Das KRITIS-Dachgesetz definiert Kritische Infrastrukturen als Einrichtungen, Systeme und Anlagen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Sicherheit, die Versorgung der Bevölkerung oder das staatliche Gemeinwesen hätte. Es handelt sich um das erste sektorübergreifende deutsche Gesetz, das physische Resilienz und Risikomanagement für Betreiber verbindlich regelt. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um das Gesetz und seine praktischen Konsequenzen für Betreiber.
Welche Sektoren zählen nach dem KRITIS-Dachgesetz zur Kritischen Infrastruktur?
Das KRITIS-Dachgesetz erfasst elf Sektoren, die als systemrelevant für das Funktionieren des Gemeinwesens gelten. Dazu gehören Energie, Wasser, Ernährung, Gesundheit, Transport und Verkehr, digitale Infrastruktur, Finanz- und Versicherungswesen, Siedlungsabfallentsorgung, Weltraum, öffentliche Verwaltung sowie Kultur und Medien. Fällt ein Sektor aus, drohen weitreichende gesellschaftliche Folgen.
Die Auswahl dieser Sektoren folgt einer klaren Logik: Sie bilden die Grundversorgung moderner Gesellschaften ab. Energie und Wasser sichern das tägliche Leben, Gesundheitseinrichtungen schützen Menschenleben, und Behörden sowie öffentliche Verwaltungen halten staatliche Strukturen aufrecht. Auch Bildungseinrichtungen können in bestimmten Konstellationen als Teil der öffentlichen Verwaltung oder eines anderen Sektors betroffen sein.
Wichtig ist zu verstehen, dass das KRITIS-Dachgesetz sich auf die physische Resilienz dieser Sektoren konzentriert. Es geht um den Schutz vor physischen Bedrohungen, Sabotage, Naturkatastrophen und anderen Gefährdungen, die den Betrieb unterbrechen können. Die IT- und Cybersicherheit wird durch separate Regelwerke wie NIS2 abgedeckt und sollte nicht mit den Anforderungen des KRITIS-Dachgesetzes vermischt werden.
Wie wird ein Unternehmen als KRITIS-Betreiber eingestuft?
Ein Unternehmen oder eine Einrichtung gilt als KRITIS-Betreiber, wenn es eine Anlage betreibt, die einem der elf Sektoren des KRITIS-Dachgesetzes angehört und bestimmte Schwellenwerte überschreitet. Diese Schwellenwerte beziehen sich auf die Versorgungsrelevanz der Anlage, also darauf, wie viele Menschen oder wie viel kritische Infrastruktur von ihr abhängt.
Die genaue Einstufung erfolgt anhand von Kriterien, die das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) gemeinsam mit den zuständigen Fachbehörden festlegt. Für viele Betreiber ist es nicht auf den ersten Blick erkennbar, ob sie betroffen sind. Eine strukturierte Prüfung der eigenen Anlage anhand der gesetzlichen Kriterien ist daher der erste notwendige Schritt.
Um diese Einschätzung zu erleichtern, bieten wir einen KRITIS-Betroffenheitsrechner an, mit dem Betreiber schnell und unkompliziert prüfen können, ob ihre Einrichtung unter das Gesetz fällt. Dieses Werkzeug ist ein praktischer Einstieg, bevor eine vollständige Risikoanalyse folgt.
Was sind die konkreten Pflichten für KRITIS-Betreiber?
KRITIS-Betreiber sind nach dem Gesetz verpflichtet, geeignete Maßnahmen zur Stärkung der physischen Resilienz ihrer Anlagen zu treffen. Das umfasst im Kern drei Bereiche: die Durchführung einer Risikoanalyse und Risikobewertung, die Umsetzung geeigneter Schutzmaßnahmen sowie die Erstellung eines Sicherheitsplans.
Konkret müssen Betreiber:
- Eine systematische Risikoanalyse durchführen, die potenzielle Bedrohungen und Schwachstellen der Anlage identifiziert
- Bestehende Schutzmaßnahmen mit den identifizierten Risiken abgleichen und Lücken feststellen
- Technische und organisatorische Maßnahmen planen und umsetzen, um die Resilienz zu erhöhen
- Einen Sicherheitsplan erstellen und diesen regelmäßig aktualisieren
- Störungen und Vorfälle an die zuständigen Behörden melden
- Nachweise über die Umsetzung der Maßnahmen erbringen
Der Risikomanagementprozess bildet dabei die Grundlage für alles Weitere. Ohne eine fundierte Analyse der tatsächlichen Gefährdungslage lassen sich keine zielgerichteten Maßnahmen planen. Normen wie DIN ISO 31000 bieten hierfür einen anerkannten methodischen Rahmen. Weitere Informationen zu den angebotenen Sicherheitsdienstleistungen helfen Ihnen, den richtigen Einstieg zu finden.
Welche Behörden sind für die Umsetzung des KRITIS-Dachgesetzes zuständig?
Die zentrale Behörde für das KRITIS-Dachgesetz ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Es koordiniert die übergreifende Umsetzung, legt Anforderungen fest und ist Anlaufstelle für Betreiber. Daneben sind sektorspezifische Bundesbehörden zuständig, die das BBK in ihren jeweiligen Bereichen unterstützen.
Je nach Sektor übernehmen unterschiedliche Behörden die fachliche Aufsicht:
- Energie: Bundesnetzagentur
- Gesundheit: Bundesministerium für Gesundheit und nachgeordnete Behörden
- Wasser: Umweltbehörden auf Bundes- und Länderebene
- Transport und Verkehr: Bundesministerium für Digitales und Verkehr
- Öffentliche Verwaltung: Behörden auf Bundes- und Länderebene
Für Betreiber bedeutet das in der Praxis: Sie haben in der Regel mehrere Ansprechpartner. Das BBK gibt den allgemeinen Rahmen vor, während die sektorspezifischen Behörden konkrete Anforderungen und Nachweise einfordern können. Eine frühzeitige Abstimmung mit den zuständigen Stellen ist ratsam.
Was passiert bei Verstößen gegen das KRITIS-Dachgesetz?
Verstöße gegen die Pflichten des KRITIS-Dachgesetzes können mit erheblichen Bußgeldern geahndet werden. Das Gesetz sieht Sanktionen für Betreiber vor, die ihrer Pflicht zur Risikoanalyse, zur Umsetzung von Schutzmaßnahmen oder zur Meldung von Vorfällen nicht nachkommen. Die genauen Bußgeldrahmen sind im Gesetzestext festgelegt.
Neben den finanziellen Konsequenzen drohen bei Verstößen auch behördliche Anordnungen, die Betreiber zur unverzüglichen Nachbesserung verpflichten. In schwerwiegenden Fällen können Betriebseinschränkungen angeordnet werden. Hinzu kommt das Reputationsrisiko, das entsteht, wenn bekannt wird, dass eine Einrichtung ihrer gesetzlichen Verantwortung nicht nachgekommen ist.
Wichtig: Das Gesetz befindet sich in Teilen noch in der Umsetzungsphase. Betreiber sollten die aktuellen Entwicklungen aufmerksam verfolgen und sich frühzeitig auf die Anforderungen vorbereiten, anstatt auf endgültige Fristen zu warten. Auf der FAQ-Seite finden Sie Antworten auf häufig gestellte Fragen zum Thema.
Wie können Betreiber Kritischer Infrastrukturen die gesetzlichen Anforderungen erfüllen?
Betreiber erfüllen die Anforderungen des KRITIS-Dachgesetzes, indem sie einen strukturierten Risikomanagementprozess einführen: Risiken identifizieren, deren Auswirkungen bewerten, bestehende Schutzmaßnahmen abgleichen und gezielt technische sowie organisatorische Maßnahmen umsetzen. Dieser Prozess bildet die gesetzlich geforderte Grundlage für alle weiteren Schritte.
In der Praxis empfiehlt sich folgendes Vorgehen:
- Betroffenheit prüfen: Zunächst klären, ob die eigene Anlage unter das KRITIS-Dachgesetz fällt und welche Sektorregeln gelten
- Risikoanalyse durchführen: Potenzielle Bedrohungen und Schwachstellen systematisch erfassen, zum Beispiel nach DIN ISO 31000
- Schutzmaßnahmen bewerten: Bestehende Maßnahmen auf ihre Wirksamkeit prüfen und Lücken identifizieren
- Maßnahmen planen und umsetzen: Technische Lösungen wie bauliche Schutzkonzepte, Alarmierungssysteme oder Notfall- und Gefahrenreaktionssysteme (NGRS) entwickeln und realisieren
- Dokumentieren und melden: Alle Schritte nachvollziehbar dokumentieren und Meldepflichten gegenüber den Behörden einhalten
Für Bestandsgebäude gilt: Viele Schutzmaßnahmen lassen sich auch ohne vollständige Sanierung umsetzen. Notfall- und Gefahrenreaktionssysteme können im laufenden Betrieb geplant und errichtet werden, was besonders für öffentliche Verwaltungen und Bildungseinrichtungen relevant ist. Mehr dazu erfahren Sie im Bereich Krisenmanagement für öffentliche Verwaltungen.
Wie wir Betreiber Kritischer Infrastrukturen bei der KRITIS-Dachgesetz-Umsetzung unterstützen
Wir begleiten Betreiber Kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen bei jedem Schritt der Umsetzung. Unser Ansatz ist konkret und praxisorientiert:
- Betroffenheitsanalyse: Mit unserem KRITIS-Betroffenheitsrechner klären wir gemeinsam mit Ihnen, ob und in welchem Umfang das Gesetz für Ihre Einrichtung gilt
- Risikoanalyse und Risikobewertung: Wir führen strukturierte Analysen auf Basis anerkannter Normen durch und identifizieren konkrete Gefährdungen für Ihre Anlage
- Entwicklung von Schutzmaßnahmen: Auf Basis der Analyseergebnisse entwickeln wir technische und organisatorische Lösungen, die zu Ihrer Situation passen
- Fachplanung technischer Systeme: Wir planen und begleiten die Umsetzung von Notfall- und Gefahrenreaktionssystemen, auch in Bestandsgebäuden
- Schulung und Begleitung: Wir bereiten Ihre Mitarbeiterinnen und Mitarbeiter auf Notfallsituationen vor und unterstützen Sie bei der Dokumentation gegenüber den Behörden
Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen mit und ist zertifizierter Notfall- und Krisenmanager sowie aktives Mitglied in nationalen und internationalen Normungsausschüssen. Wenn Sie wissen möchten, wie wir Ihre Einrichtung konkret unterstützen können, nehmen Sie gerne Kontakt auf.
Ähnliche Artikel
- Warum ist das KRITIS-Dachgesetz für öffentliche Einrichtungen wichtig?
- Was passiert bei Nichteinhaltung des KRITIS-Dachgesetzes?
- Wie schützt man Schüler vor Gewalt auf dem Schulgelände?
- Wie funktioniert eine Risikoanalyse nach dem KRITIS-Dachgesetz?
- Wie beeinflusst Schularchitektur die Sicherheit von Schülern?