KRITIS ist die Abkürzung für kritische Infrastrukturen. Gemäß dem am 25. Juli 2015 in Kraft getretenen IT‑Sicherheitsgesetz sind KRITIS-Betreiber zum besonderen Schutz ihrer IT vor Cyber‑Angriffen verpflichtet, da sie eine besondere Bedeutung für die Versorgung der Allgemeinheit haben. Derzeit sind davon folgende Sektoren betroffen: Energie (Strom, Gas, Kraftstoff, Heizöl und Fernwärme), Informationstechnik und Telekommunikation, Transport und Verkehr, Gesundheit, Wasser (Trink- und Abwasser), Ernährung (Lebensmittel) sowie Finanz- und Versicherungswesen.
Für Betreiber kritischer Infrastrukturen gelten besonders hohe Anforderungen bei der Einführung eines Informationssicherheitsmanagementsystems (ISMS) sowie der Etablierung angemessener Sicherheitsmaßnahmen. KRITIS-Betreiber sind verpflichtet, erhöhte IT‑Sicherheitsstandards gemäß ISO 27001 zu etablieren und sich dies durch eine dafür zugelassene, unabhängige Stelle zertifizieren zu lassen. Sollten es in KRITIS-Unternehmen zu IT‑Sicherheitsvorfällen kommen, sind diese unverzüglich an das BSI zu melden. Eine daraus resultierende Pflicht ist die Benennung eines IT‑Sicherheitsbeauftragten.