A KRITIS audit is a structured review of whether operators of critical facilities have implemented adequate organisational and technical security measures. It relies on sector-specific security standards and established norms such as ISO 27001. Evidence to the BSI now follows Section 39 BSIG, formerly Section 8a BSIG. It is carried out by an independent auditing body with proven audit procedure competence. We prepare operators for it.
First the scope is defined, relevant documents are analysed and an audit plan is drawn up. Interviews, sampling and technical tests follow. The result is an audit report that the operator submits to the BSI, including the security deficiencies found.
Costs depend on sector, size, complexity of the scope and maturity of the ISMS. They range from the low five figures into six figures in euros. Good preparation with clear documentation reduces effort and cost.
KRITIS stands for kritische Infrastrukturen, critical infrastructure: facilities whose failure would severely affect supply, public safety or the state, for example in energy, water, health or transport.
BSI stands for Bundesamt für Sicherheit in der Informationstechnik, Germany's Federal Office for Information Security.
BSIG is the BSI Act, the German act on the Federal Office for Information Security. Among other things it governs registration, reporting, risk management and evidence for operators of critical facilities.
BBK stands for Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, the Federal Office of Civil Protection and Disaster Assistance. Together with the BSI it runs the reporting office for significant security incidents.
NIS-2 is the second EU directive on the security of network and information systems (Directive (EU) 2022/2555). Germany implements it through the BSI Act.
DORA stands for Digital Operational Resilience Act, an EU regulation on the digital operational resilience of financial entities and their ICT providers.
ISO stands for International Organization for Standardization. For information security, ISO/IEC 27001 is the key standard.
ISMS stands for information security management system: the rules, processes and responsibilities an organisation uses to steer and prove information security, for example under ISO 27001.
OT stands for operational technology, the systems that control and monitor physical equipment, for example control systems in power plants or production lines.
IIoT stands for Industrial Internet of Things, the networking of machines, sensors and plants in industry.
PII stands for personally identifiable information. PII masking keeps such data from showing up in logs, for example.
BPMN stands for Business Process Model and Notation, a standard notation for modelling business processes graphically.
RACI stands for Responsible, Accountable, Consulted, Informed. A RACI matrix defines who does, owns, contributes to or is informed about a task.
CI/CD stands for continuous integration and continuous delivery: changes are built, tested and shipped automatically and traceably.
SBOM stands for software bill of materials, a complete list of all components and dependencies of a piece of software.
SAST stands for static application security testing: source code is checked for vulnerabilities without running it.
DAST stands for dynamic application security testing: the running application is probed from outside to find vulnerabilities.
OWASP stands for Open Worldwide Application Security Project, a non-profit foundation for application security.
SAMM stands for Software Assurance Maturity Model. OWASP SAMM rates how mature the security practices in software development are.
RBAC stands for role-based access control: permissions are tied to roles, not to individual people.
ReBAC stands for relationship-based access control: access follows from relationships such as “is member of” or “owns”.
FGA stands for fine-grained authorization. OpenFGA is an open-source implementation of it.
OAuth2 stands for Open Authorization 2.0, a standard that grants applications access without sharing passwords.
OIDC stands for OpenID Connect, a sign-in layer on top of OAuth2 and the basis for single sign-on.
JWT stands for JSON Web Token, a signed token that carries identity and permissions between systems.
AD stands for Active Directory, Microsoft's directory service for users, groups and computers.
OU stands for organizational unit, a container in Active Directory for grouping users and computers.
LDAP stands for Lightweight Directory Access Protocol, a protocol for querying directory services such as Active Directory.
TLS stands for Transport Layer Security, the encryption protocol for data in transit, for example in HTTPS.
AES stands for Advanced Encryption Standard. AES-256 encrypts data with a 256-bit key and is considered state of the art.
AWS stands for Amazon Web Services, Amazon's cloud platform.
AKS stands for Azure Kubernetes Service, Microsoft Azure's managed Kubernetes service.
EKS stands for Amazon Elastic Kubernetes Service, the managed Kubernetes service of AWS.
MSSQL stands for Microsoft SQL Server, a relational database system. SQL stands for Structured Query Language.
MQTT is a lightweight publish-subscribe messaging protocol widely used in IoT. It originally stood for MQ Telemetry Transport.
OPC UA stands for Open Platform Communications Unified Architecture, a standard for secure data exchange in industrial automation.
Zero trust is a security principle built on “never trust, always verify”: no user, device or service is trusted by default, not even inside your own network. Every access is checked individually against identity, device state and permissions and granted only as far as needed.
TLS encryption protects data in transit: connections between browsers, applications and servers are encrypted with TLS (Transport Layer Security) and secured against eavesdropping and tampering. TLS 1.3 is recommended, TLS 1.2 at minimum.
Modbus is a widely used industrial automation protocol through which controllers, sensors and control systems exchange data. Introduced by Modicon in 1979, it has no built-in encryption or authentication, so it must be shielded carefully in critical infrastructure.
Microsoft Azure is Microsoft's cloud platform for compute, storage, databases and services such as Azure DevOps or Azure Kubernetes Service (AKS).
MySQL is a widely used open-source relational database system, now developed by Oracle.
Angular is an open-source framework by Google for browser-based web applications, written in TypeScript.
.NET is Microsoft's development platform for applications in languages such as C#, running on Windows, Linux and macOS. The dot is part of the product name; it is not an abbreviation.
React is an open-source JavaScript library for browser user interfaces, originally developed by Meta (Facebook). Interfaces are built from reusable components.
Keycloak is an open-source identity and access management solution with single sign-on. It supports standards such as OAuth2, OpenID Connect (OIDC) and SAML. Originally developed by Red Hat, it is now a Cloud Native Computing Foundation (CNCF) project.
Azure Key Vault is a Microsoft Azure service that stores keys, passwords, credentials and certificates centrally and securely, optionally in hardware security modules (HSM). Applications fetch them at runtime instead of keeping them in code or configuration files.
Argon2id is a method for storing passwords securely (password hashing). Argon2 won the Password Hashing Competition in 2015 and is standardised in RFC 9106. Because it needs a lot of memory, it makes large-scale guessing with graphics cards harder.
OpenTelemetry is an open standard with tools from the Cloud Native Computing Foundation (CNCF) for collecting traces, metrics and logs in a uniform way. It shows what happens in a distributed application without tying you to one vendor.
PII masking hides personal data such as names, email addresses or account numbers before it reaches logs, traces or test data, for example with placeholders or pseudonyms. This supports data minimisation under the GDPR.
SonarQube is a SonarSource platform for static code analysis (SAST). It checks source code on every build for bugs, vulnerabilities and maintainability issues and can stop a release when quality gates are missed.
Trivy is an open-source scanner by Aqua Security. It finds known vulnerabilities and misconfigurations in container images, dependencies, Git repositories and infrastructure code and can generate an SBOM.
The scope is the defined audit and project boundary: which facilities, systems, sites and processes an audit or project covers.
A gap analysis compares the current state with the requirements, here the BSI Act and the state of the art, and shows which gaps must be closed before the audit.
On-premises means software and infrastructure run in your own data centre instead of a public cloud.
A commit is a recorded, traceable change in a source code repository such as Git. It captures who changed what and when.
A pod is the smallest unit in Kubernetes: one or more containers that run together on one machine and share network and storage.
Pod security defines what a pod may do in Kubernetes, for example whether it runs with administrator rights or accesses the host system. Kubernetes provides the Pod Security Standards with the levels Privileged, Baseline and Restricted.
The BSI Act (BSIG), officially the “Act on the Federal Office for Information Security and on the information security of entities”, applies in the version of 2 December 2025 (Federal Law Gazette 2025 I No. 301). It is Germany's implementation of the EU NIS-2 directive. It sets out the tasks of the BSI and the IT security duties of important and essential entities and of operators of critical facilities.
Key sections for operators of critical facilities:
• Section 30 risk management measures
• Section 31 special requirements, including attack detection systems
• Section 32 reporting obligations
• Section 33 registration obligation
• Section 38 duties of management
• Section 39 evidence obligations
The wording of these sections is in the “Laws” category.
Full text (German): gesetze-im-internet.de/bsig_2025
The KRITIS umbrella act (KRITISDachG), officially the “Umbrella act to strengthen the physical resilience of critical facilities”, dates from 11 March 2026 (Federal Law Gazette 2026 I No. 66). It implements Directive (EU) 2022/2557 on the resilience of critical entities and complements the BSI Act: the BSI Act covers IT security, the umbrella act covers the physical protection and resilience of facilities. The BBK is the single point of contact (section 3).
Key provisions for operators of critical facilities:
• Section 4 scope and the ten sectors
• Section 8 registration of critical facilities
• Section 12 operator risk analysis and risk assessment
• Section 13 resilience duties and resilience plan
• Section 18 incident reporting
• Section 20 implementation and oversight duty of management
Full text (German): gesetze-im-internet.de/kritisdachg
§ 30 Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen
(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.
(2) Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen:
1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
2. Bewältigung von Sicherheitsvorfällen,
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
(3) Der von der Europäischen Kommission gemäß Artikel 21 Absatz 5 Unterabsatz 1 der NIS-2-Richtlinie erlassene Durchführungsrechtsakt zur Festlegung der technischen und methodischen Anforderungen an die in Absatz 1 genannten Maßnahmen in Bezug auf DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke und Vertrauensdiensteanbieter hat für die vorgenannten Einrichtungsarten Vorrang.
(4) Sofern die Europäische Kommission einen Durchführungsrechtsakt gemäß Artikel 21 Absatz 5 Unterabsatz 2 der NIS-2-Richtlinie erlässt, in dem die technischen und methodischen Anforderungen sowie erforderlichenfalls die sektoralen Anforderungen der in Absatz 2 genannten Maßnahmen festgelegt werden, so gehen diese Anforderungen den in Absatz 2 genannten Maßnahmen vor, soweit sie diesen entgegenstehen.
(5) Sofern die Durchführungsrechtsakte der Europäischen Kommission nach Artikel 21 Absatz 5 der NIS-2-Richtlinie keine abschließenden Bestimmungen über die technischen und methodischen Anforderungen sowie erforderlichenfalls über die sektoralen Anforderungen an die in Absatz 2 genannten Maßnahmen in Bezug auf besonders wichtige Einrichtungen und wichtige Einrichtungen enthalten, können diese Bestimmungen vom Bundesministerium des Innern im Benehmen mit den jeweils betroffenen Ressorts durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, unter Berücksichtigung der möglichen Folgen unzureichender Maßnahmen sowie der Bedeutung bestimmter Einrichtungen präzisiert und erweitert werden.
(6) Besonders wichtige Einrichtungen und wichtige Einrichtungen dürfen durch Rechtsverordnung nach § 56 Absatz 3 bestimmte IKT-Produkte, IKT-Dienste und IKT-Prozesse nur verwenden, wenn diese über eine Cybersicherheitszertifizierung gemäß europäischer Schemata nach Artikel 49 der Verordnung (EU) 2019/881 verfügen.
(7) Unbeschadet der Verhütung, Ermittlung, Aufdeckung und Verfolgung von Straftaten dürfen der Austausch von Informationen nach § 6 oder die freiwillige Meldung nach § 5 nicht dazu führen, dass der meldenden Einrichtung zusätzliche Verpflichtungen auferlegt werden, die nicht für sie gegolten hätten, wenn sie die Meldung nicht übermittelt hätte.
(8) Besonders wichtige Einrichtungen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach Absatz 1 vorschlagen. Diese vorgeschlagenen Sicherheitsstandards müssen Durchführungsrechtsakte der Europäischen Kommission so berücksichtigen, dass sie nicht im Widerspruch zu den dort genannten Anforderungen stehen sowie darin enthaltene Vorgaben nicht unterschritten werden. Das Bundesamt stellt auf Antrag fest, ob die vorgeschlagenen Sicherheitsstandards branchenspezifisch und geeignet sind, die Anforderungen nach Absatz 1 zu gewährleisten und veröffentlicht diese auf seiner Internetseite. Die Feststellung erfolgt
1. im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe;
2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes.
Im Sektor Gesundheitswesen ist, soweit keine zuständige Aufsichtsbehörde des Bundes besteht, abweichend von Satz 4 Nummer 2 das Benehmen mit dem Bundesministerium für Gesundheit herzustellen. Aus Gründen des öffentlichen Interesses werden für die Feststellung keine Gebühren oder Auslagen für die Tätigkeit des Bundesamtes erhoben.
(9) Betreiber kritischer Anlagen können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 vorschlagen. Absatz 8 Satz 2 bis 6 gilt entsprechend.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
§ 31 Besondere Anforderungen an die Risikomanagementmaßnahmen von Betreibern kritischer Anlagen
(1) Für Betreiber kritischer Anlagen gelten für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, im Vergleich zu anderen informationstechnischen Systemen, Komponenten und Prozessen besonders wichtiger Einrichtungen auch über das Schutzniveau dieser Einrichtungen hinausgehende Maßnahmen nach § 30 Absatz 1 Satz 1 als verhältnismäßig, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage steht.
(2) Betreiber kritischer Anlagen sind verpflichtet, für die informationstechnischen Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der von ihnen betriebenen kritischen Anlagen maßgeblich sind, Systeme zur Angriffserkennung einzusetzen. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen. Dabei soll der Stand der Technik eingehalten werden. Der hierfür erforderliche Aufwand soll nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen kritischen Anlage stehen.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
§ 32 Meldepflichten
(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, folgende Informationen an eine vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete gemeinsame Meldestelle zu melden:
1. unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine frühe Erstmeldung, in der angegeben wird, ob der Verdacht besteht, dass der erhebliche Sicherheitsvorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist oder grenzüberschreitende Auswirkungen haben könnte;
2. unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, eine Meldung über diesen Sicherheitsvorfall, in der die in Nummer 1 genannten Informationen bestätigt oder aktualisiert werden und eine erste Bewertung des erheblichen Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen, sowie gegebenenfalls die Kompromittierungsindikatoren angegeben werden;
3. auf Ersuchen des Bundesamtes eine Zwischenmeldung über relevante Statusaktualisierungen;
4. spätestens einen Monat nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Nummer 2, vorbehaltlich Absatz 2, eine Abschlussmeldung, die Folgendes enthält:
a) eine ausführliche Beschreibung des Sicherheitsvorfalls, einschließlich seines Schweregrads und seiner Auswirkungen;
b) Angaben zur Art der Bedrohung beziehungsweise ihrer zugrunde liegenden Ursache, die wahrscheinlich den Sicherheitsvorfall ausgelöst hat;
c) Angaben zu den getroffenen und laufenden Abhilfemaßnahmen;
d) gegebenenfalls die grenzüberschreitenden Auswirkungen des Sicherheitsvorfalls.
Die Verpflichtung nach Satz 1 gilt frühestens ab Einrichtung des Meldewegs.
(2) Dauert der Sicherheitsvorfall zum in Absatz 1 Satz 1 Nummer 4 genannten Zeitpunkt noch an, legt die betreffende Einrichtung statt einer Abschlussmeldung zu diesem Zeitpunkt eine Fortschrittsmeldung vor. Die Abschlussmeldung ist dem Bundesamt nach abschließender Bearbeitung des Sicherheitsvorfalls durch die betreffende Einrichtung vorzulegen.
(3) Betreiber kritischer Anlagen sind zusätzlich verpflichtet, Angaben zur Art der betroffenen Anlage und der kritischen Dienstleistung sowie zu den Auswirkungen des Sicherheitsvorfalls auf diese Dienstleistung zu übermitteln, wenn ein erheblicher Sicherheitsvorfall Auswirkungen auf die von ihnen betriebene kritische Anlage hat oder haben könnte.
(4) Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Meldeverfahrens und zur Konkretisierung der Meldungsinhalte nach Anhörung der betroffenen Betreiber und der betroffenen Wirtschaftsverbände im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest, soweit sie möglichen Durchführungsrechtsakten der Europäischen Kommission nicht widersprechen. Die Informationen nach Satz 1 werden durch das Bundesamt auf dessen Internetseite veröffentlicht.
(5) Das Bundesamt stellt den zuständigen Aufsichtsbehörden des Bundes unverzüglich die bei ihm eingegangenen Meldungen zur Verfügung.
(6) Das Bundesamt kann meldenden Einrichtungen nach Maßgabe des § 36 Absatz 1 Angebote zu deren Unterstützung bei der Behebung des Sicherheitsvorfalls machen.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
§ 33 Registrierungspflicht
(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sowie Domain-Name-Registry-Dienstleister sind verpflichtet, spätestens drei Monate, nachdem sie erstmals oder erneut als eine der vorgenannten Einrichtungen gelten oder Domain-Name-Registry-Dienste anbieten, dem Bundesamt über eine gemeinsam vom Bundesamt und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln:
1. Name der Einrichtung, einschließlich der Rechtsform und falls einschlägig der Handelsregisternummer,
2. Anschrift und aktuelle Kontaktdaten, einschließlich E-Mail-Adresse, öffentliche IP-Adressbereiche und Telefonnummern,
3. relevanter in Anlage 1 oder 2 genannter Sektor oder falls einschlägig Branche,
4. Auflistung derjenigen Mitgliedstaaten der Europäischen Union, in denen die Einrichtung Dienste der in Anlage 1 oder 2 genannten Einrichtungsarten erbringt, und
5. die für die Tätigkeiten, aufgrund derer die Registrierung erfolgt, zuständigen Aufsichtsbehörden des Bundes und der Länder.
(2) Die Registrierung von kritischen Anlagen erfolgt gemäß § 8 des KRITIS-Dachgesetzes.
(3) Die Registrierung von besonders wichtigen Einrichtungen und wichtigen Einrichtungen und Domain-Name-Registry-Diensteanbietern kann das Bundesamt im Einvernehmen mit den jeweils zuständigen Aufsichtsbehörden auch selbst vornehmen, wenn ihre Pflicht zur Registrierung nicht erfüllt wird.
(4) Rechtfertigen Tatsachen die Annahme, dass eine Einrichtung ihre Pflicht zur Registrierung nach Absatz 1 oder 2 nicht erfüllt, so hat diese Einrichtung dem Bundesamt auf Verlangen die aus Sicht des Bundesamtes für die Bewertung erforderlichen Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen und Auskunft zu erteilen, soweit nicht Geheimschutzinteressen oder überwiegende Sicherheitsinteressen entgegenstehen.
(5) Wenn sich nach Absatz 1 zu übermittelnde Angaben ändern, sind diese Änderungen dem Bundesamt unverzüglich, spätestens jedoch binnen zwei Wochen ab dem Zeitpunkt, zu dem die Einrichtung Kenntnis von der Änderung erhalten hat, zu übermitteln.
(6) Das Bundesamt legt die Einzelheiten zur Ausgestaltung des Registrierungsverfahrens im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe fest. Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
§ 38 Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen
(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
(2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
(3) Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
§ 39 Nachweispflichten für Betreiber kritischer Anlagen
(1) Betreiber kritischer Anlagen haben die Umsetzung der Maßnahmen in Bezug auf kritische Anlagen nach § 30 Absatz 1 Satz 1 in Verbindung mit § 31 Absatz 1 und 2 Satz 1 zu einem vom Bundesamt im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe festgelegten Zeitpunkt, frühestens drei Jahre nachdem sie erstmals oder spätestens drei Jahre nachdem sie erneut als ein Betreiber einer kritischen Anlage gelten, und anschließend alle drei Jahre dem Bundesamt durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachzuweisen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich Angaben über die dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln die Vorlage eines geeigneten Mängelbeseitigungsplanes und im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen. Das Bundesamt kann die Vorlage eines geeigneten Nachweises über die erfolgte Mängelbeseitigung verlangen.
(2) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Prüfungen und Erbringung der Nachweise nach Absatz 1 folgende Anforderungen festlegen:
1. Anforderungen an die Art und Weise der Durchführung,
2. Anforderungen an die Geeignetheit der zu erbringenden Nachweise sowie
3. nach Anhörung der betroffenen Betreiber und Einrichtungen und der betroffenen Wirtschaftsverbände fachliche und organisatorische Anforderungen an die prüfenden Stellen im Einvernehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.
Die Festlegung nach Satz 1 erfolgt durch eine öffentliche Mitteilung auf der Internetseite des Bundesamtes.
(3) Abweichend von Absatz 1 Satz 1 legt das Bundesamt für Betreiber kritischer Anlagen, die bis zum Inkrafttreten dieses Gesetzes Betreiber Kritischer Infrastrukturen waren nach § 2 Absatz 10 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, den Zeitpunkt der Nachweiserbringung auf frühestens drei Jahre nach Erbringung des letzten Nachweises nach § 8a Absatz 3 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, fest. Betreiber kritischer Anlagen, die bis zum Inkrafttreten dieses Gesetzes Betreiber Kritischer Infrastrukturen waren, und deren Nachweisfrist nach § 8a Absatz 3 des BSI-Gesetzes vom 14. August 2009 (BGBl. I S. 2821), das zuletzt durch Artikel 12 des Gesetzes vom 23. Juni 2021 (BGBl. I S. 1982) geändert worden ist, innerhalb von zwölf Monaten nach Inkrafttreten dieses Gesetzes abgelaufen wäre, können in diesem Zeitraum einen Nachweis nach den bisher geltenden Vorgaben erbringen.
(4) Die Verpflichtung nach Absatz 1 Satz 1 gilt nicht für Betreiber kritischer Anlagen, die auf Grundlage von § 5 Absatz 7 des KRITIS-Dachgesetzes als solche bestimmt wurden.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
§ 8a Sicherheit in der Informationstechnik Kritischer Infrastrukturen
(1) Betreiber Kritischer Infrastrukturen sind verpflichtet, spätestens bis zum ersten Werktag, der darauf folgt, dass diese erstmalig oder erneut als Betreiber einer Kritischen Infrastruktur nach der Rechtsverordnung nach § 10 Absatz 1 gelten, angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden. Organisatorische und technische Vorkehrungen sind angemessen, wenn der dafür erforderliche Aufwand nicht außer Verhältnis zu den Folgen eines Ausfalls oder einer Beeinträchtigung der betroffenen Kritischen Infrastruktur steht.
(1a) Die Verpflichtung nach Absatz 1 Satz 1, angemessene organisatorische und technische Vorkehrungen zu treffen, umfasst ab dem 1. Mai 2023 auch den Einsatz von Systemen zur Angriffserkennung. Die eingesetzten Systeme zur Angriffserkennung müssen geeignete Parameter und Merkmale aus dem laufenden Betrieb kontinuierlich und automatisch erfassen und auswerten. Sie sollten dazu in der Lage sein, fortwährend Bedrohungen zu identifizieren und zu vermeiden sowie für eingetretene Störungen geeignete Beseitigungsmaßnahmen vorzusehen. Absatz 1 Satz 2 und 3 gilt entsprechend.
(2) Betreiber Kritischer Infrastrukturen und ihre Branchenverbände können branchenspezifische Sicherheitsstandards zur Gewährleistung der Anforderungen nach den Absätzen 1 und 1a vorschlagen. Das Bundesamt stellt auf Antrag fest, ob diese geeignet sind, die Anforderungen nach den Absätzen 1 und 1a zu gewährleisten. Die Feststellung erfolgt
1. im Benehmen mit dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe,
2. im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes.
(3) Betreiber Kritischer Infrastrukturen haben die Erfüllung der Anforderungen nach den Absätzen 1 und 1a spätestens zwei Jahre nach dem in Absatz 1 genannten Zeitpunkt und anschließend alle zwei Jahre dem Bundesamt nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen.
(4) Das Bundesamt kann beim Betreiber Kritischer Infrastrukturen die Einhaltung der Anforderungen nach den Absätzen 1 und 1a überprüfen; es kann sich bei der Durchführung der Überprüfung eines qualifizierten unabhängigen Dritten bedienen. Der Betreiber Kritischer Infrastrukturen hat dem Bundesamt und den in dessen Auftrag handelnden Personen zum Zweck der Überprüfung das Betreten der Geschäfts- und Betriebsräume während der üblichen Betriebszeiten zu gestatten und auf Verlangen die in Betracht kommenden Aufzeichnungen, Schriftstücke und sonstigen Unterlagen in geeigneter Weise vorzulegen, Auskunft zu erteilen und die erforderliche Unterstützung zu gewähren. Für die Überprüfung erhebt das Bundesamt Gebühren und Auslagen bei dem jeweiligen Betreiber Kritischer Infrastrukturen nur, sofern das Bundesamt auf Grund von Anhaltspunkten tätig geworden ist, die berechtigte Zweifel an der Einhaltung der Anforderungen nach den Absätzen 1 und 1a begründeten.
(5) Das Bundesamt kann zur Ausgestaltung des Verfahrens der Sicherheitsaudits, Prüfungen und Zertifizierungen nach Absatz 3 Anforderungen an die Art und Weise der Durchführung, an die hierüber auszustellenden Nachweise sowie fachliche und organisatorische Anforderungen an die prüfende Stelle nach Anhörung von Vertretern der betroffenen Betreiber und der betroffenen Wirtschaftsverbände festlegen.
Repealed since 6 December 2025, replaced by sections 30, 31 and 39 BSIG.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The energy sector covers the supply of electricity, gas, fuel and heating oil and district heating, from generation or extraction through trading and transport to distribution.
Official German wording BSI-KritisV
§ 2 Sektor Energie
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Energie kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1. die Versorgung der Allgemeinheit mit Elektrizität (Stromversorgung);
2. die Versorgung der Allgemeinheit mit Gas (Gasversorgung);
3. die Versorgung der Allgemeinheit mit Kraftstoff und Heizöl (Kraftstoff- und Heizölversorgung);
4. die Versorgung der Allgemeinheit mit Fernwärme (Fernwärmeversorgung).
(2) Die Stromversorgung wird in den Bereichen Stromerzeugung, Stromhandel, Stromübertragung und Stromverteilung erbracht.
(3) Die Gasversorgung wird in den Bereichen Gasförderung, Gashandel, Gastransport und Gasverteilung erbracht.
(4) Die Kraftstoff- und Heizölversorgung wird in den Bereichen Erdölförderung, Produktenherstellung, Mineralölhandel, Öltransport und -lagerung sowie Kraftstoff- und Heizölverteilung erbracht.
(5) Die Fernwärmeversorgung wird in den Bereichen Erzeugung von Fernwärme, Steuerung und Überwachung von Fernwärme sowie Verteilung von Fernwärme erbracht.
(6) Im Sektor Energie sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 1 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 1 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The transport sector covers passenger and freight transport: aviation, rail, maritime and inland shipping, road transport, local public transport and logistics.
Official German wording BSI-KritisV
§ 9 Sektor Transport und Verkehr
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Transport und Verkehr die Versorgung der Allgemeinheit mit Leistungen zum Transport von Personen und Gütern (Personen- und Güterverkehr) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2) Der Personen- und Güterverkehr wird in den Bereichen Luftverkehr, Eisenbahnverkehr, See- und Binnenschifffahrt, Straßenverkehr, öffentlicher Personennahverkehr (ÖPNV) und Logistik sowie verkehrsträgerübergreifend erbracht.
(3) Im Sektor Transport und Verkehr sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 7 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 7 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The finance sector covers cash supply, card-based and conventional payments, and the trading, clearing and settlement of securities and derivatives.
Official German wording BSI-KritisV
§ 7 Sektor Finanzwesen
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Finanzwesen kritische Dienstleistungen im Sinne des § 56 Absatz 4 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1. die Bargeldversorgung;
2. der kartengestützte Zahlungsverkehr;
3. der konventionelle Zahlungsverkehr;
4. der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften.
(2) Die Bargeldversorgung wird in den Bereichen Autorisierung einer Abhebung, Einbringen in den Zahlungsverkehr, Belastung Kundenkonto und Bargeldlogistik erbracht.
(3) Der kartengestützte Zahlungsverkehr wird bei kartengebundenen Zahlungsvorgängen im Sinne der Verordnung (EU) 2015/751 des Europäischen Parlaments und des Rates vom 29. April 2015 über Interbankenentgelte für kartengebundene Zahlungsvorgänge (ABl. L 123 vom 19.5.2015, S. 1) in den Bereichen Autorisierung, Einbringen in den Zahlungsverkehr sowie Belastung auf dem Konto des Zahlers und Gutschrift auf dem Konto des Zahlungsempfängers erbracht.
(4) Der konventionelle Zahlungsverkehr wird bei Zahlungsvorgängen mittels Überweisung und Lastschrift im Sinne der Verordnung (EU) Nr. 260/2012 des Europäischen Parlaments und des Rates vom 14. März 2012 zur Festlegung der technischen Vorschriften und der Geschäftsanforderungen für Überweisungen und Lastschriften in Euro (ABl. L 94 vom 30.3.2012, S. 22) in den Bereichen Annahme einer Überweisung oder Lastschrift, Einbringen in den Zahlungsverkehr sowie Belastung und Gutschrift auf Kundenkonten erbracht.
(5) Der Handel mit Wertpapieren und Derivaten sowie die Verrechnung und die Abwicklung von Wertpapier- und Derivatgeschäften wird in den Bereichen Einbringen von Aufträgen in den Handel, Ausführung des Handels und Bestandsführung für den Kunden sowie Verrechnung von Wertpapier- und Derivatgeschäften, Verbuchung Wertpapiere und Verbuchung Geld erbracht.
(6) Im Sektor Finanzwesen sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 6 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 6 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The social security sector covers the payment of social insurance benefits and of basic income support through the IT systems of the Federal Employment Agency.
Official German wording BSI-KritisV
§ 8 Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende
(1) Leistungen der Sozialversicherung werden im Bereich Inanspruchnahme von Sozialversicherungsleistungen erbracht. Leistungen der Grundsicherung für Arbeitsuchende werden im Bereich der Inanspruchnahme von Leistungen, die der Sicherung des Lebensunterhalts dienen, mithilfe von IT-Systemen der Bundesagentur für Arbeit erbracht.
(2) Im Sektor Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 9 Teil 2 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 9 Teil 2 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The healthcare sector covers inpatient hospital care, life-sustaining medical devices, medicines and blood and plasma concentrates, and laboratory diagnostics.
Official German wording BSI-KritisV
§ 6 Sektor Gesundheit
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Gesundheit kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1. die stationäre medizinische Versorgung;
2. die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind;
3. die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper;
4. die Laboratoriumsdiagnostik.
(2) Die Versorgung mit unmittelbar lebenserhaltenden Medizinprodukten, die Verbrauchsgüter sind, wird in den Bereichen Herstellung und Abgabe erbracht.
(3) Die Versorgung mit verschreibungspflichtigen Arzneimitteln und Blut- und Plasmakonzentraten zur Anwendung im oder am menschlichen Körper wird in den Bereichen Herstellung, Vertrieb und Abgabe erbracht.
(4) Im Sektor Gesundheit sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 5 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 5 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The water sector covers drinking water supply from extraction to distribution and wastewater disposal from sewers to discharge into water bodies.
Official German wording BSI-KritisV
§ 3 Sektor Wasser
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Wasser kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1. die Versorgung der Allgemeinheit mit Trinkwasser (Trinkwasserversorgung);
2. die Beseitigung von Abwasser der Allgemeinheit (Abwasserbeseitigung).
(2) Die Trinkwasserversorgung wird in den Bereichen Gewinnung, Aufbereitung, Verteilung sowie Steuerung und Überwachung von Trinkwasser erbracht.
(3) Die Abwasserbeseitigung wird in den Bereichen Siedlungsentwässerung, Abwasserbehandlung und Gewässereinleitung sowie Steuerung und Überwachung erbracht.
(4) Im Sektor Wasser sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 2 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 2 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The food sector covers food supply, meaning the production and processing of food and the food trade.
Official German wording BSI-KritisV
§ 4 Sektor Ernährung
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Ernährung die Versorgung der Allgemeinheit mit Lebensmitteln (Lebensmittelversorgung) kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2) Die Lebensmittelversorgung wird in den Bereichen Lebensmittelherstellung und -behandlung sowie Lebensmittelhandel erbracht.
(3) Im Sektor Ernährung sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 3 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 3 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The IT and telecommunications sector covers voice and data transmission and data storage and processing, for example in data centres, hosting and trust services.
Official German wording BSI-KritisV
§ 5 Sektor Informationstechnik und Telekommunikation
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens sind im Sektor Informationstechnik und Telekommunikation kritische Dienstleistungen im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes:
1. die Sprach- und Datenübertragung;
2. die Datenspeicherung und -verarbeitung.
(2) Die Sprach- und Datenübertragung wird in den Bereichen Zugang, Übertragung, Vermittlung und Steuerung erbracht.
(3) Die Datenspeicherung und -verarbeitung wird in den Bereichen Housing, IT-Hosting und Vertrauensdienste erbracht.
(4) Im Sektor Informationstechnik und Telekommunikation sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 4 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 4 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The space sector was added by the KRITIS umbrella act. The act names the operation of ground infrastructure for space-based services as a critical service, for example ground stations for satellite navigation, earth observation and satellite communication. Which facilities are covered is set by the ordinance under section 4(3) KRITISDachG, which had not been published on gesetze-im-internet.de as of 30 September 2026.
Official German wording KRITISDachG
§ 3 Absatz 3 Satz 2
Für die kritische Dienstleistung des Betriebs von Bodeninfrastrukturen für die Erbringung weltraumgestützter Dienste im Sektor Weltraum wird das Bundesministerium für Forschung, Technologie und Raumfahrt ermächtigt, durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, eine oder mehrere zuständige Bundesbehörden festzulegen.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
The municipal waste sector covers the collection and transport of municipal waste and its recovery and disposal.
Official German wording BSI-KritisV
§ 10 Sektor Siedlungsabfallentsorgung
(1) Wegen ihrer besonderen Bedeutung für das Funktionieren des Gemeinwesens ist im Sektor Siedlungsabfallentsorgung die Entsorgung von Siedlungsabfällen kritische Dienstleistung im Sinne des § 56 Absatz 4 Satz 1 in Verbindung mit § 2 Nummer 24 des BSI-Gesetzes.
(2) Die Siedlungsabfallentsorgung wird in den Bereichen „Abfallsammlung und -beförderung“ und „Abfallverwertung und -beseitigung“ erbracht.
(3) Im Sektor Siedlungsabfallentsorgung sind kritische Anlagen solche Anlagen oder Teile davon, die
1. den in Anhang 8 Teil 3 Spalte B genannten Kategorien zuzuordnen sind und
2. den Schwellenwert nach Anhang 8 Teil 3 Spalte D erreichen oder überschreiten.
Official German wording from gesetze-im-internet.de, retrieved 30.09.2026.
