Was ist das KRITIS-Dachgesetz und wen betrifft es?

Michael Schenkelberg ·
Stahlschild an moderner Regierungsgebäude-Fassade mit Stromleitungen, Wasserleitungen und Kommunikationstürmen im Hintergrund.

Das KRITIS-Dachgesetz ist ein deutsches Bundesgesetz, das einheitliche Mindestanforderungen an die physische Resilienz kritischer Infrastrukturen festlegt. Es verpflichtet Betreiber bestimmter Anlagen dazu, Risiken systematisch zu bewerten und geeignete Schutzmaßnahmen zu treffen. Im Folgenden beantworten wir die wichtigsten Fragen rund um Anwendungsbereich, Pflichten und praktische Umsetzung.

Welche Unternehmen und Einrichtungen fallen unter das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen in definierten Sektoren, die ab bestimmten Schwellenwerten als systemrelevant eingestuft werden. Dazu gehören unter anderem Energie, Wasser, Ernährung, Gesundheit, Transport, digitale Infrastruktur sowie öffentliche Verwaltung. Ob eine konkrete Anlage betroffen ist, hängt von sektorspezifischen Schwellenwerten ab, die im Gesetz und in nachgelagerten Verordnungen festgelegt werden.

Konkret können folgende Einrichtungen und Unternehmen unter das Gesetz fallen:

  • Energieversorger und Netzbetreiber
  • Wasserversorgungs- und Abwasseranlagen
  • Krankenhäuser und Gesundheitseinrichtungen
  • Betreiber von Verkehrs- und Transportinfrastruktur
  • Lebensmittelverarbeitung und -verteilung ab bestimmten Versorgungsgrößen
  • Rechenzentren und digitale Infrastrukturanbieter
  • Behörden und öffentliche Verwaltungen mit kritischen Funktionen

Wichtig: Nicht jedes Unternehmen in einem dieser Sektoren ist automatisch betroffen. Die Betroffenheit ergibt sich aus dem Zusammenspiel von Sektor, Anlage und Schwellenwert. Wer unsicher ist, ob die eigene Einrichtung unter das Gesetz fällt, kann den KRITIS-Betroffenheitsrechner nutzen, um eine erste Einschätzung zu erhalten.

Welche Pflichten entstehen durch das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz verpflichtet betroffene Betreiber vor allem dazu, einen strukturierten Risikomanagementprozess für ihre kritischen Anlagen einzurichten. Im Mittelpunkt steht die physische Sicherheit: Betreiber müssen Risiken identifizieren, bewerten und durch geeignete technische sowie organisatorische Maßnahmen reduzieren.

Die zentralen Pflichten umfassen:

  1. Registrierung: Betroffene Betreiber müssen sich bei der zuständigen Behörde registrieren.
  2. Risikoanalyse: Risiken für die kritische Anlage sind systematisch zu erfassen und zu bewerten, zum Beispiel auf Basis anerkannter Normen wie DIN ISO 31000.
  3. Schutzmaßnahmen: Auf Grundlage der Risikoanalyse sind angemessene Maßnahmen zur physischen Sicherung zu planen und umzusetzen.
  4. Notfall- und Kontinuitätsplanung: Betreiber müssen Notfallpläne vorhalten und die Betriebskontinuität sicherstellen.
  5. Meldepflichten: Sicherheitsvorfälle, die die Versorgung gefährden, sind den Behörden zu melden.
  6. Nachweispflichten: Die Umsetzung der Maßnahmen muss dokumentiert und auf Anfrage nachgewiesen werden können.

Der Risikomanagementprozess ist dabei keine einmalige Aufgabe, sondern ein fortlaufender Zyklus: Risiken identifizieren, mit bestehenden Schutzmaßnahmen abgleichen, Lücken schließen und die Wirksamkeit regelmäßig überprüfen.

Wie unterscheidet sich das KRITIS-Dachgesetz vom bisherigen IT-Sicherheitsgesetz?

Der wichtigste Unterschied liegt im Schutzgegenstand: Das IT-Sicherheitsgesetz und die daraus abgeleiteten Regelungen fokussieren auf Cybersicherheit und IT-Systeme. Das KRITIS-Dachgesetz hingegen adressiert die physische Resilienz kritischer Anlagen, also den Schutz vor physischen Bedrohungen wie Sabotage, Naturkatastrophen oder Ausfall von Infrastruktur.

Weitere wesentliche Unterschiede:

  • Anwendungsbereich: Das IT-Sicherheitsgesetz richtet sich primär an IT- und Netzwerkbetreiber. Das KRITIS-Dachgesetz gilt sektorübergreifend für physische Anlagen und deren Betreiber.
  • Regulierungsebene: Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie (Critical Entities Resilience) um, während das IT-Sicherheitsgesetz den Rahmen für NIS2 bildet. Beide Regelwerke existieren nebeneinander und ergänzen sich.
  • Zuständige Behörden: Für das KRITIS-Dachgesetz sind andere Behörden zuständig als für die Cybersicherheitsanforderungen nach NIS2.
  • Maßnahmentypen: Im Fokus des KRITIS-Dachgesetzes stehen bauliche, technische und organisatorische Schutzmaßnahmen für physische Anlagen, nicht IT-Sicherheitsmaßnahmen.

Betreiber, die sowohl unter das KRITIS-Dachgesetz als auch unter NIS2 fallen, müssen beide Anforderungen parallel erfüllen. Es empfiehlt sich, die jeweiligen Pflichten klar zu trennen und nicht zu vermischen.

Was passiert, wenn Betreiber die Anforderungen nicht erfüllen?

Bei Verstößen gegen die Pflichten des KRITIS-Dachgesetzes können Behörden Bußgelder verhängen und Nachbesserungen anordnen. Die genaue Höhe der Sanktionen und die Durchsetzungsmechanismen sind im Gesetz sowie in den zugehörigen Verordnungen geregelt. Hinzu kommt das Haftungsrisiko bei Schäden, die auf unzureichende Schutzmaßnahmen zurückzuführen sind.

Neben den rechtlichen Konsequenzen drohen bei mangelnder Resilienz auch operative Risiken: Ein Ausfall kritischer Anlagen kann Versorgungsunterbrechungen auslösen, die weit über das betroffene Unternehmen hinausgehen. Behörden können im Rahmen von Audits und Nachweispflichten die Umsetzung der Schutzmaßnahmen überprüfen und bei Mängeln verbindliche Auflagen erteilen.

Betreiber sollten die Umsetzung daher nicht als reine Formalität betrachten, sondern als Chance, die eigene Widerstandsfähigkeit systematisch zu stärken. Eine frühzeitige und dokumentierte Auseinandersetzung mit den Anforderungen schützt nicht nur vor Sanktionen, sondern auch vor realen Ausfallrisiken.

Wie können betroffene Betreiber die Umsetzung strukturiert angehen?

Betroffene Betreiber sollten die Umsetzung des KRITIS-Dachgesetzes mit einer systematischen Risikoanalyse beginnen. Dabei werden zunächst alle relevanten Bedrohungen und Schwachstellen der kritischen Anlage identifiziert, anschließend bewertet und mit bestehenden Schutzmaßnahmen abgeglichen. Auf dieser Grundlage lassen sich gezielt technische und organisatorische Maßnahmen planen.

Ein bewährtes Vorgehen in fünf Schritten:

  1. Betroffenheit prüfen: Klären Sie zunächst, ob Ihre Anlage unter das KRITIS-Dachgesetz fällt. Dabei hilft der KRITIS-Betroffenheitsrechner als erster Orientierungspunkt.
  2. Risikoanalyse durchführen: Identifizieren Sie systematisch Bedrohungen, Schwachstellen und mögliche Auswirkungen auf Ihre Anlage, zum Beispiel nach DIN ISO 31000.
  3. Schutzmaßnahmen ableiten: Gleichen Sie die identifizierten Risiken mit bestehenden Maßnahmen ab und schließen Sie erkannte Lücken durch geeignete technische oder organisatorische Lösungen.
  4. Umsetzung planen und dokumentieren: Entwickeln Sie einen konkreten Maßnahmenplan, der Zuständigkeiten, Zeitrahmen und Ressourcen festlegt. Dokumentieren Sie alle Schritte sorgfältig.
  5. Wirksamkeit überprüfen: Überprüfen Sie die umgesetzten Maßnahmen regelmäßig und passen Sie diese bei veränderten Rahmenbedingungen an.

Für Bestandsgebäude, zum Beispiel in Schulen oder öffentlichen Verwaltungen, ist es wichtig zu wissen, dass Schutzmaßnahmen wie Notfall- und Gefahrenreaktionssysteme auch ohne vollständige Sanierung nachgerüstet werden können. Das senkt den Aufwand erheblich und ermöglicht eine schrittweise Umsetzung. Weitere Informationen zu den möglichen Sicherheitsdienstleistungen finden Sie auf der Unternehmenswebsite.

Wie wir Sie beim KRITIS-Dachgesetz unterstützen

Das Ingenieurbüro Michael Schenkelberg begleitet Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen bei der strukturierten Umsetzung der Anforderungen des KRITIS-Dachgesetzes. Wir bringen mehr als 25 Jahre Erfahrung im Notfall- und Gefahrenmanagement mit und arbeiten nach anerkannten Normen wie DIN EN 50726-1 und DIN ISO 31000.

Unsere Leistungen umfassen konkret:

  • Prüfung der KRITIS-Betroffenheit Ihrer Anlage mit unserem Betroffenheitsrechner
  • Strukturierte Risikoanalyse und Bewertung nach anerkannten Normen
  • Entwicklung passender technischer und organisatorischer Schutzmaßnahmen
  • Fachplanung von Notfall- und Gefahrenreaktionssystemen, auch in Bestandsgebäuden
  • Begleitung bei Dokumentation und Nachweisführung gegenüber Behörden
  • Schulungen und Sensibilisierung für Mitarbeiterinnen und Mitarbeiter

Wenn Sie wissen möchten, ob Ihre Einrichtung betroffen ist und wie Sie die Anforderungen Schritt für Schritt erfüllen können, sprechen Sie uns gerne an. Jetzt Kontakt aufnehmen und einen unverbindlichen Beratungstermin vereinbaren.

Ähnliche Artikel