Das IT-Sicherheitsgesetz (IT-SiG, 2015) ist ein deutsches Gesetz, das Betreiber kritischer Infrastrukturen (KRITIS) wie Energieversorger, Wasserwerke, Krankenhäuser und Telekommunikationsanbieter zu Mindestsicherheitsstandards und zur Meldung erheblicher IT-Sicherheitsvorfälle an das BSI verpflichtete. Mit dem IT-SiG 2.0 (2021) wurde der Anwendungsbereich auf weitere Sektoren und Unternehmen im besonderen öffentlichen Interesse ausgeweitet. Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz, das das BSI-Gesetz neu fasst: Besonders wichtige und wichtige Einrichtungen müssen sich registrieren, Risikomanagementmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle an das BSI melden. KRITIS-Betreiber zählen dabei stets zu den besonders wichtigen Einrichtungen.