Warum ist das KRITIS-Dachgesetz für öffentliche Einrichtungen wichtig?

Michael Schenkelberg ·
Behördliches Gebäude mit Schutzüberdachung und geometrischen Schatten, Notfallordner und Sicherheitswerkzeug auf Steingesims im Tageslicht.

Das KRITIS-Dachgesetz ist für öffentliche Einrichtungen wichtig, weil es erstmals verbindliche Anforderungen an die physische Resilienz kritischer Infrastrukturen stellt. Betreiber bestimmter Anlagen sind verpflichtet, systematisch Risiken zu bewerten und geeignete Schutzmaßnahmen umzusetzen. Die folgenden Abschnitte beantworten die häufigsten Fragen rund um Betroffenheit, Pflichten und praktische Umsetzung.

Welche Einrichtungen fallen unter das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz erfasst Betreiber kritischer Anlagen in elf definierten Sektoren, darunter Energie, Wasser, Verkehr, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung. Ob eine Einrichtung konkret betroffen ist, hängt von sektorspezifischen Schwellenwerten ab, die im Gesetz und den zugehörigen Verordnungen festgelegt werden.

Für öffentliche Einrichtungen bedeutet das: Nicht jede Behörde oder Schule fällt automatisch unter das Gesetz. Entscheidend ist, ob die jeweilige Anlage eine bestimmte Versorgungsrelevanz erreicht. Bundesbehörden, Landesverwaltungen und kommunale Einrichtungen können betroffen sein, wenn ihre Dienste für die Versorgung der Bevölkerung unverzichtbar sind. Bildungseinrichtungen wie Hochschulen können unter den Sektor Bildung und Forschung fallen, sofern sie entsprechende Schwellenwerte überschreiten.

Wer unsicher ist, ob die eigene Einrichtung betroffen ist, kann das mit einem strukturierten Betroffenheitscheck klären. Wir bieten dafür einen KRITIS-Betroffenheitsrechner an, der eine erste Einschätzung ermöglicht.

Welche konkreten Pflichten entstehen für öffentliche Einrichtungen?

Betroffene Betreiber kritischer Anlagen müssen nach dem KRITIS-Dachgesetz einen systematischen Risikomanagementprozess einführen, geeignete physische Schutzmaßnahmen umsetzen, Sicherheitsvorfälle melden und alle vier Jahre eine Überprüfung ihrer Maßnahmen nachweisen.

Im Kern steht dabei der Risikomanagementprozess: Risiken werden zunächst identifiziert und bewertet, dann mit bestehenden Schutzmaßnahmen abgeglichen. Erst auf dieser Grundlage werden neue technische oder organisatorische Maßnahmen geplant und umgesetzt. Dieser strukturierte Ansatz folgt anerkannten Normen wie der DIN ISO 31000.

Konkret bedeutet das für viele öffentliche Einrichtungen:

  • Durchführung einer umfassenden Risikoanalyse für die eigene Anlage
  • Umsetzung physischer Schutzmaßnahmen, zum Beispiel Zutrittskontrollen, Videoüberwachung oder bauliche Sicherungen
  • Einrichtung von Notfall- und Reaktionsplänen
  • Meldung erheblicher Sicherheitsvorfälle an das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
  • Nachweis der umgesetzten Maßnahmen gegenüber der zuständigen Behörde

Wichtig: Das KRITIS-Dachgesetz fokussiert auf die physische Resilienz von Anlagen. Es ist klar von NIS2 zu trennen, die IT- und Cybersicherheit regelt. Beide Regelwerke können parallel gelten, haben aber unterschiedliche Anforderungen und Zuständigkeiten.

Was passiert, wenn öffentliche Einrichtungen das Gesetz nicht einhalten?

Öffentliche Einrichtungen, die als betroffene Betreiber kritischer Anlagen eingestuft sind und die Anforderungen des KRITIS-Dachgesetzes nicht erfüllen, riskieren Bußgelder sowie behördliche Anordnungen zur Nachbesserung. Das Gesetz sieht Sanktionsmechanismen vor, um die Umsetzung der Schutzpflichten durchzusetzen.

Neben den rechtlichen Konsequenzen entstehen praktische Risiken: Wer keine systematische Risikoanalyse durchgeführt hat, kennt die Schwachstellen der eigenen Anlage nicht. Im Ernstfall kann das den Ausfall kritischer Dienste bedeuten, die die Bevölkerung direkt betreffen. Für öffentliche Einrichtungen ist das nicht nur ein rechtliches, sondern auch ein organisatorisches und politisches Risiko.

Die genaue Höhe der Bußgelder und die Zuständigkeit der Aufsichtsbehörden hängen vom jeweiligen Sektor ab. Da sich das KRITIS-Dachgesetz noch in der Umsetzungsphase befindet und zugehörige Verordnungen schrittweise erarbeitet werden, empfiehlt es sich, den aktuellen Stand der Gesetzgebung regelmäßig zu verfolgen.

Wie unterscheidet sich das KRITIS-Dachgesetz vom bisherigen IT-Sicherheitsgesetz?

Der wesentliche Unterschied liegt im Schutzgegenstand: Das IT-Sicherheitsgesetz sowie NIS2 regeln die Cyber- und IT-Sicherheit digitaler Systeme. Das KRITIS-Dachgesetz hingegen zielt auf die physische Resilienz kritischer Anlagen ab, also auf den Schutz vor physischen Bedrohungen wie Sabotage, Naturkatastrophen oder menschlichem Versagen.

Das KRITIS-Dachgesetz setzt die EU-Richtlinie CER (Critical Entities Resilience) in deutsches Recht um. Es schafft damit einen eigenständigen Rahmen für die physische Sicherheit, der bislang nicht einheitlich geregelt war. Während das IT-Sicherheitsgesetz auf Informationssicherheit und Netzwerke fokussiert, geht es beim KRITIS-Dachgesetz um Fragen wie:

  • Wie gut ist eine Anlage gegen unbefugten Zutritt gesichert?
  • Welche baulichen Schutzmaßnahmen bestehen?
  • Wie wird im Notfall reagiert?
  • Wie schnell kann der Betrieb nach einem Vorfall wiederhergestellt werden?

Beide Regelwerke können für dieselbe Einrichtung gleichzeitig gelten, müssen aber getrennt betrachtet und umgesetzt werden. Eine Verwechslung der Anforderungen führt zu Lücken im Sicherheitskonzept.

Wie können öffentliche Einrichtungen die Anforderungen umsetzen?

Öffentliche Einrichtungen setzen die Anforderungen des KRITIS-Dachgesetzes am wirksamsten um, indem sie zunächst eine strukturierte Risikoanalyse durchführen, daraus konkrete Schutzmaßnahmen ableiten und diese systematisch planen und umsetzen. Der Risikomanagementprozess ist dabei die methodische Grundlage.

In der Praxis empfiehlt sich folgendes Vorgehen:

  1. Betroffenheit klären: Prüfen Sie, ob Ihre Einrichtung unter das KRITIS-Dachgesetz fällt und welcher Sektor relevant ist.
  2. Risikoanalyse durchführen: Identifizieren Sie Bedrohungen, Schwachstellen und mögliche Auswirkungen auf den Betrieb Ihrer Anlage.
  3. Bestandsaufnahme machen: Gleichen Sie die identifizierten Risiken mit bereits vorhandenen Schutzmaßnahmen ab.
  4. Maßnahmen planen: Entwickeln Sie technische und organisatorische Maßnahmen, die bestehende Lücken schließen.
  5. Umsetzung begleiten: Planen und realisieren Sie die Maßnahmen, dokumentieren Sie den Prozess und bereiten Sie den Nachweis gegenüber Behörden vor.

Für Bestandsgebäude ist es wichtig zu wissen, dass viele Sicherheitssysteme auch ohne vollständige Sanierung nachrüstbar sind. Notfall- und Gefahrenreaktionssysteme (NGRS) lassen sich beispielsweise im laufenden Betrieb installieren und erhöhen die Reaktionsfähigkeit bei Vorfällen erheblich. Mehr zu unseren konkreten Leistungen im Bereich Sicherheitsplanung finden Sie auf unserer Website.

Wann sollten öffentliche Einrichtungen mit der KRITIS-Umsetzung beginnen?

Öffentliche Einrichtungen sollten jetzt mit der Vorbereitung beginnen. Das KRITIS-Dachgesetz ist in Kraft getreten, und die zugehörigen Rechtsverordnungen werden schrittweise erarbeitet. Wer frühzeitig mit der Risikoanalyse startet, verschafft sich ausreichend Zeit für eine durchdachte und rechtskonforme Umsetzung.

Erfahrungsgemäß unterschätzen viele Einrichtungen den Zeitaufwand für eine fundierte Risikoanalyse und die anschließende Maßnahmenplanung. Besonders in öffentlichen Verwaltungen und Bildungseinrichtungen sind interne Ressourcen oft begrenzt. Wer zu spät beginnt, gerät unter Zeitdruck und riskiert entweder lückenhafte Konzepte oder teure Schnellmaßnahmen.

Ein weiterer Grund für einen frühen Start: Die Erkenntnisse aus der Risikoanalyse sind wertvoll, unabhängig davon, ob eine Einrichtung formal unter das Gesetz fällt. Sie zeigen, wo Schwachstellen bestehen, und helfen, Prioritäten für Investitionen in die Sicherheit zu setzen. Informationen zu typischen Fragen rund um das KRITIS-Dachgesetz finden Sie auch in unserem FAQ-Bereich.

Wie wir öffentliche Einrichtungen bei der KRITIS-Umsetzung unterstützen

Wir begleiten öffentliche Einrichtungen, Behörden und Bildungseinrichtungen bei allen Schritten der KRITIS-Umsetzung. Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung im Notfall- und Gefahrenmanagement mit und ist zertifizierter Krisenmanager sowie aktives Mitglied in nationalen und internationalen Normungsausschüssen. Diese Kombination aus praktischer Erfahrung und normativem Fachwissen macht den Unterschied.

Konkret unterstützen wir Sie bei:

  • Betroffenheitsprüfung: Mit unserem KRITIS-Betroffenheitsrechner klären wir schnell, ob Ihre Einrichtung unter das Gesetz fällt.
  • Risikoanalyse und Bewertung: Wir führen strukturierte Risikoanalysen nach DIN ISO 31000 und DIN EN 50726-1 durch.
  • Entwicklung von Schutzmaßnahmen: Auf Basis der Analyse erarbeiten wir technische und organisatorische Maßnahmen, die zu Ihrer Einrichtung passen.
  • Fachplanung technischer Systeme: Wir planen Notfall- und Gefahrenreaktionssysteme (NGRS), auch für Bestandsgebäude im laufenden Betrieb.
  • Begleitung bei der Umsetzung: Wir unterstützen Sie von der Konzeption bis zur Dokumentation und dem behördlichen Nachweis.

Wenn Sie wissen möchten, wie wir Ihre Einrichtung konkret unterstützen können, sprechen Sie uns an. Nehmen Sie Kontakt auf und wir besprechen gemeinsam den nächsten sinnvollen Schritt für Ihre Einrichtung.

Ähnliche Artikel