Kurzdefinition: Eine kritische Anlage ist nach § 2 Nr. 22 BSIG eine Anlage im Sinne des § 2 Nr. 3 des KRITIS-Dachgesetzes. Der Begriff verknüpft das BSIG mit dem KRITIS-Dachgesetz: Wer eine kritische Anlage betreibt, gilt nach § 28 Abs. 1 BSIG grundsätzlich als besonders wichtige Einrichtung; die KRITIS-spezifischen Nachweispflichten ergeben sich aus § 39 BSIG und sind mit ihren Ausnahmen zu prüfen. [N-BSIG-2] [N-BSIG-28] [N-BSIG-39]
Der Normwortlaut
§ 2 Nr. 22 BSIG lautet amtlich: „‚kritische Anlage‘ eine Anlage im Sinne des § 2 Nummer 3 des KRITIS-Dachgesetzes“. Die eigentliche Legaldefinition der kritischen Anlage liegt damit nicht im BSIG selbst, sondern im KRITIS-Dachgesetz. [N-BSIG-2]
Was sind kritische Anlagen?
Welche Anlagen konkret kritische Anlagen sind, entscheidet sich im KRITIS-Dachgesetz und in den dortigen Schwellenwerten — nicht im BSIG. Das BSIG übernimmt diesen Begriff nur über § 2 Nr. 22 und knüpft daran eigene Rechtsfolgen. [N-BSIG-2]
Was ist der Unterschied zwischen kritischer Anlage und Betreiber kritischer Anlagen?
Ein wichtiger, oft übersehener. Die kritische Anlage ist die Anlage selbst (§ 2 Nr. 22 BSIG, verweisend auf § 2 Nr. 3 KRITIS-DachG). Der Betreiber kritischer Anlagen ist die dahinterstehende Person oder das Unternehmen; seine Definition steht in § 2 Nr. 1 des KRITIS-Dachgesetzes. Das BSIG knüpft die Folgepflichten an den Betreiber, nicht an die Anlage als solche; die Betreiberdefinition selbst liegt im KRITIS-DachG. [N-BSIG-2] [N-BSIG-28]
Welche Folgen hat der Betrieb einer kritischen Anlage?
Der Betreiber gilt nach § 28 Abs. 1 Nr. 1 BSIG grundsätzlich als besonders wichtige Einrichtung. Damit können ihn insbesondere die Risikomanagementmaßnahmen nach § 30 BSIG und die Meldepflicht nach § 32 BSIG treffen, soweit keine Ausnahme greift. Zusätzlich kann § 39 BSIG eine KRITIS-spezifische Nachweispflicht auslösen: Die Umsetzung der Maßnahmen ist dann alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen; § 39 Abs. 4 BSIG bleibt als Ausnahme gesondert zu prüfen. [N-BSIG-28] [N-BSIG-39]
Häufige Fehlannahmen
- „Kritische Anlage und kritische Infrastruktur sind identisch mit NIS-2.“ Nein. Die kritische Anlage stammt aus dem KRITIS-Dachgesetz; NIS-2 und BSIG knüpfen daran an, sind aber ein eigenes Regime. [N-BSIG-2]
- „Die Definition der kritischen Anlage steht im BSIG.“ Nein. § 2 Nr. 22 BSIG verweist auf § 2 Nr. 3 des KRITIS-Dachgesetzes. [N-BSIG-2]
- „Anlage und Betreiber sind dasselbe.“ Nein. Die Pflichten des BSIG treffen den Betreiber (§ 2 Nr. 1 KRITIS-DachG), nicht die Anlage. [N-BSIG-2]
- „Kritisch ist eine Anlage schon ab dem ersten versorgten Kunden.“ Nein. Ob eine Anlage kritisch ist, richtet sich nach den Anlagenkategorien und Schwellenwerten der KRITIS-Verordnung. [N-BSIG-28]
- „Nur eine einzelne große Anlage kann kritisch sein.“ Nein. Mehrere Anlagen derselben Art in engem räumlichen und betrieblichen Zusammenhang können als gemeinsame Anlage zusammen den Schwellenwert erreichen. [N-BSIG-28]
Was die Geschäftsleitung tun sollte
- KRITIS-Dachgesetz prüfen. Ob eine Anlage kritisch ist, entscheidet sich dort, nicht im BSIG.
- Betreiberrolle klären. Die BSIG-Pflichten knüpfen an den Betreiber an.
- Nachweiszyklus planen. § 39 BSIG verlangt den Nachweis alle drei Jahre, soweit seine Ausnahme nicht greift.
- Schwellenwerte im Blick behalten. Sie können sich ändern und die Einstufung auslösen oder beenden.
Für die Geschäftsleitung
Die kritische Anlage ist der Begriff, an dem sich entscheidet, ob ein Unternehmen in die höchste NIS-2-Kategorie fällt. Er ist ein Brückenbegriff: definiert im KRITIS-Dachgesetz, mit Rechtsfolgen im BSIG. Wer eine kritische Anlage betreibt, kann dadurch besonders wichtige Einrichtung mit KRITIS-spezifischer Nachweispflicht werden; Bereichs- und Ausnahmeregeln bleiben zu prüfen. Die Prüfung beginnt deshalb im KRITIS-Dachgesetz — und endet bei den Pflichten des BSIG.
Quellen
- [N-BSIG-2] § 2 BSIG (Begriffsbestimmungen), Nr. 22 (kritische Anlage). Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__2.html
- [N-BSIG-28] § 28 BSIG (Besonders wichtige Einrichtungen und wichtige Einrichtungen), Abs. 1 Nr. 1. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__28.html
- [N-BSIG-39] § 39 BSIG (Nachweispflichten für Betreiber kritischer Anlagen), Abs. 1 und Abs. 4. Geltende Fassung, Stand 10. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__39.html
