Gilt das KRITIS-Dachgesetz auch für ausländische Unternehmen in Deutschland?

Michael Schenkelberg · 01 Okt. 2026

Ja, das KRITIS-Dachgesetz gilt grundsätzlich auch für ausländische Unternehmen, die in Deutschland kritische Infrastrukturen betreiben. Maßgeblich ist nicht der Unternehmenssitz, sondern der Ort, an dem die kritische Anlage tatsächlich betrieben wird. Wer also eine Anlage auf deutschem Territorium betreibt, die unter den Anwendungsbereich des Gesetzes fällt, muss die darin geregelten Pflichten erfüllen. Die folgenden Abschnitte beantworten die wichtigsten Fragen, die sich ausländische Betreiber in der Praxis stellen.

Für welche Unternehmen gilt das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz richtet sich an Betreiber kritischer Anlagen in Deutschland, unabhängig davon, ob das Unternehmen seinen Sitz im In- oder Ausland hat. Entscheidend ist, dass die Anlage physisch in Deutschland liegt und einem der im Gesetz definierten Sektoren zugeordnet werden kann, etwa Energie, Wasser, Transport oder Gesundheit.

Das Gesetz unterscheidet dabei zwischen kritischen Anlagen und kritischen Infrastrukturen im weiteren Sinne. Eine Anlage gilt als kritisch, wenn ihr Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit oder die Versorgung der Bevölkerung hätte. Ob eine konkrete Anlage diesen Schwellenwert erreicht, hängt von sektorspezifischen Kriterien ab, die im Gesetz und in den zugehörigen Rechtsverordnungen geregelt sind.

Für ausländische Unternehmen bedeutet das: Wer in Deutschland eine Anlage betreibt, die diese Kriterien erfüllt, ist Betreiber im Sinne des Gesetzes und muss dessen Anforderungen einhalten. Der Unternehmenssitz im Ausland schützt nicht vor der Anwendbarkeit deutschen Rechts.

Wie bestimmt das Gesetz, ob ein ausländisches Unternehmen betroffen ist?

Das KRITIS-Dachgesetz knüpft die Betroffenheit an den Betrieb einer kritischen Anlage auf deutschem Staatsgebiet. Ob ein Unternehmen betroffen ist, ergibt sich aus zwei Prüfschritten: erstens der Zuordnung der Anlage zu einem der gesetzlich definierten Sektoren und zweitens der Feststellung, ob die Anlage die jeweiligen Schwellenwerte überschreitet.

Die Schwellenwerte sind sektorspezifisch und werden in Rechtsverordnungen konkretisiert. Sie orientieren sich häufig an der Versorgungsrelevanz, zum Beispiel an der Anzahl versorgter Personen oder an Kapazitätsgrenzen. Ein ausländisches Unternehmen, das in Deutschland etwa ein Rechenzentrum, eine Wasseraufbereitungsanlage oder eine Energieerzeugungseinheit betreibt, muss prüfen, ob seine Anlage diese Schwellenwerte erreicht.

Um diese Prüfung zu vereinfachen, bieten wir einen KRITIS-Betroffenheitsrechner an, mit dem Betreiber schnell einschätzen können, ob ihre Anlage unter den Anwendungsbereich des Gesetzes fällt. Das ist besonders nützlich für Unternehmen, die neu in den deutschen Markt eintreten und sich noch nicht mit den hiesigen Regularien vertraut gemacht haben.

Welche Pflichten entstehen für betroffene ausländische Betreiber?

Ausländische Unternehmen, die als Betreiber kritischer Anlagen eingestuft werden, unterliegen denselben Pflichten wie inländische Betreiber. Das KRITIS-Dachgesetz behandelt alle Betreiber gleich, unabhängig von ihrer Herkunft.

Zu den zentralen Pflichten gehören:

Registrierungspflicht: Betreiber müssen ihre kritische Anlage beim zuständigen Bundesamt registrieren.
Risikoanalyse und Risikomanagement: Es ist ein strukturierter Risikomanagementprozess einzurichten, der Risiken identifiziert, bewertet und mit bestehenden Schutzmaßnahmen abgleicht.
Umsetzung von Schutzmaßnahmen: Auf Basis der Risikoanalyse sind geeignete technische und organisatorische Maßnahmen zum Schutz der Anlage zu planen und umzusetzen.
Meldepflichten: Erhebliche Störungen müssen den zuständigen Behörden gemeldet werden.
Benennung eines Ansprechpartners: Betreiber müssen eine in Deutschland erreichbare Kontaktstelle benennen.
Regelmäßige Nachweise: Die Wirksamkeit der Schutzmaßnahmen ist in festgelegten Abständen nachzuweisen.

Der Risikomanagementprozess bildet dabei die Grundlage für alles Weitere: Erst wer seine Risiken kennt und bewertet hat, kann sinnvoll entscheiden, welche Maßnahmen tatsächlich notwendig sind. Pauschal eingekaufte Sicherheitslösungen ohne vorherige Analyse erfüllen die gesetzlichen Anforderungen in der Regel nicht.

Was passiert, wenn ein ausländisches Unternehmen die Pflichten ignoriert?

Wer die Pflichten aus dem KRITIS-Dachgesetz nicht erfüllt, riskiert empfindliche Sanktionen. Das Gesetz sieht Bußgelder vor, die je nach Art und Schwere des Verstoßes erheblich ausfallen können. Die zuständigen Behörden haben zudem die Möglichkeit, Betreiber zur Nachbesserung zu verpflichten oder im Extremfall den Betrieb einer Anlage einzuschränken.

Für ausländische Unternehmen kommt ein weiteres Risiko hinzu: Wer die Registrierungspflicht ignoriert oder keinen Ansprechpartner in Deutschland benennt, macht es den Behörden schwer, im Krisenfall zu kommunizieren. Das kann im Ernstfall nicht nur rechtliche, sondern auch operative Konsequenzen haben.

Hinzu kommt der Reputationsaspekt. Betreiber kritischer Infrastrukturen stehen unter besonderer öffentlicher Beobachtung. Verstöße gegen Sicherheitspflichten können das Vertrauen von Behörden, Partnern und der Öffentlichkeit dauerhaft beschädigen.

Wie unterscheidet sich das KRITIS-Dachgesetz von der EU-NIS2-Richtlinie?

Das KRITIS-Dachgesetz und die NIS2-Richtlinie verfolgen unterschiedliche Ziele und regeln unterschiedliche Bereiche. Das KRITIS-Dachgesetz konzentriert sich auf die physische Resilienz kritischer Anlagen, also auf den Schutz vor physischen Bedrohungen wie Sabotage, Naturkatastrophen oder menschlichem Versagen. Die NIS2-Richtlinie hingegen adressiert die Cybersicherheit von Netz- und Informationssystemen.

Beide Regelwerke können für dasselbe Unternehmen gleichzeitig gelten, regeln aber verschiedene Aspekte der Sicherheit. Ein Betreiber, der unter das KRITIS-Dachgesetz fällt, muss nicht zwingend auch unter NIS2 fallen und umgekehrt. Die Sektoren, Schwellenwerte und Pflichten sind jeweils eigenständig definiert.

Wichtig ist, die beiden Regelwerke nicht zu vermischen. Wer seine NIS2-Pflichten erfüllt hat, hat damit noch keine ausreichenden Maßnahmen im Sinne des KRITIS-Dachgesetzes getroffen. Beide Bereiche erfordern eine separate Analyse und separate Maßnahmen.

Wann sollte ein ausländisches Unternehmen rechtliche Beratung einholen?

Ein ausländisches Unternehmen sollte so früh wie möglich prüfen, ob es unter das KRITIS-Dachgesetz fällt, idealerweise bevor es eine Anlage in Deutschland in Betrieb nimmt. Wer erst nach der Inbetriebnahme mit der Prüfung beginnt, riskiert, bereits in der Pflicht zu sein, ohne es zu wissen.

Konkrete Anlässe für eine Beratung sind:

Neueröffnung oder Übernahme einer Anlage in Deutschland
Erweiterung bestehender Betriebskapazitäten, die neue Schwellenwerte erreichen könnten
Unsicherheit darüber, ob die eigene Anlage einem der gesetzlich definierten Sektoren zugeordnet werden kann
Änderungen im Gesetz oder in den zugehörigen Rechtsverordnungen, die den eigenen Betrieb neu betreffen könnten
Behördenanfragen oder Hinweise auf eine mögliche Betroffenheit

Neben juristischer Beratung ist auch technische Fachberatung sinnvoll. Denn die Frage, ob eine Anlage betroffen ist, lässt sich oft nur mit technischem Sachverstand beantworten. Und die Umsetzung der Schutzmaßnahmen erfordert sowohl technisches als auch organisatorisches Know-how. Einen ersten Anhaltspunkt liefert unser KRITIS-Betroffenheitsrechner, der Betreibern hilft, die eigene Betroffenheit schnell einzuschätzen.

Wie wir ausländische Betreiber bei KRITIS-Pflichten unterstützen

Wir begleiten ausländische Unternehmen, die in Deutschland kritische Anlagen betreiben, von der ersten Betroffenheitsprüfung bis zur Umsetzung der gesetzlich geforderten Schutzmaßnahmen. Unsere Leistungen umfassen konkret:

Betroffenheitsanalyse: Wir prüfen, ob Ihre Anlage unter das KRITIS-Dachgesetz fällt, und nutzen dafür unseren strukturierten Bewertungsprozess auf Basis anerkannter Normen wie DIN ISO 31000.
Risikoanalyse und Risikobewertung: Wir identifizieren die relevanten Risiken für Ihre Anlage, bewerten sie systematisch und gleichen sie mit Ihren bestehenden Schutzmaßnahmen ab.
Entwicklung von Schutzmaßnahmen: Auf Basis der Risikoanalyse entwickeln wir passende technische und organisatorische Maßnahmen, die Ihre Anlage wirklich schützen und die gesetzlichen Anforderungen erfüllen.
Fachplanung technischer Systeme: Wir planen Sicherheitssysteme, die sich auch in Bestandsgebäuden und laufenden Betrieben realisieren lassen, ohne aufwändige Sanierungen.
Begleitung bei der Umsetzung: Wir unterstützen Sie bei der Registrierung, der Benennung von Ansprechpartnern und der Dokumentation Ihrer Maßnahmen gegenüber den Behörden.

Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen mit und ist Mitglied in nationalen und internationalen Normungsausschüssen. Wenn Sie wissen möchten, ob Ihre Anlage betroffen ist, nutzen Sie zunächst unseren KRITIS-Betroffenheitsrechner für eine erste Einschätzung. Für eine individuelle Beratung nehmen Sie gerne Kontakt auf; wir helfen Ihnen, Klarheit zu gewinnen und die richtigen nächsten Schritte einzuleiten.

Michael Schenkelberg