Bei einer Inspektion nach dem KRITIS-Dachgesetz überprüft das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) oder eine von ihm beauftragte Stelle, ob Betreiber Kritischer Infrastrukturen ihre gesetzlichen Pflichten zur physischen Resilienz erfüllen. Die Prüfung umfasst Unterlagen, Risikoanalysen und vor Ort sichtbare Schutzmaßnahmen. Dieser Artikel beantwortet die wichtigsten Fragen rund um den Ablauf, die Vorbereitung und die Konsequenzen einer solchen Inspektion.
Wer ist berechtigt, Inspektionen nach dem KRITIS-Dachgesetz durchzuführen?
Inspektionen nach dem KRITIS-Dachgesetz werden vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) durchgeführt oder von ihm koordiniert. Das BBK ist die zuständige Bundesbehörde für den Schutz Kritischer Infrastrukturen im Bereich physischer Resilienz. Für sektorspezifische Anlagen können zusätzlich Fachbehörden der jeweiligen Sektoren einbezogen werden.
Das KRITIS-Dachgesetz regelt den Schutz physischer Anlagen und Systeme und ist damit klar von der IT- und Cybersicherheit abzugrenzen, die unter die NIS2-Richtlinie fällt. Inspektionen nach dem KRITIS-Dachgesetz konzentrieren sich ausschließlich auf die physische Widerstandsfähigkeit von Anlagen, Gebäuden und Prozessen gegenüber Bedrohungen wie Sabotage, Naturkatastrophen oder menschlichem Versagen.
Wichtig zu wissen: Das BBK kann für die Durchführung von Inspektionen auch zugelassene externe Prüfstellen oder anerkannte Sachverständige einsetzen. Welche Stellen konkret tätig werden, hängt vom jeweiligen Sektor und der Art der Anlage ab. Betreiber sollten sich daher frühzeitig mit den für ihren Sektor zuständigen Behörden vertraut machen.
Welche Unterlagen und Nachweise müssen Betreiber bereitstellen?
Betreiber Kritischer Infrastrukturen müssen zur Inspektion eine vollständige Dokumentation ihrer Risikoanalyse, ihrer Schutzmaßnahmen und ihrer Notfallplanung bereitstellen. Diese Unterlagen bilden die Grundlage der Prüfung und zeigen, ob der gesetzlich geforderte Risikomanagementprozess tatsächlich umgesetzt wurde.
Zu den typischerweise relevanten Unterlagen gehören:
- Aktuelle Risikoanalyse und Risikobewertung der kritischen Anlage
- Dokumentierte Schutzkonzepte für physische Sicherheit
- Nachweise über umgesetzte technische und organisatorische Maßnahmen
- Notfall- und Kontinuitätspläne
- Schulungsnachweise für relevantes Personal
- Protokolle durchgeführter Übungen und Tests
- Berichte über sicherheitsrelevante Vorfälle und deren Nachverfolgung
Der Risikomanagementprozess nach dem KRITIS-Dachgesetz folgt einer klaren Logik: Zuerst werden Risiken identifiziert und bewertet, dann mit bestehenden Maßnahmen abgeglichen, und anschließend werden fehlende oder unzureichende Maßnahmen geplant und umgesetzt. Diese Systematik sollte in der Dokumentation klar erkennbar sein. Orientierungspunkte bieten dabei anerkannte Normen wie die DIN ISO 31000 für Risikomanagement.
Wie läuft eine Inspektion nach dem KRITIS-Dachgesetz konkret ab?
Eine Inspektion nach dem KRITIS-Dachgesetz gliedert sich in der Regel in drei Phasen: die Dokumentenprüfung im Vorfeld, die Vor-Ort-Begehung und die abschließende Auswertung mit Berichterstattung. Der genaue Ablauf kann je nach Sektor und Anlage variieren.
Phase 1: Dokumentenprüfung
Vor dem eigentlichen Besuch fordern die Prüfer die relevanten Unterlagen an und sichten diese. Dabei prüfen sie, ob die Risikoanalyse methodisch korrekt durchgeführt wurde, ob Schutzmaßnahmen dem festgestellten Risiko entsprechen und ob die Dokumentation vollständig und aktuell ist.
Phase 2: Vor-Ort-Begehung
Bei der Begehung vor Ort überprüfen die Inspektoren, ob die dokumentierten Maßnahmen tatsächlich umgesetzt sind. Das umfasst die Besichtigung baulicher Schutzeinrichtungen, die Überprüfung technischer Systeme wie Alarmierungs- und Zugangskontrolllösungen sowie Gespräche mit verantwortlichem Personal. Auch die praktische Handhabung von Notfallplänen kann abgefragt werden.
Phase 3: Auswertung und Bericht
Nach der Inspektion erstellen die Prüfer einen Bericht, in dem festgestellte Stärken, Schwächen und Mängel dokumentiert werden. Betreiber erhalten in der Regel die Möglichkeit, zum Bericht Stellung zu nehmen, bevor er abschließend festgestellt wird.
Was passiert, wenn Mängel bei der Inspektion festgestellt werden?
Wenn bei einer KRITIS-Inspektion Mängel festgestellt werden, erhalten Betreiber in der Regel eine Frist zur Nachbesserung. Das KRITIS-Dachgesetz sieht bei Verstößen gegen die Resilienzpflichten Sanktionen vor, darunter Bußgelder. Wie hoch diese im Einzelfall ausfallen, hängt von der Art und Schwere des Mangels ab.
Grundsätzlich unterscheidet man zwischen geringfügigen und schwerwiegenden Mängeln:
- Geringfügige Mängel betreffen meist fehlende oder unvollständige Dokumentation, veraltete Risikoanalysen oder kleinere Lücken in der Schutzkonzeption. Diese lassen sich oft kurzfristig beheben.
- Schwerwiegende Mängel liegen vor, wenn grundlegende Schutzmaßnahmen fehlen oder Risiken nicht ausreichend adressiert wurden. Hier können Behörden weitergehende Maßnahmen anordnen.
Betreiber sollten festgestellte Mängel ernst nehmen und systematisch angehen, da Folgeprüfungen zeigen, ob die Nachbesserungen tatsächlich umgesetzt wurden. Eine transparente Kommunikation mit der zuständigen Behörde und ein klarer Maßnahmenplan wirken sich in der Regel positiv auf das Verfahren aus.
Wie oft müssen Betreiber Kritischer Infrastrukturen mit Inspektionen rechnen?
Das KRITIS-Dachgesetz sieht regelmäßige Inspektionen vor, wobei die genaue Häufigkeit von der Risikoeinstufung der Anlage und den Vorgaben der zuständigen Behörde abhängt. Als Orientierung gilt: Betreiber sollten grundsätzlich alle drei bis fünf Jahre mit einer Regelinspektion rechnen, wobei anlassbezogene Prüfungen jederzeit möglich sind.
Anlassbezogene Inspektionen können ausgelöst werden durch:
- Sicherheitsrelevante Vorfälle oder Störungen
- Hinweise auf Verstöße gegen Resilienzpflichten
- Wesentliche Änderungen an der Anlage oder dem Betrieb
- Ergebnisse vorheriger Inspektionen mit offenen Mängeln
Da das KRITIS-Dachgesetz 2024 in Kraft getreten ist und die Umsetzungsfristen für Betreiber schrittweise anlaufen, befindet sich der Inspektionsrhythmus in Deutschland aktuell noch in der Etablierungsphase. Betreiber sollten die Kommunikation der zuständigen Behörden aufmerksam verfolgen und sich nicht auf lange Zwischenräume verlassen. Wer noch nicht sicher ist, ob seine Anlage überhaupt unter das KRITIS-Dachgesetz fällt, kann das mit einem KRITIS-Betroffenheitsrechner schnell klären.
Wie bereiten sich Betreiber am besten auf eine KRITIS-Inspektion vor?
Die beste Vorbereitung auf eine KRITIS-Inspektion ist ein gut dokumentierter, methodisch sauberer Risikomanagementprozess, der kontinuierlich gepflegt wird. Betreiber, die ihre Risikoanalyse aktuell halten, ihre Schutzmaßnahmen regelmäßig überprüfen und ihre Dokumentation vollständig führen, sind für eine Inspektion gut aufgestellt.
Konkrete Schritte zur Vorbereitung:
- Betroffenheit prüfen: Klären Sie, ob Ihre Anlage unter das KRITIS-Dachgesetz fällt und welche Pflichten für Sie gelten.
- Risikoanalyse aktualisieren: Führen Sie eine strukturierte Risikoanalyse durch, die Bedrohungen, Schwachstellen und mögliche Auswirkungen systematisch erfasst und bewertet.
- Maßnahmen dokumentieren: Halten Sie alle umgesetzten technischen und organisatorischen Schutzmaßnahmen nachvollziehbar fest.
- Lücken schließen: Gleichen Sie Ihr Schutzniveau mit den festgestellten Risiken ab und planen Sie fehlende Maßnahmen konkret ein.
- Personal schulen: Stellen Sie sicher, dass Verantwortliche die Notfallpläne kennen und im Ernstfall handlungsfähig sind.
- Interne Überprüfung durchführen: Simulieren Sie eine Inspektion mit einer internen oder externen Begehung, bevor die Behörde kommt.
Gerade für Betreiber, die noch am Anfang stehen, lohnt es sich, externe Fachleute hinzuzuziehen, die den Risikomanagementprozess strukturiert begleiten und die Dokumentation prüfungssicher aufbauen. Mehr zu den relevanten Leistungen im Risikomanagement finden Sie auf unserer Website.
Wie wir Sie bei der KRITIS-Inspektion unterstützen
Das Ingenieurbüro Michael Schenkelberg begleitet Betreiber Kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen konkret auf dem Weg zur Inspektionsbereitschaft. Wir bringen mehr als 25 Jahre Erfahrung im Notfall- und Risikomanagement mit und kennen die Anforderungen des KRITIS-Dachgesetzes aus der Praxis.
Das leisten wir für Sie:
- Strukturierte Risikoanalyse und Risikobewertung nach DIN ISO 31000 und DIN EN 50726-1
- Entwicklung passender technischer und organisatorischer Schutzmaßnahmen
- Fachplanung von Notfall- und Gefahrenreaktionssystemen (NGRS), auch in Bestandsgebäuden
- Aufbau einer vollständigen, prüfungssicheren Dokumentation
- Schulungen für verantwortliches Personal zu Bedrohungs- und Krisenmanagement
- Begleitung bei der Kommunikation mit Behörden und im Inspektionsverfahren
Wissen Sie noch nicht, ob Ihre Einrichtung überhaupt unter das KRITIS-Dachgesetz fällt? Nutzen Sie unseren KRITIS-Betroffenheitsrechner für eine erste Einschätzung. Für eine individuelle Beratung stehen wir Ihnen jederzeit zur Verfügung. Nehmen Sie Kontakt auf und wir besprechen gemeinsam, wie wir Sie auf eine Inspektion vorbereiten.
Ähnliche Artikel
- Wie wird eine Anlage als kritische Infrastruktur nach dem Dachgesetz eingestuft?
- Welche Behörden überwachen die Einhaltung des KRITIS-Dachgesetzes?
- Wie wird Schulgebäudesicherheit in Deutschland gesetzlich geregelt?
- Wann tritt das KRITIS-Dachgesetz vollständig in Kraft?
- Wie beeinflusst Schularchitektur die Sicherheit von Schülern?