Nach § 8a Absatz 3 BSIG müssen Betreiber Kritischer Infrastrukturen, spätestens zwei Jahre nach Inkrafttreten der BSI-KritisV nach § 10 Abs. 1 „angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit ihrer informationstechnischen Systeme, Komponenten oder Prozesse treffen, die für die Funktionsfähigkeit der von ihnen betriebenen Kritischen Infrastrukturen maßgeblich sind. Dabei soll der Stand der Technik eingehalten werden.“

Nach § 8a Absatz 3 BSIG muss der Betreiber einer Kritischen Infrastruktur dem Bundesamt für Sicherheit in der Informationstechnik eine „Kontaktstelle für die Kommunikationsstrukturen“ nennen, über die Störungen der kritischen Dienstleistung dem Bundesamt als „zentrale Meldestelle“ zu melden sind.

„Die Betreiber Kritischer Infrastrukturen haben mindestens alle zwei Jahre die Erfüllung der Anforderungen nach Absatz 1 auf geeignete Weise nachzuweisen. Der Nachweis kann durch Sicherheitsaudits, Prüfungen oder Zertifizierungen erfolgen. Die Betreiber übermitteln dem Bundesamt die Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel. Das Bundesamt kann die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde, verlangen. Es kann bei Sicherheitsmängeln im Einvernehmen mit der zuständigen Aufsichtsbehörde des Bundes oder im Benehmen mit der sonst zuständigen Aufsichtsbehörde die Beseitigung der Sicherheitsmängel verlangen.“

 Die Betreiber sollen dabei den Stand der Technik umsetzen (§ 8a Absatz 3 BSIG). Dies kann durch die Anwendung von „branchenspezifische[n] Sicherheitsstandards (B3S) zur Gewährleistung der Anforderungen“ geschehen, die von den Betreibern der Kritischen Infrastrukturen oder Fachverbänden erarbeitet und dem BSI zur Eignungsfeststellung vorgelegt werden.