Physische Resilienz im Sinne des KRITIS-Dachgesetzes bezeichnet die Fähigkeit kritischer Anlagen, physischen Bedrohungen standzuhalten, sich darauf vorzubereiten und nach Störungen den Betrieb möglichst schnell wiederherzustellen. Das Gesetz verpflichtet Betreiber kritischer Infrastrukturen dazu, nicht nur digitale, sondern auch bauliche, organisatorische und technische Schutzmaßnahmen systematisch zu planen und umzusetzen. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um physische Sicherheit, betroffene Betreiber und die praktische Umsetzung.
Welche Anforderungen stellt das KRITIS-Dachgesetz an physische Resilienz?
Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen dazu, physische Resilienz durch einen strukturierten Risikomanagementprozess herzustellen. Konkret bedeutet das: Risiken identifizieren, bewerten, mit bestehenden Schutzmaßnahmen abgleichen und anschließend geeignete technische sowie organisatorische Maßnahmen planen und umsetzen. Dieser Prozess bildet die gesetzliche Grundlage für alle weiteren Schritte.
Die Anforderungen richten sich ausdrücklich auf physische Bedrohungsszenarien wie unbefugten Zutritt, Sabotage, Naturkatastrophen oder den Ausfall technischer Systeme. Betreiber müssen nachweisen, dass sie diese Risiken systematisch erfasst und bewertet haben. Anerkannte Normen wie die DIN ISO 31000 liefern dafür einen bewährten methodischen Rahmen.
Zu den typischen Maßnahmen, die das Gesetz im Bereich der physischen Sicherheit erwartet, gehören unter anderem:
- Zutrittskontrolle und Perimeterschutz für kritische Bereiche
- Bauliche Schutzkonzepte, die unbefugten Zugang erschweren
- Systeme zur stillen Alarmierung und Notfallkommunikation
- Notfall- und Gefahrenreaktionssysteme (NGRS) für einen koordinierten Einsatz im Ernstfall
- Regelmäßige Überprüfung und Aktualisierung der Schutzmaßnahmen
Wichtig: Das KRITIS-Dachgesetz schreibt keine starren Einzelmaßnahmen vor, sondern verlangt einen risikobasierten Ansatz. Was genau umzusetzen ist, ergibt sich aus der individuellen Risikoanalyse der jeweiligen Anlage.
Was unterscheidet physische Resilienz von Cybersicherheit im KRITIS-Kontext?
Physische Resilienz und Cybersicherheit sind im KRITIS-Kontext zwei klar getrennte Schutzebenen. Physische Resilienz bezieht sich auf den Schutz von Gebäuden, Anlagen, Personal und Prozessen vor realen, greifbaren Bedrohungen. Cybersicherheit hingegen adressiert den Schutz digitaler Systeme, Netzwerke und Daten vor Angriffen im digitalen Raum.
Im deutschen Rechtsrahmen werden diese beiden Bereiche durch unterschiedliche Gesetze geregelt. Das KRITIS-Dachgesetz konzentriert sich auf physische Sicherheit und Resilienz. Die Anforderungen an IT- und Cybersicherheit kritischer Infrastrukturen werden dagegen durch das BSI-Gesetz sowie die europäische NIS2-Richtlinie und deren nationale Umsetzung geregelt. Beide Regelwerke ergänzen sich, sollten aber nicht miteinander vermischt werden.
Praktisch bedeutet das für Betreiber: Ein Unternehmen kann hervorragend gegen Cyberangriffe geschützt sein und trotzdem erhebliche physische Schwachstellen haben, zum Beispiel ungesicherte Zugänge zu Serverräumen, fehlende Notfallpläne für Stromausfälle oder unzureichend geschultes Personal für physische Bedrohungslagen. Beide Schutzebenen brauchen eigene Risikoanalysen und eigene Maßnahmen.
Welche Betreiber sind von den Resilienzpflichten des KRITIS-Dachgesetzes betroffen?
Betroffen sind grundsätzlich Betreiber kritischer Anlagen in den vom Gesetz definierten Sektoren, sofern ihre Anlage bestimmte Schwellenwerte überschreitet und damit als kritisch eingestuft wird. Das KRITIS-Dachgesetz erfasst Sektoren wie Energie, Wasser, Ernährung, Gesundheit, Transport und Verkehr, digitale Infrastruktur sowie öffentliche Verwaltung und Justiz.
Ob eine konkrete Einrichtung unter das Gesetz fällt, hängt von ihrer Bedeutung für die Versorgung der Bevölkerung ab. Kleinere Betriebe ohne überregionale Relevanz sind in der Regel nicht direkt betroffen. Größere Krankenhäuser, Wasserversorger, Energieversorger oder Behörden mit bedeutender Versorgungsfunktion hingegen schon.
Für öffentliche Verwaltungen, Schulen und Hochschulen gilt: Je nach Größe und Funktion können auch sie in den Anwendungsbereich fallen oder zumindest freiwillig von den Anforderungen profitieren. Gerade Bildungseinrichtungen mit hoher Personendichte haben ein berechtigtes Interesse an physischen Schutzkonzepten und Notfall- und Gefahrenreaktionssystemen, unabhängig davon, ob sie gesetzlich verpflichtet sind.
Wenn Sie unsicher sind, ob Ihre Einrichtung betroffen ist, hilft der KRITIS-Betroffenheitsrechner dabei, das schnell und unkompliziert zu klären.
Wie lässt sich physische Resilienz in bestehenden Einrichtungen umsetzen?
Physische Resilienz lässt sich auch in Bestandsgebäuden schrittweise und ohne vollständige Sanierung aufbauen. Der Ausgangspunkt ist immer eine strukturierte Risikoanalyse: Welche Bedrohungen bestehen, welche Schwachstellen gibt es, und welche Schutzmaßnahmen sind bereits vorhanden? Erst auf Basis dieser Bewertung lassen sich sinnvolle und verhältnismäßige Maßnahmen planen.
Risikoanalyse als Grundlage
Eine fundierte Risikoanalyse nach DIN ISO 31000 oder DIN EN 50726-1 erfasst systematisch alle relevanten Bedrohungsszenarien, bewertet deren Eintrittswahrscheinlichkeit und mögliche Auswirkungen und gleicht das Ergebnis mit bestehenden Schutzmaßnahmen ab. Daraus entsteht eine klare Priorisierung: Welche Lücken sind dringend zu schließen, welche können mittelfristig angegangen werden?
Technische und organisatorische Maßnahmen im Bestand
Viele physische Schutzmaßnahmen lassen sich nachträglich in bestehende Gebäude integrieren. Notfall- und Gefahrenreaktionssysteme (NGRS) zum Beispiel können im laufenden Betrieb errichtet werden, ohne dass ein Gebäude dafür grundlegend umgebaut werden müsste. Das umfasst stille Alarmierungssysteme, Zutrittskontrolllösungen und technische Kommunikationswege für den Ernstfall.
Ergänzend dazu spielen organisatorische Maßnahmen eine wichtige Rolle: Notfallpläne, Schulungen für Mitarbeiterinnen und Mitarbeiter sowie klare Verantwortlichkeiten im Krisenfall. Gut geschultes Personal kann im Ernstfall den Unterschied machen, bevor technische Systeme greifen.
Einen Überblick über mögliche Sicherheitsdienstleistungen für Bestandsgebäude finden Sie auf unserer Website.
Welche Folgen drohen bei Nichterfüllung der Resilienzanforderungen?
Betreiber kritischer Anlagen, die die Resilienzpflichten des KRITIS-Dachgesetzes nicht erfüllen, riskieren behördliche Maßnahmen, Bußgelder und im Ernstfall auch zivilrechtliche Haftung. Das Gesetz sieht Nachweispflichten vor, das heißt, Betreiber müssen auf Anfrage belegen können, dass sie einen angemessenen Risikomanagementprozess durchgeführt und geeignete Maßnahmen ergriffen haben.
Neben rechtlichen Konsequenzen drohen vor allem operative Risiken: Wer physische Schwachstellen nicht kennt und nicht behebt, ist im Ernstfall schlecht vorbereitet. Ein Sicherheitsvorfall, der durch fehlende Schutzmaßnahmen begünstigt wurde, kann den Betrieb für Stunden oder Tage lahmlegen und damit die Versorgungssicherheit der Bevölkerung gefährden.
Hinweis: Das KRITIS-Dachgesetz befindet sich in der Umsetzungsphase. Die genauen Bußgeldrahmen und Durchsetzungsmechanismen können sich noch konkretisieren. Es empfiehlt sich, den aktuellen Stand der Gesetzgebung regelmäßig zu verfolgen und frühzeitig mit der Umsetzung zu beginnen, anstatt auf finale Regelungen zu warten. Wer jetzt handelt, schafft nicht nur Rechtssicherheit, sondern baut echte Schutzwirkung auf.
Wie wir Sie beim Aufbau physischer Resilienz unterstützen
Das Ingenieurbüro Michael Schenkelberg begleitet Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen auf dem gesamten Weg zur physischen Resilienz. Unser Ansatz ist dabei immer risikobasiert und auf Ihre konkrete Situation zugeschnitten.
Wir unterstützen Sie konkret mit:
- Strukturierten Risikoanalysen und Gefährdungsbeurteilungen nach DIN ISO 31000 und DIN EN 50726-1
- Entwicklung und Bewertung passender Schutzmaßnahmen für Ihre Anlage oder Einrichtung
- Technischer Fachplanung für Notfall- und Gefahrenreaktionssysteme (NGRS), auch im Bestandsbau
- Planung baulicher Schutzkonzepte und technischer Lösungen wie stiller Alarmierung
- Schulungen für Mitarbeiterinnen und Mitarbeiter zu Bedrohungs- und Krisenmanagement
- Begleitung bei der Umsetzung und Dokumentation Ihrer Resilienzmaßnahmen
Mit mehr als 25 Jahren Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen sowie aktiver Mitarbeit in nationalen und internationalen Normungsausschüssen bringen wir das fachliche Fundament mit, das Sie für eine rechtssichere und wirksame Umsetzung brauchen.
Nutzen Sie zunächst unseren KRITIS-Betroffenheitsrechner, um zu prüfen, ob und in welchem Umfang Ihre Einrichtung betroffen ist. Anschließend stehen wir Ihnen gerne für ein erstes Gespräch zur Verfügung. Nehmen Sie jetzt Kontakt auf und wir schauen gemeinsam, wie wir Ihre physische Resilienz gezielt stärken können.
Ähnliche Artikel
- Welche Sektoren fallen unter das KRITIS-Dachgesetz?
- Wie bereitet man Lehrkräfte auf Sicherheitsvorfälle vor?
- Wie funktioniert Cybersicherheit an Schulen und warum ist sie wichtig?
- Wie verändert das KRITIS-Dachgesetz die Sicherheitsanforderungen im Energiesektor?
- Was ist das KRITIS-Dachgesetz und wen betrifft es?