La loi allemande sur la sécurité informatique (IT-Sicherheitsgesetz 2.0), promulguée en 2021, et les standards BSI établissent des exigences globales de cybersécurité pour les opérateurs d'infrastructures critiques (KRITIS). Le BSI (Bundesamt für Sicherheit in der Informationstechnik) est l'autorité fédérale allemande de cybersécurité, qui publie des directives techniques contraignantes et supervise la conformité KRITIS.
Les principales directives techniques du BSI directement liées à la PKI sont la TR-03145 pour les opérations d'AC et la TR-03116 pour les algorithmes cryptographiques approuvés. Les opérateurs KRITIS dans les secteurs de l'énergie, de l'eau, de l'alimentation, des IT/télécoms, de la santé, de la finance et des transports doivent mettre en œuvre des mesures de sécurité à l'état de l'art, incluant des contrôles fondés sur la PKI pour l'authentification, l'intégrité et la confidentialité.
Depuis mai 2023, tous les opérateurs KRITIS doivent également déployer des systèmes obligatoires de détection d'attaques. L'Allemagne transpose actuellement la directive européenne NIS2 via le NIS2UmsuCG, qui élargira encore le périmètre des entités régulées et renforcera les obligations de sécurité.
