Unternehmen in KRITIS-Sektoren, deren Anlagen Schwellenwerte als Kritische Infrastruktur überschreiten, fallen als KRITIS-Betreiber unter die KRITIS-Regulierung mit Cyber Security Pflichten. Versorgen Anlagen über 500 Tsd. Personen mit einer kritischen Dienstleistung, werden Betreiber meist KRITIS.