Was ist der Unterschied zwischen KRITIS-Kernbetreibern und sonstigen Betreibern?

Michael Schenkelberg · 27 Sep. 2026

Der Unterschied zwischen KRITIS-Kernbetreibern und sonstigen Betreibern liegt in der Größe und Bedeutung der betriebenen Anlage: Kernbetreiber überschreiten bestimmte Schwellenwerte und tragen damit eine besonders hohe gesellschaftliche Relevanz. Sie unterliegen deutlich strengeren Pflichten nach dem KRITIS-Dachgesetz als sonstige Betreiber, die ebenfalls reguliert sind, aber einen reduzierten Anforderungskatalog erfüllen müssen. Die folgenden Abschnitte erklären, was das konkret bedeutet und worauf Sie als Betreiber achten sollten.

Welche Kriterien entscheiden über die Einstufung als Kernbetreiber?

Als KRITIS-Kernbetreiber gilt, wer eine kritische Anlage betreibt, die einen bestimmten Schwellenwert überschreitet und damit als besonders bedeutsam für die Versorgung der Bevölkerung eingestuft wird. Maßgeblich ist dabei nicht die Unternehmensgröße insgesamt, sondern die tatsächliche Versorgungsrelevanz der einzelnen Anlage.

Das KRITIS-Dachgesetz unterscheidet zwischen zwei Betreiberkategorien: Kernbetreiber auf der einen Seite und sonstige Betreiber auf der anderen. Die Einstufung hängt von sektorspezifischen Schwellenwerten ab, die die Bundesregierung in Rechtsverordnungen festlegt. Diese Schwellenwerte orientieren sich daran, wie viele Menschen von der jeweiligen Anlage abhängig sind, also zum Beispiel bei der Wasserversorgung an der Anzahl versorgter Einwohner oder bei der Energieversorgung an der eingespeisten Leistung.

Wichtig zu verstehen ist: Ein Unternehmen kann gleichzeitig mehrere Anlagen betreiben, von denen einige als kritische Anlagen gelten und andere nicht. Maßgeblich ist immer die einzelne Anlage, nicht das gesamte Unternehmen. Wer also mehrere Standorte betreibt, muss jeden davon separat prüfen.

Die Sektoren, die unter das KRITIS-Dachgesetz fallen, sind unter anderem Energie, Wasser, Verkehr, Gesundheit, Ernährung und digitale Infrastruktur. Innerhalb dieser Sektoren gibt es wiederum Teilsektoren und Anlagenkategorien, für die jeweils eigene Schwellenwerte gelten. Eine erste Orientierung zur Betroffenheit bietet unser KRITIS-Betroffenheitsrechner, mit dem Sie schnell einschätzen können, ob Ihre Anlage möglicherweise unter die Regulierung fällt.

Welche Pflichten gelten ausschließlich für KRITIS-Kernbetreiber?

KRITIS-Kernbetreiber unterliegen einem deutlich umfangreicheren Pflichtenkatalog als sonstige Betreiber. Zu den Pflichten, die ausschließlich für Kernbetreiber gelten, gehören unter anderem die Registrierungspflicht beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), die Erstellung und Umsetzung von Resilienzplänen sowie die Durchführung und Dokumentation eines strukturierten Risikomanagementprozesses.

Im Einzelnen umfasst das für Kernbetreiber folgende Anforderungen:

Registrierung beim BBK: Kernbetreiber müssen sich innerhalb festgelegter Fristen beim BBK registrieren und eine Kontaktstelle benennen.
Risikoanalyse und Risikobewertung: Sie sind verpflichtet, systematisch Risiken für ihre kritischen Anlagen zu identifizieren, zu bewerten und mit bestehenden Schutzmaßnahmen abzugleichen.
Resilienzpläne: Auf Basis der Risikoanalyse müssen Kernbetreiber konkrete Maßnahmen zur Stärkung der physischen Widerstandsfähigkeit ihrer Anlagen planen und dokumentieren.
Meldepflichten: Sicherheitsrelevante Vorfälle müssen gemeldet werden, auch wenn kein tatsächlicher Schaden entstanden ist.
Überprüfung der Maßnahmen: Die umgesetzten Sicherheitsmaßnahmen müssen regelmäßig überprüft und bei Bedarf angepasst werden.

Der Risikomanagementprozess steht dabei im Mittelpunkt: Risiken erkennen, bewerten, vorhandene Maßnahmen einbeziehen und anschließend gezielte technische oder organisatorische Lösungen planen. Das ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess.

Welche Anforderungen müssen sonstige Betreiber erfüllen?

Sonstige Betreiber sind Unternehmen und Einrichtungen, die zwar kritische Anlagen betreiben, aber die Schwellenwerte für Kernbetreiber nicht erreichen. Sie unterliegen ebenfalls dem KRITIS-Dachgesetz, jedoch mit einem reduzierten Anforderungskatalog. Im Wesentlichen müssen sie grundlegende Sicherheits- und Resilienzstandards einhalten, ohne alle Pflichten der Kernbetreiber erfüllen zu müssen.

Konkret bedeutet das für sonstige Betreiber:

Sie müssen angemessene technische und organisatorische Maßnahmen zum Schutz ihrer Anlagen treffen.
Eine Registrierung beim BBK ist in der Regel nicht verpflichtend, kann aber je nach Sektor und Rechtsverordnung vorgeschrieben sein.
Die Pflicht zur Erstellung vollständiger Resilienzpläne entfällt in dieser Form, grundlegende Notfallvorsorge ist aber dennoch erforderlich.
Meldepflichten können in abgeschwächter Form gelten, abhängig vom jeweiligen Sektor.

Wichtig: Auch wenn die Anforderungen für sonstige Betreiber geringer sind, bedeutet das nicht, dass Sicherheit optional ist. Das Gesetz erwartet in jedem Fall ein Mindestmaß an Schutzmaßnahmen und Vorsorge. Wer als sonstiger Betreiber eingestuft ist, sollte die eigene Situation regelmäßig neu bewerten, da sich Schwellenwerte und Rechtsverordnungen ändern können.

Was passiert, wenn ein Betreiber falsch eingestuft wird?

Wird ein Betreiber falsch eingestuft, also entweder als sonstiger Betreiber behandelt, obwohl er Kernbetreiber ist, oder umgekehrt, kann das rechtliche und operative Konsequenzen haben. Wer als Kernbetreiber einzustufen ist, aber die entsprechenden Pflichten nicht erfüllt, riskiert Bußgelder und behördliche Maßnahmen.

Das KRITIS-Dachgesetz sieht Sanktionen für Verstöße gegen die Betreiberpflichten vor. Dazu gehören Bußgelder, aber auch die Möglichkeit, dass Behörden Maßnahmen anordnen, wenn Sicherheitslücken festgestellt werden. Besonders problematisch ist eine falsche Einstufung dann, wenn ein Vorfall eintritt und im Nachhinein festgestellt wird, dass die gesetzlich vorgeschriebenen Maßnahmen nicht umgesetzt waren.

Umgekehrt kann eine zu strenge Selbsteinstufung zwar keinen rechtlichen Schaden verursachen, bedeutet aber unnötigen Aufwand und Ressourceneinsatz. Das zeigt: Eine sorgfältige und fundierte Prüfung der eigenen Einstufung ist keine Formalität, sondern eine operative Notwendigkeit.

Hinzu kommt, dass die zuständigen Behörden selbst prüfen können, ob ein Betreiber korrekt eingestuft ist. Wer dabei Fehler macht, muss das nicht nur korrigieren, sondern kann auch für den Zeitraum der fehlerhaften Einstufung zur Rechenschaft gezogen werden.

Wie sollten Betreiber ihre Einstufung praktisch überprüfen?

Betreiber sollten ihre Einstufung anhand der sektorspezifischen Schwellenwerte prüfen, die in den Rechtsverordnungen zum KRITIS-Dachgesetz festgelegt sind. Der praktische Ausgangspunkt ist die Frage: Welche meiner Anlagen erbringen Dienstleistungen in einem der regulierten Sektoren, und überschreiten sie die relevanten Schwellenwerte?

Eine strukturierte Prüfung läuft in der Regel in diesen Schritten ab:

Sektorzuordnung klären: Prüfen Sie, ob Ihre Anlage einem der regulierten Sektoren des KRITIS-Dachgesetzes zuzuordnen ist.
Schwellenwerte ermitteln: Recherchieren Sie die geltenden Schwellenwerte für Ihren Sektor und Teilsektor in den entsprechenden Rechtsverordnungen.
Anlage bewerten: Messen Sie Ihre Anlage an diesen Schwellenwerten, zum Beispiel anhand von Versorgungsmengen, Einwohnerzahlen oder Kapazitäten.
Ergebnis dokumentieren: Halten Sie Ihre Prüfung und das Ergebnis schriftlich fest, damit Sie bei Nachfragen der Behörden Auskunft geben können.
Regelmäßig wiederholen: Überprüfen Sie Ihre Einstufung erneut, wenn sich die Anlage verändert oder neue Rechtsverordnungen in Kraft treten.

Als erste Orientierung können Sie unseren KRITIS-Betroffenheitsrechner nutzen, der Ihnen hilft, schnell einzuschätzen, ob Ihre Anlage möglicherweise unter die Regulierung fällt. Für eine rechtssichere und vollständige Prüfung empfiehlt sich jedoch eine fachkundige Begleitung, da die Rechtsverordnungen komplex sind und die Einstufung im Einzelfall von mehreren Faktoren abhängt.

Wie wir Sie bei der KRITIS-Einstufung unterstützen

Die Unterscheidung zwischen KRITIS-Kernbetreibern und sonstigen Betreibern hat direkte Auswirkungen auf Ihre Pflichten, Ihren Planungsaufwand und Ihre Haftung. Wir helfen Ihnen dabei, Ihre Situation klar einzuschätzen und die richtigen Maßnahmen zu treffen. Konkret unterstützen wir Sie mit:

Strukturierter Risikoanalyse auf Basis anerkannter Normen wie DIN ISO 31000, um Risiken Ihrer Anlage systematisch zu identifizieren und zu bewerten
Prüfung Ihrer Betroffenheit nach dem KRITIS-Dachgesetz, einschließlich Sektorzuordnung und Schwellenwertanalyse
Entwicklung passender Sicherheitsmaßnahmen, technischer Schutzkonzepte und organisatorischer Regelungen, abgestimmt auf Ihre Anlage und Ihren Betrieb
Fachplanung technischer Systeme, zum Beispiel stille Alarmierung oder Notfall- und Gefahrenreaktionssysteme, auch in Bestandsgebäuden
Begleitung bei der Umsetzung, von der ersten Analyse bis zur dokumentierten Maßnahme

Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen mit und ist zertifizierter Notfall- und Krisenmanager des BdSI sowie aktives Mitglied in nationalen und internationalen Normungsausschüssen. Wenn Sie wissen möchten, wie Ihre Anlage einzustufen ist und was das für Sie bedeutet, nehmen Sie Kontakt auf und sprechen Sie direkt mit uns.

Michael Schenkelberg