Die KRITIS-Verordnung 2026: Gemeinsam neue Wege in der Resilienz gehen

Die KRITIS-Verordnung 2026: Was sich für Ihr Unternehmen ändert

Die geplante KRITIS-Verordnung 2026 verändert die Regulierung kritischer Infrastrukturen in Deutschland grundlegend. Für Unternehmen der Gesundheitswirtschaft bedeutet das mehr als eine reine Fortschreibung bestehender Regeln. Der Fokus verschiebt sich: weg von der reinen IT-Sicherheit hin zur Versorgungssicherheit und Resilienz insgesamt. Die bisherige BSI-Kritisverordnung legte vor allem fest, welche Betreiber besondere IT-Sicherheitsanforderungen erfüllen müssen. Die neue Verordnung denkt physische, organisatorische und systemische Aspekte zusammen.

Eine Veränderung wirkt zunächst unauffällig, hat aber große Konsequenzen: Die Definition kritischer Dienstleistungen wächst und blickt nun auf ganze Wertschöpfungsketten, nicht nur auf Endleistungen. Im Gesundheitssektor standen bisher vor allem Krankenhäuser, pharmazeutische Hersteller, Labore und Apotheken im Fokus. Künftig reicht der Blick deutlich weiter in die Lieferkette zurück. Auch versorgungsrelevante Wirkstoffe, Impfstoffe, die zugehörigen Produktionsprozesse und sogar Forschungs- und Entwicklungsaktivitäten gelten jetzt als kritisch.

Damit öffnet sich der Kreis der betroffenen Unternehmen deutlich. Hersteller von Wirkstoffen, spezialisierte Chemieunternehmen und Produzenten von Arzneimittel-Ausgangsstoffen rücken stärker in den Fokus und gelten künftig häufiger als Betreiber kritischer Anlagen. Auch Biotechnologieunternehmen und Forschungseinrichtungen übernehmen eine systemrelevante Rolle, sobald sie neue Therapien oder Impfstoffe entwickeln. F&E-Tätigkeiten zählen damit erstmals ausdrücklich zur kritischen Infrastruktur – ein Schritt, der den regulatorischen Rahmen deutlich in Richtung innovationsgetriebener Unternehmen öffnet.

Auch entlang der weiteren Wertschöpfungskette entstehen neue Berührungspunkte mit dem Gesetz. Logistikunternehmen, die Arzneimittel oder Medizinprodukte verteilen, fallen künftig in den Anwendungsbereich, wenn ihre Leistungen für die Versorgung großer Bevölkerungsgruppen relevant sind. Gleiches gilt für Betreiber zentraler IT-Systeme im Gesundheitswesen, etwa Laborinformationssysteme oder Plattformen zur Steuerung von Lieferketten. Die neue Verordnung fragt weniger danach, was für ein Unternehmen vorliegt, und mehr danach, welche Bedeutung es für das Gesamtsystem hat.

Die Methodik bleibt dabei formal gleich: Sektoren, Dienstleistungen, Anlagenkategorien und Schwellenwerte bestimmen weiterhin, welche Anlagen als kritisch gelten – meist orientiert an der Versorgung von rund 500.000 Personen. Entscheidend ist aber: Die neuen Kategorien und die breitere Definition führen dazu, dass deutlich mehr Unternehmen diese Schwellen erreichen. Die eigentliche Wirkung liegt also nicht in der Methodik selbst, sondern in ihrer erweiterten Anwendung.

Höhere Anforderungen – und wie Sie den Weg dorthin gestalten

Für betroffene Unternehmen steigen die Anforderungen spürbar. Die wichtigste Veränderung: Der Blick weitet sich vom IT-zentrierten Sicherheitsverständnis zu einem umfassenden Resilienzansatz. Unternehmen sichern künftig nicht nur ihre IT-Systeme gegen Angriffe ab, sondern stellen auch sicher, dass die gesamte Organisation erhebliche Störungen bewältigt und die Versorgung aufrechterhält. Dazu zählen ausdrücklich Risiken wie Lieferkettenunterbrechungen, Energieausfälle, Naturkatastrophen oder pandemiebedingte Einschränkungen.

Ein zentraler Baustein dabei: verpflichtende Risikoanalysen, die deutlich über bisherige Anforderungen hinausgehen. Statt nur IT-Risiken zu betrachten, analysieren Unternehmen nun systematisch alle relevanten Gefahren für ihre Betriebsfähigkeit und ihre Rolle in der Versorgung. Diese Analysen aktualisieren sie kontinuierlich und überführen sie in konkrete Maßnahmen. Das Risikomanagement gewinnt damit eine strategische Bedeutung, die weit über klassische Compliance-Aufgaben hinausreicht.

Darauf bauen konkrete Resilienzmaßnahmen auf: der Aufbau von Redundanzen in Produktion und IT, die Diversifizierung von Lieferketten, ausreichende Lagerbestände sowie belastbare Notfall- und Krisenpläne. Entscheidend dabei: Diese Maßnahmen dürfen nicht nur auf dem Papier existieren – sie müssen im Krisenfall tatsächlich den Weiterbetrieb sichern. Die regulatorische Erwartung verschiebt sich damit klar in Richtung operativer Wirksamkeit.

Auch die Meldepflichten wachsen. Künftig melden Unternehmen nicht mehr nur IT-Sicherheitsvorfälle, sondern alle erheblichen Störungen der Versorgung – etwa Produktionsausfälle, Engpässe bei kritischen Gütern oder den Ausfall zentraler Dienstleistungen. Unternehmen müssen solche Ereignisse also schnell erkennen, korrekt bewerten und fristgerecht melden.

Prüfungen im Wandel: Resilienz als Maßstab

Diese neuen Anforderungen prägen auch die künftigen KRITIS-Prüfungen. Prüfer schauen nicht mehr nur auf IT-Sicherheitsmaßnahmen, sondern auf die gesamte Resilienzfähigkeit eines Unternehmens. Neben klassischen Themen wie Informationssicherheitsmanagementsystemen und technischen Schutzmaßnahmen rücken operative Themen wie Produktionssicherheit, Lieferkettenstabilität und Krisenmanagement in den Vordergrund. Unternehmen müssen künftig nachweisen, dass sie Abhängigkeiten von einzelnen Lieferanten kennen und Alternativen etabliert haben, dass sie Notfallpläne testen und im Krisenfall klare Entscheidungs- und Kommunikationsstrukturen nutzen.

Gleichzeitig steigen die Anforderungen an Dokumentation und Nachweisführung. Es reicht künftig nicht mehr, formale Vorgaben zu erfüllen – Unternehmen müssen die Wirksamkeit ihrer Maßnahmen belegen, etwa durch durchgeführte Übungen, getestete Notfallprozesse und regelmäßig aktualisierte Risikoanalysen. Die Prüfungen entwickeln sich damit von einer formalen Compliance-Kontrolle zu einer Bewertung der tatsächlichen betrieblichen Resilienz.

Hinzu kommt: Die KRITIS-Verordnung steht nicht für sich allein, sondern verbindet sich eng mit europäischen Vorgaben wie der CER-Richtlinie und der NIS-2-Richtlinie. Unternehmen müssen ihre Compliance-Strukturen daher stärker zusammendenken: IT-Sicherheit, physische Sicherheit, Risikomanagement und Business Continuity gehören in einen gemeinsamen Steuerungsansatz.

Was das für Ihr Unternehmen heißt

Die neue KRITIS-Verordnung geht weit über technische Regulierung hinaus. Sie zwingt Unternehmen dazu, ihre Rolle im Versorgungssystem neu zu denken und Resilienz als strategische Fähigkeit aufzubauen. Besonders in der Gesundheitswirtschaft betrifft das längst nicht mehr nur klassische Leistungserbringer wie Krankenhäuser, sondern zunehmend auch industrielle, logistische und forschungsnahe Akteure.

Prüfen Sie frühzeitig, ob und in welchem Umfang Ihr Unternehmen künftig unter die KRITIS-Verordnung fällt, und bauen Sie rechtzeitig die nötigen organisatorischen und technischen Fähigkeiten auf.

Sprechen Sie uns gerne an – wir unterstützen Sie dabei, die richtigen nächsten Schritte zu finden.

Aus dem Newsletter
„Gesundheits- und Sozialwirtschaft“ Hier Newsletter
abonnieren