KRITIS Sektor-Steckbrief: Informationstechnik & Telekommunikation
Telekommunikation
Rechenzentren & Hosting
Internet-Infrastruktur
Vertrauensdienste
Bin ich betroffen? (Schwellenwerte)
Der Regelschwellenwert: Auch hier gilt primär die logische Orientierung an der Versorgung von mindestens 500.000 Personen. Da IT-Infrastrukturen jedoch anders skalieren, sind die technischen Schwellenwerte in der BSI-KritisV sehr präzise definiert:
Berechnungsbeispiele (laut BSI-KritisV):
Rechenzentren: Anlagen mit einer vertraglich vereinbarten IT-Anschlussleistung von mehr als 3,5 MW (Megawatt).
Serverfarmen / Cloud-Anbieter: Bereitstellung von mehr als 10.000 physischen oder mehr als 15.000 virtuellen Serverinstanzen.
Internet-Knotenpunkte (IXP): Ein Peering-Knotenpunkt gilt als kritisch, wenn mehr als 100 autonome Systeme (AS) angeschlossen sind.
Top-Level-Domain-Registries (z. B. DENIC): Verwaltung von mehr als 250.000 registrierten Domains.
Content Delivery Networks (CDNs): Verteilung eines jährlichen Datenvolumens von mehr als 75 Petabyte (PB).
Telekommunikationsnetze: Netze, die für den Anschluss von mehr als 100.000 Teilnehmern (Festnetz/Mobilfunk) ausgelegt sind.
Wer ist meine Aufsichtsbehörde?
BNetzA (Bundesnetzagentur): Die primäre fachliche Regulierungsbehörde für den Bereich der Telekommunikation (Überwachung des TKG und sektorspezifischer Sicherheitsanforderungen).
BSI (Bundesamt für Sicherheit in der Informationstechnik): Die zentrale und direkt weisungsbefugte Cyber-Sicherheitsbehörde für alle IT-Infrastrukturen, Rechenzentren und Vertrauensdienste sowie die zentrale Meldestelle für IT-Vorfälle.
BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe): Zuständig für die physische Resilienz (Vorgaben des KRITIS-Dachgesetzes), insbesondere zum Schutz von Kernrechenzentren, Netzknoten und wichtigen Kabeltrassen.
Maßnahmen & Pflichten (IT vs. Physisch)
Informationssicherheit (§ 30/31 BSIG & § 165 TKG): Dieser Sektor unterliegt den weltweit strengsten IT-Auflagen. Verpflichtende Zertifizierung nach ISO/IEC 27001 (oft ergänzt durch ISO 27002/27017 für Cloud-Dienste). Absoluter Zwang zum Einsatz hochmoderner Systeme zur Angriffserkennung (SZA) an allen Netzgrenzen. Nachweis-Audits müssen zwingend alle 2 Jahre erbracht werden.
Physische Resilienz (§ 13 KRITIS-DachG): All-Gefahren-Ansatz: Schutz vor Sabotage (z. B. gezieltes Kappen von Glasfasertrassen), Spionage, Cyber-physischen Angriffen und Extremwetter (Überhitzung durch Dürreperioden/Ausfall von Kühlsystemen oder Überflutung von Serverräumen). Konkrete Schutzmaßnahmen: Höchste Sicherheitszonen-Architektur für Rechenzentren (biometrische 2-Faktor-Zutrittskontrollen, Vereinzelungsanlagen), seismischer Schutz vor Erdbeben, weitreichende Geo-Redundanz (Spiegelung kritischer Daten über große Distanzen hinweg) und redundante, autarke Kühlsysteme gekoppelt mit massiven Notstrom-Netzersatzanlagen (USV und Dieselgeneratoren für mindestens 72 Stunden Dauerbetrieb).
Fristen & Sanktionen 2026
Registrierung: Unverzüglich (spätestens binnen 3 Monaten) nach Erreichen eines Schwellenwerts über das Portal von BSI und BBK, frühestens ab dem 17. Juli 2026.
Risikoanalysen: Physische Risikoanalysen und Einreichung des Resilienzplans alle 4 Jahre (IT-Risikoanalysen nach BSIG/NIS-2 erfolgen fortlaufend).
Strafen: Da IT & TK den absoluten “Kernsektor” im NIS-2-Regime bildet, drohen bei gravierenden Pflichtverletzungen (z. B. mangelhaftes Risiko- oder Vorfallmanagement) existenzbedrohende Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Gesamtjahresumsatzes des gesamten Konzerns.
Haftung: Die Vorstände, Geschäftsführer und IT-Leiter haftet bei schuldhafter Verletzung der Überwachungs- und Absicherungspflichten persönlich, direkt und unbeschränkbar mit ihrem Privatvermögen. Der Verzicht des Unternehmens auf Regressansprüche gegenüber der eigenen Führungsebene ist gesetzlich ausdrücklich untersagt.