Overslaan naar inhoud 
Stand: 10/2026
Kort uitgelegd
KRITIS staat voor kritieke infrastructuren, oftewel organisaties en voorzieningen waarvan het uitvallen tot aanzienlijke leveringstekorten of gevaren voor de openbare veiligheid zou leiden. Daartoe behoren bijvoorbeeld energie- en watervoorzieners, ziekenhuizen, banken of telecomaanbieders. Exploitanten van kritieke installaties zijn in Duitsland onderworpen aan bijzonder strenge verplichtingen voor IT-beveiliging en veerkracht – ook bij de omgang met uit gebruik genomen hardware.
Welke regels gelden voor KRITIS?
De IT-beveiliging van kritieke infrastructuren wordt geregeld in de BSI-wet (BSIG). Deze is herzien door de NIS2-implementatiewet; de nieuwe versie geldt sinds 6 december 2025. Exploitanten van kritieke installaties gelden daarna ongeacht hun omvang als bijzonder belangrijke entiteiten. Zij moeten zich bij het BSI registreren, beveiligingsincidenten melden en passende maatregelen volgens de stand van de techniek uitvoeren. Meer hierover in het artikel NIS2.
Sinds 17 maart 2026 regelt daarnaast de KRITIS-Dachgesetz de fysieke veerkracht, dus de bescherming tegen gevaren zoals sabotage, natuurverschijnselen of stroomuitval. Exploitanten registreren zich hiervoor bij het Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), stellen risicoanalyses en veerkrachtplannen op. Welke installaties als kritiek gelden, wordt bepaald door drempelwaarden in rechtsverordeningen. Dit artikel vervangt geen juridisch advies.
Wat KRITIS betekent voor het uit gebruik nemen van IT
Bij KRITIS-exploitanten bevatten uit gebruik genomen servers, besturingscomputers of laptops vaak netwerkschema's, toegangsgegevens en configuraties. Komen ze in verkeerde handen, dan kan dat de installatie zelf in gevaar brengen. Het uit gebruik nemen hoort daarom thuis in het beveiligingsconcept: met een hoge of zeer hoge Beveiliging nodig, een sluitende bewaarketen en bewijzen per gegevensdrager. Second IT haalt hardware verzegeld op in directe ritten, wist met Blancco en vernietigt niet te wissen gegevensdragers in eigen huis volgens DIN 66399 (tot en met H-5 en E-5). Meer over de Gegevensbeveiliging bij Second IT.
Veelgestelde vragen over KRITIS
Welke sectoren behoren tot KRITIS?
Onder meer energie, water, voeding, gezondheid, informatietechnologie en telecommunicatie, financiële en verzekeringssector, transport en verkeer en afvalverwerking van huishoudelijk afval. Doorslaggevend zijn de drempelwaarden van de betreffende verordening.
Wat is het verschil tussen KRITIS en NIS2?
NIS2 breidt de cyberbeveiligingsverplichtingen uit naar veel meer bedrijven. KRITIS-exploitanten vormen daarin de strengst gereguleerde groep en hebben daarnaast verplichtingen uit de KRITIS-Dachgesetz.
Gelden er bijzondere voorschriften voor uit gebruik genomen hardware?
Daarvoor bestaat geen eigen wet. De vereiste beveiligingsmaatregelen omvatten echter ook de veilige afvoer van gegevensdragers. Gedocumenteerde verwijdering of vernietiging per serienummer is hier het gebruikelijke bewijs.
Is mijn bedrijf een KRITIS-exploitant?
Dat hangt af van de sector en de leveringsgraad van uw installatie. Rechtsverordeningen leggen drempelwaarden vast vanaf welke een installatie als kritiek geldt. Het behoren tot een sector alleen is niet voldoende. Laat dit bij twijfel juridisch toetsen.
Waar moeten KRITIS-exploitanten zich registreren?
Voor de IT-beveiliging bij het Bundesamt für Sicherheit in der Informationstechnik (BSI). Voor de fysieke veerkracht op grond van de KRITIS-Dachgesetz bij het Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Er zijn dus twee afzonderlijke meldroutes.
Hardware uit kritieke infrastructuren veilig uit gebruik nemen.
Stuur ons uw apparatenlijst. U ontvangt uw aanbod gemiddeld binnen 48 uur.