und Finanzinstituten unterliegen einer extrem strengen persönlichen Haftung mit ihrem Privatvermögen. Geschäftsleiter müssen die Umsetzung der Resilienzmaßnahmen aktiv organisieren und überwachen – eine Delegation der Letztverantwortung ist rechtlich ausgeschlossen.