Was passiert bei Nichteinhaltung des KRITIS-Dachgesetzes?

Michael Schenkelberg · 29 Sep. 2026

Bei Nichteinhaltung des KRITIS-Dachgesetzes drohen Betreibern kritischer Infrastrukturen empfindliche Bußgelder sowie behördliche Anordnungen zur Nachbesserung. Das Gesetz verpflichtet betroffene Betreiber zu konkreten Maßnahmen der physischen Resilienz und schafft klare Verantwortlichkeiten. Die folgenden Abschnitte erklären, welche Sanktionen konkret drohen, wer die Einhaltung kontrolliert und wie Sie als Betreiber Compliance sicherstellen können.

Welche Sanktionen drohen bei Verstößen gegen das KRITIS-Dachgesetz?

Verstöße gegen das KRITIS-Dachgesetz können mit Bußgeldern geahndet werden, die je nach Schwere des Verstoßes erheblich ausfallen können. Neben Geldbußen können Behörden konkrete Anordnungen erlassen, die Betreiber zur Umsetzung fehlender Schutzmaßnahmen verpflichten. Im Wiederholungsfall oder bei schwerwiegenden Pflichtverletzungen sind verschärfte Maßnahmen möglich.

Das KRITIS-Dachgesetz sieht einen abgestuften Sanktionsrahmen vor. Dieser orientiert sich daran, ob ein Betreiber seine Pflichten vollständig ignoriert hat, ob Meldepflichten verletzt wurden oder ob konkrete Schutzmaßnahmen fehlen. Wichtig zu verstehen: Das KRITIS-Dachgesetz regelt die physische Sicherheit kritischer Anlagen. Es ist damit klar von der NIS2-Richtlinie zu trennen, die sich auf IT- und Cybersicherheit konzentriert. Wer beide Bereiche verwechselt, riskiert Lücken in der Compliance.

Neben finanziellen Folgen können Reputationsschäden entstehen, wenn Behörden Verstöße öffentlich machen. Für Betreiber öffentlicher Einrichtungen wie Verwaltungen oder Schulen kann das weitreichende politische Konsequenzen haben. Daher lohnt es sich, frühzeitig zu handeln, anstatt auf behördlichen Druck zu warten.

Wer ist für die Durchsetzung des KRITIS-Dachgesetzes zuständig?

Die Durchsetzung des KRITIS-Dachgesetzes liegt bei den zuständigen Behörden auf Bundes- und Länderebene. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) spielt dabei eine zentrale koordinierende Rolle, während sektorspezifische Aufsichtsbehörden die operative Kontrolle übernehmen.

Je nach Sektor, in dem ein Betreiber tätig ist, kann die zuständige Aufsichtsbehörde variieren. Das bedeutet für Sie als Betreiber: Sie müssen wissen, welche Behörde für Ihren Bereich verantwortlich ist und welche Anforderungen diese konkret stellt. Die Behörden sind befugt, Nachweise einzufordern, Prüfungen durchzuführen und bei Mängeln verbindliche Anordnungen zu erlassen.

Da das KRITIS-Dachgesetz noch vergleichsweise neu ist und die Umsetzung auf Länderebene noch nicht überall abgeschlossen ist, empfiehlt es sich, den aktuellen Stand der zuständigen Behörde regelmäßig zu prüfen. Die gesetzliche Lage entwickelt sich weiter, und Anforderungen können sich konkretisieren.

Welche Pflichten müssen KRITIS-Betreiber konkret erfüllen?

KRITIS-Betreiber sind verpflichtet, einen strukturierten Risikomanagementprozess für die physische Sicherheit ihrer Anlagen durchzuführen, angemessene Schutzmaßnahmen umzusetzen und diese zu dokumentieren. Außerdem bestehen Registrierungs- und Meldepflichten gegenüber den zuständigen Behörden.

Die Kernpflichten lassen sich in folgende Bereiche gliedern:

Risikobewertung: Betreiber müssen Risiken für ihre kritischen Anlagen systematisch identifizieren und bewerten. Grundlage dafür sind anerkannte Normen wie DIN ISO 31000.
Schutzmaßnahmen: Auf Basis der Risikobewertung sind technische und organisatorische Maßnahmen zu planen und umzusetzen. Dabei geht es um physische Resilienz, also bauliche und technische Schutzkonzepte.
Dokumentation: Alle Maßnahmen und Bewertungen müssen nachvollziehbar dokumentiert werden, damit Behörden die Compliance prüfen können.
Registrierung: Betroffene Betreiber müssen sich bei den zuständigen Behörden registrieren lassen.
Meldepflichten: Sicherheitsvorfälle, die kritische Anlagen betreffen, sind fristgerecht zu melden.

Der Risikomanagementprozess ist dabei keine einmalige Aufgabe. Er muss regelmäßig wiederholt und an veränderte Bedrohungslagen angepasst werden. Wer diesen Prozess einmal sauber aufgesetzt hat, schafft damit auch die Grundlage für alle weiteren Compliance-Nachweise.

Was passiert, wenn Meldepflichten nicht eingehalten werden?

Wer Sicherheitsvorfälle nicht oder nicht rechtzeitig meldet, verstößt gegen eine der zentralen Pflichten des KRITIS-Dachgesetzes. Das kann Bußgelder auslösen und führt in der Regel dazu, dass Behörden die betroffene Einrichtung genauer unter die Lupe nehmen.

Die Meldepflicht dient einem klaren Zweck: Behörden sollen frühzeitig über Vorfälle informiert werden, die die Versorgungssicherheit gefährden könnten. Wer diese Meldung verzögert oder unterlässt, erschwert koordinierte Gegenmaßnahmen auf nationaler Ebene. Das wird von den Aufsichtsbehörden entsprechend ernst genommen.

Für Betreiber bedeutet das in der Praxis: Sie brauchen klare interne Prozesse, die festlegen, wer im Ernstfall für die Meldung zuständig ist, welche Fristen gelten und welche Informationen die Behörde benötigt. Wer diese Prozesse nicht im Voraus definiert, gerät im Krisenfall unter Zeitdruck und läuft Gefahr, Fristen zu verpassen.

Wie können Betreiber kritischer Infrastrukturen Compliance nachweisen?

Betreiber können Compliance gegenüber Behörden durch lückenlose Dokumentation des Risikomanagementprozesses, Nachweise über umgesetzte Schutzmaßnahmen sowie durch Berichte externer Fachgutachter nachweisen. Normenkonformität, etwa nach DIN ISO 31000 oder DIN EN 50726-1, stärkt dabei die Nachweisposition.

Konkret helfen folgende Schritte beim Compliance-Nachweis:

Vollständige Dokumentation der Risikoanalyse inklusive der bewerteten Bedrohungsszenarien
Nachweis, dass bestehende Maßnahmen mit den identifizierten Risiken abgeglichen wurden
Planung und Umsetzung ergänzender Maßnahmen dort, wo Schutzlücken bestehen
Regelmäßige Überprüfung und Aktualisierung der Bewertungen
Externe Fachgutachten oder Audits, die die Angemessenheit der Maßnahmen bestätigen

Ein nützliches Hilfsmittel für den Einstieg ist der KRITIS-Betroffenheitsrechner, mit dem Sie schnell prüfen können, ob Ihre Einrichtung überhaupt unter das KRITIS-Dachgesetz fällt. Das ist die Grundvoraussetzung für alle weiteren Compliance-Schritte.

Wann sollte ein Betreiber externe Fachplanung hinzuziehen?

Externe Fachplanung ist sinnvoll, sobald die internen Ressourcen nicht ausreichen, um einen normenkonformen Risikomanagementprozess durchzuführen oder technische Schutzkonzepte fachgerecht zu planen. Das gilt besonders für Bestandsgebäude, bei denen bauliche Maßnahmen im laufenden Betrieb umgesetzt werden müssen.

Viele Betreiber, darunter Schulen, Hochschulen und kommunale Verwaltungen, verfügen intern nicht über das spezialisierte Fachwissen, das das KRITIS-Dachgesetz erfordert. Gerade bei der Planung von Notfall- und Gefahrenreaktionssystemen (NGRS) oder stiller Alarmierung sind technische Kenntnisse gefragt, die über allgemeines Sicherheitswissen hinausgehen.

Externe Fachplanung empfiehlt sich insbesondere in diesen Situationen:

Sie sind sich unsicher, ob Ihre Einrichtung unter das KRITIS-Dachgesetz fällt
Eine strukturierte Risikoanalyse wurde noch nicht durchgeführt
Bestehende Maßnahmen wurden nicht systematisch mit den Risiken abgeglichen
Technische Systeme wie Alarmierung oder Zutrittskontrolle müssen in Bestandsgebäude integriert werden
Behörden haben Nachbesserungen angeordnet oder eine Prüfung angekündigt

Wer frühzeitig externe Unterstützung holt, spart langfristig Zeit und vermeidet teure Nachbesserungen. Gerade bei Krisenmanagement in öffentlichen Verwaltungen zeigt sich, dass eine strukturierte externe Begleitung den Prozess erheblich beschleunigt.

Wie wir Ihnen bei der KRITIS-Compliance helfen

Wir vom Ingenieurbüro Michael Schenkelberg unterstützen Sie dabei, die Anforderungen des KRITIS-Dachgesetzes strukturiert und praxisnah umzusetzen. Unsere Leistungen richten sich an Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen, Schulen und Hochschulen, die Klarheit über ihre Pflichten und konkrete Unterstützung bei der Umsetzung brauchen.

Das bieten wir Ihnen konkret:

Risikobewertung nach DIN ISO 31000 und DIN EN 50726-1: Wir identifizieren und bewerten Risiken für Ihre Anlagen systematisch und dokumentieren die Ergebnisse behördensicher.
Entwicklung passender Schutzmaßnahmen: Auf Basis der Risikobewertung entwickeln wir technische und organisatorische Maßnahmen, die zu Ihrer Einrichtung und Ihrem Budget passen.
Fachplanung technischer Systeme: Wir planen Notfall- und Gefahrenreaktionssysteme (NGRS), stille Alarmierung und bauliche Schutzkonzepte, auch für den laufenden Betrieb in Bestandsgebäuden.
Begleitung bei der Umsetzung: Wir begleiten Sie von der ersten Analyse bis zur behördlichen Dokumentation und stehen bei Rückfragen der Aufsichtsbehörden zur Seite.

Starten Sie mit einer schnellen Ersteinschätzung: Über unseren KRITIS-Betroffenheitsrechner prüfen Sie unkompliziert, ob Ihre Einrichtung unter das Gesetz fällt. Für eine individuelle Beratung stehen wir Ihnen jederzeit zur Verfügung. Nehmen Sie gerne Kontakt mit uns auf und wir besprechen gemeinsam, welche Schritte für Sie sinnvoll sind.

Michael Schenkelberg