Kurzdefinition: § 31 BSIG begründet erhöhte Pflichten für Betreiber kritischer Anlagen. Sie müssen über das allgemeine Schutzniveau hinausgehende Maßnahmen ergreifen und Systeme zur Angriffserkennung einsetzen. [N-BSIG-31]
Der Normwortlaut
§ 31 Abs. 2 BSIG bestimmt: Betreiber kritischer Anlagen sind verpflichtet, „Systeme zur Angriffserkennung einzusetzen“. Diese müssen „geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten“ und dabei den Stand der Technik einhalten. [N-BSIG-31]
Welche Sonderpflichten haben KRITIS-Betreiber?
Ein erhöhtes Schutzniveau. Nach § 31 Abs. 1 BSIG gelten für die maßgeblichen Systeme kritischer Anlagen Maßnahmen, die über das Schutzniveau anderer besonders wichtiger Einrichtungen hinausgehen, als verhältnismäßig, solange der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls steht. KRITIS-Betreiber müssen also mehr leisten als der allgemeine Standard des § 30 BSIG. [N-BSIG-31] [N-BSIG-30]
Was sind Systeme zur Angriffserkennung?
Automatisierte Überwachungssysteme. Sie erfassen und werten fortlaufend Parameter aus dem laufenden Betrieb aus, um Bedrohungen zu identifizieren und zu vermeiden sowie bei Störungen geeignete Gegenmaßnahmen vorzusehen. § 31 BSIG verlangt den Stand der Technik; solche Systeme sind der Kern der erhöhten KRITIS-Anforderungen. [N-BSIG-31]
Für wen gelten die Sonderpflichten?
Für Betreiber kritischer Anlagen. Die erhöhten Pflichten treffen die Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der kritischen Anlage maßgeblich sind. Ob eine Anlage kritisch ist, richtet sich nach den einschlägigen Schwellen; erst diese Einordnung löst die Sonderpflichten aus. [N-BSIG-31]
Der allgemeine Maßstab des § 30 BSIG, an den § 31 BSIG anknüpft, kennt eigene Randregeln: Nach § 30 Absatz 7 BSIG dürfen freiwillige Meldungen der meldenden Einrichtung keine zusätzlichen Verpflichtungen auferlegen, und nach § 30 Absatz 8 BSIG können Einrichtungen branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen vorschlagen. [N-BSIG-30]
Was müssen Systeme zur Angriffserkennung leisten?
Fortlaufende Auswertung. Nach § 31 Abs. 2 BSIG müssen die Systeme geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten und dabei den Stand der Technik einhalten. Sie sollen Bedrohungen fortwährend identifizieren und vermeiden und für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorsehen. [N-BSIG-31]
Wann gelten weitergehende Maßnahmen als verhältnismäßig?
Nach dem Ausfallmaßstab. Über das allgemeine Schutzniveau hinausgehende Maßnahmen gelten als verhältnismäßig, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage steht. Die Schwere möglicher Ausfallfolgen bestimmt also das zumutbare Maß. [N-BSIG-31]
Häufige Fehlannahmen
- „KRITIS-Betreiber haben dieselben Pflichten wie andere Einrichtungen.“ Nein. § 31 BSIG verlangt ein erhöhtes Schutzniveau. [N-BSIG-31]
- „Systeme zur Angriffserkennung sind optional.“ Nein. Ihr Einsatz ist für KRITIS-Betreiber verpflichtend. [N-BSIG-31]
- „Eine einmalige Prüfung genügt.“ Nein. Die Systeme müssen kontinuierlich und automatisch auswerten. [N-BSIG-31]
- „Zusätzliche Maßnahmen sind unbegrenzt zu ergreifen.“ Nein. Über das allgemeine Schutzniveau hinausgehende Maßnahmen gelten als verhältnismäßig, wenn der Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls der kritischen Anlage steht. [N-BSIG-31]
- „Angriffserkennung heißt nur, Angriffe zu bemerken.“ Nein. Die Systeme sollen fortwährend Bedrohungen identifizieren und vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorsehen. [N-BSIG-31]
Was die Geschäftsleitung tun sollte
- Einstufung klären. Prüfen, ob eine kritische Anlage betrieben wird.
- Angriffserkennung einsetzen. Systeme zur kontinuierlichen Auswertung implementieren.
- Stand der Technik halten. Maßnahmen laufend aktualisieren.
- Verhältnismäßigkeit dokumentieren. Aufwand und Ausfallfolgen abwägen und festhalten.
Für die Geschäftsleitung
§ 31 BSIG legt Betreibern kritischer Anlagen die Latte höher: über das allgemeine Schutzniveau hinausgehende Maßnahmen und verpflichtende Systeme zur Angriffserkennung, die den Betrieb fortlaufend automatisch überwachen. Für die Geschäftsleitung von KRITIS-Betreibern ist das ein zentraler, prüfungsrelevanter Pflichtenkreis.
Quellen
- [N-BSIG-31] § 31 BSIG (Besondere Anforderungen an Betreiber kritischer Anlagen), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__31.html
- [N-BSIG-30] § 30 BSIG (Risikomanagementmaßnahmen). Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/bsig_2025/__30.html
