Die größten Herausforderungen bei der Umsetzung des KRITIS-Dachgesetzes liegen in der Kombination aus komplexen Risikoanalysen, sektorübergreifenden Anforderungen und knappen Umsetzungsfristen. Viele Betreiber kritischer Infrastrukturen stehen vor der Aufgabe, physische Schutzmaßnahmen systematisch zu planen, ohne bisher über entsprechende Prozesse oder Fachkenntnisse zu verfügen. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Pflichten, Fristen und praktische Umsetzung.
Welche Fristen und Pflichten gelten für Betreiber nach dem KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen zu einer Reihe konkreter Maßnahmen: Sie müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren, Risikoanalysen durchführen, Resilienzpläne erstellen und Sicherheitsvorfälle melden. Die genauen Fristen sind gestaffelt und hängen vom jeweiligen Sektor sowie der Einstufung der Anlage ab.
Das Gesetz trat 2024 in Kraft. Betreiber, die als kritische Anlage eingestuft werden, haben in der Regel nach ihrer Registrierung eine Frist von zwei Jahren, um einen vollständigen Resilienzplan vorzulegen. Dieser Plan muss die Ergebnisse der Risikoanalyse widerspiegeln und konkrete technische sowie organisatorische Maßnahmen beschreiben.
Zu den zentralen Pflichten zählen:
- Registrierung beim BBK als Betreiber einer kritischen Anlage
- Durchführung einer strukturierten Risikoanalyse auf Basis anerkannter Methoden
- Erstellung und regelmäßige Aktualisierung eines Resilienzplans
- Meldung erheblicher Sicherheitsvorfälle an die zuständige Behörde
- Umsetzung geeigneter physischer Schutzmaßnahmen
Ob Ihre Einrichtung überhaupt unter das KRITIS-Dachgesetz fällt, lässt sich mit dem KRITIS-Betroffenheitsrechner schnell und unkompliziert prüfen.
Warum fällt die Risikoanalyse nach KRITIS-Dachgesetz so vielen Organisationen schwer?
Die Risikoanalyse nach dem KRITIS-Dachgesetz ist für viele Organisationen eine Herausforderung, weil sie einen strukturierten, normenkonformen Prozess erfordert, den die meisten Betreiber bisher nicht etabliert haben. Es geht nicht darum, Risiken intuitiv einzuschätzen, sondern sie systematisch zu identifizieren, zu bewerten und mit bestehenden Schutzmaßnahmen abzugleichen.
Der Prozess folgt einem klaren Ablauf: Zuerst werden alle relevanten Gefährdungen erfasst, also zum Beispiel Naturereignisse, technisches Versagen oder physische Angriffe. Danach bewertet man Eintrittswahrscheinlichkeit und Schadensausmaß. Im nächsten Schritt prüft man, welche Maßnahmen bereits vorhanden sind, und leitet daraus den verbleibenden Handlungsbedarf ab. Normen wie DIN ISO 31000 bieten dabei einen bewährten Rahmen.
Typische Schwierigkeiten in der Praxis:
- Fehlende interne Fachkompetenz für normenkonforme Risikoanalysen
- Unklare Systemgrenzen: Was gehört zur kritischen Anlage, was nicht?
- Mangelnde Dokumentation bestehender Schutzmaßnahmen
- Schwierigkeiten bei der Bewertung physischer Bedrohungsszenarien
- Unsicherheit darüber, welche Maßnahmen als ausreichend gelten
Der Risikomanagementprozess bildet die Grundlage für alles Weitere. Wer diesen Schritt sorgfältig durchführt, hat eine solide Basis für den Resilienzplan und die Auswahl geeigneter Schutzmaßnahmen.
Wie unterscheiden sich die Anforderungen für verschiedene KRITIS-Sektoren?
Das KRITIS-Dachgesetz definiert mehrere Sektoren kritischer Infrastrukturen, darunter Energie, Wasser, Verkehr, Gesundheit, Ernährung und öffentliche Verwaltung. Die grundlegenden Pflichten gelten sektorübergreifend, aber die konkreten Bedrohungsszenarien, Schwellenwerte und relevanten Schutzmaßnahmen unterscheiden sich je nach Sektor erheblich.
Ein Wasserversorger steht vor anderen physischen Risiken als ein Krankenhaus oder ein Rechenzentrum. Entsprechend unterschiedlich fallen die Risikoanalysen und die daraus abgeleiteten Resilienzpläne aus. Wichtig ist dabei: Das KRITIS-Dachgesetz fokussiert sich auf die physische Sicherheit und Resilienz kritischer Anlagen. Es ist klar von NIS2 und den Anforderungen zur IT- und Cybersicherheit zu trennen, auch wenn beide Regelwerke für denselben Betreiber relevant sein können.
Für öffentliche Verwaltungen und Bildungseinrichtungen, die unter das Gesetz fallen, bedeutet das konkret: Sie müssen ihre Gebäude, Zufahrten, Versorgungssysteme und Kommunikationswege auf physische Verwundbarkeiten prüfen und geeignete bauliche sowie technische Maßnahmen planen.
Welche technischen Schutzmaßnahmen verlangt das KRITIS-Dachgesetz konkret?
Das KRITIS-Dachgesetz schreibt keine abschließende Liste technischer Maßnahmen vor. Stattdessen verlangt es, dass Betreiber auf Basis ihrer Risikoanalyse geeignete und verhältnismäßige Maßnahmen zum Schutz ihrer kritischen Anlage ergreifen. Welche das sind, ergibt sich aus dem individuellen Risikoprofil der Einrichtung.
In der Praxis kommen je nach Ergebnis der Risikoanalyse folgende technische Maßnahmen in Betracht:
- Bauliche Schutzmaßnahmen wie gesicherte Zugänge, Zäune oder einbruchhemmende Elemente
- Zutrittskontrollsysteme für sensible Bereiche
- Videoüberwachung und Perimeterschutz
- Stille Alarmierungssysteme für den Notfall
- Notfall- und Gefahrenreaktionssysteme (NGRS), die auch in Bestandsgebäuden ohne vollständige Sanierung errichtet werden können
- Redundante Kommunikations- und Versorgungssysteme
Besonders relevant für Betreiber in Bestandsgebäuden: Viele dieser Maßnahmen lassen sich im laufenden Betrieb umsetzen. Eine sorgfältige Fachplanung stellt sicher, dass die gewählten Lösungen zur Gebäudestruktur passen und die gesetzlichen Anforderungen erfüllen. Mehr zu den möglichen Sicherheitsdienstleistungen finden Sie auf unserer Website.
Was passiert bei Nichteinhaltung der Anforderungen des KRITIS-Dachgesetzes?
Betreiber kritischer Anlagen, die ihre Pflichten nach dem KRITIS-Dachgesetz nicht erfüllen, riskieren Bußgelder und behördliche Auflagen. Das Gesetz sieht Sanktionsmöglichkeiten vor, deren genaue Ausgestaltung von den zuständigen Behörden und dem jeweiligen Verstoß abhängt. Hinzu kommt das operative Risiko: Wer keine ausreichenden Schutzmaßnahmen trifft, gefährdet die Versorgungssicherheit und damit Menschen.
Neben den rechtlichen Konsequenzen sollten Betreiber auch die praktischen Folgen im Blick behalten. Ein Sicherheitsvorfall, der auf unzureichende Schutzmaßnahmen zurückzuführen ist, kann Betriebsunterbrechungen, Reputationsschäden und zivilrechtliche Haftungsrisiken nach sich ziehen.
Wichtig: Da das KRITIS-Dachgesetz noch vergleichsweise neu ist und die Behörden derzeit die Umsetzung begleiten, empfiehlt es sich, frühzeitig aktiv zu werden und den Dialog mit der zuständigen Behörde zu suchen, anstatt Fristen zu ignorieren. Wer nachweisen kann, dass er einen strukturierten Prozess eingeleitet hat, steht in der Regel besser da als jemand, der gar nichts unternommen hat.
Wann sollten Betreiber externe Fachplanung für die KRITIS-Umsetzung hinzuziehen?
Externe Fachplanung ist sinnvoll, sobald die interne Kompetenz für normenkonforme Risikoanalysen, technische Schutzkonzepte oder die Erstellung von Resilienzplänen fehlt. Das ist bei den meisten Betreibern kritischer Infrastrukturen der Fall, weil diese Aufgaben ein spezialisiertes Wissen erfordern, das über den normalen Betrieb hinausgeht.
Konkret lohnt sich der Einsatz externer Fachplanung in folgenden Situationen:
- Sie sind unsicher, ob Ihre Einrichtung überhaupt unter das KRITIS-Dachgesetz fällt
- Sie haben noch keine strukturierte Risikoanalyse nach DIN ISO 31000 oder vergleichbaren Normen durchgeführt
- Ihre Einrichtung befindet sich in einem Bestandsgebäude, das technisch nachgerüstet werden muss
- Sie benötigen einen Resilienzplan, der behördlichen Anforderungen standhält
- Sie möchten technische Systeme wie NGRS oder stille Alarmierung planen und implementieren
Für Bildungseinrichtungen und öffentliche Verwaltungen, die häufig mit begrenzten Ressourcen und komplexen Bestandsstrukturen arbeiten, ist externe Unterstützung oft der schnellste Weg zu einer rechtssicheren und funktionalen Lösung. Mehr dazu, wie andere öffentliche Einrichtungen mit diesen Anforderungen umgehen, erfahren Sie im Beitrag zum Krisenmanagement in öffentlichen Verwaltungen.
Wie wir Sie bei der Umsetzung des KRITIS-Dachgesetzes unterstützen
Das Ingenieurbüro Michael Schenkelberg begleitet Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen bei jedem Schritt der KRITIS-Umsetzung. Unser Ansatz ist praxisorientiert und folgt einem klaren Prozess: Risiken identifizieren, bewerten, mit bestehenden Maßnahmen abgleichen und dann geeignete technische oder organisatorische Lösungen planen.
Wir bieten Ihnen konkret:
- Strukturierte Risikoanalysen auf Basis von DIN ISO 31000 und DIN EN 50726-1
- Erstellung und Überprüfung von Resilienzplänen nach den Anforderungen des KRITIS-Dachgesetzes
- Technische Fachplanung für bauliche Schutzmaßnahmen und Notfall- und Gefahrenreaktionssysteme (NGRS)
- Planung stiller Alarmierungssysteme und weiterer Sicherheitstechnik, auch in Bestandsgebäuden
- Beratung zur Frage, ob Ihre Einrichtung betroffen ist, mit unserem KRITIS-Betroffenheitsrechner
Michael Schenkelberg ist zertifizierter Notfall- und Krisenmanager des BdSi und verfügt über mehr als 25 Jahre Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen. Er ist aktives Mitglied in nationalen und internationalen Normungsausschüssen und kennt die Anforderungen des KRITIS-Dachgesetzes aus erster Hand.
Haben Sie Fragen zu Ihrer KRITIS-Betroffenheit oder möchten Sie mit der Risikoanalyse starten? Nehmen Sie Kontakt auf und wir besprechen gemeinsam den nächsten sinnvollen Schritt für Ihre Einrichtung.
Ähnliche Artikel
- Was ist ein Resilienzplan und wer muss ihn nach dem KRITIS-Dachgesetz erstellen?
- Wie unterscheidet sich Sicherheit in Grundschulen und weiterführenden Schulen?
- Warum ist das KRITIS-Dachgesetz für öffentliche Einrichtungen wichtig?
- Welche Sektoren fallen unter das KRITIS-Dachgesetz?
- Wie beeinflusst Schularchitektur die Sicherheit von Schülern?