Welche Behörden überwachen die Einhaltung des KRITIS-Dachgesetzes?

Michael Schenkelberg · 16 Sep. 2026

Für die Überwachung des KRITIS-Dachgesetzes sind auf Bundesebene vor allem das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) sowie sektorspezifische Bundesbehörden zuständig. Auf Landesebene kommen je nach Sektor und Aufgabe weitere Behörden hinzu. Welche Stelle konkret für einen Betreiber zuständig ist, hängt davon ab, in welchem Sektor die kritische Anlage betrieben wird. Die folgenden Abschnitte erklären die Zuständigkeiten, Befugnisse und Nachweispflichten im Detail.

Welche Bundesbehörden sind für die KRITIS-Aufsicht zuständig?

Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) ist die zentrale Koordinierungsstelle für die Überwachung des KRITIS-Dachgesetzes auf Bundesebene. Es übernimmt die übergeordnete Aufsicht über die physische Resilienz kritischer Anlagen und arbeitet dabei eng mit sektorspezifischen Bundesbehörden zusammen, die in ihren jeweiligen Fachbereichen die operative Aufsicht ausüben.

Das KRITIS-Dachgesetz verteilt die Aufsichtsverantwortung bewusst auf mehrere Stellen, weil kritische Infrastrukturen sehr unterschiedliche Bereiche abdecken. Das BBK koordiniert die Umsetzung und stellt sicher, dass ein einheitlicher Standard für physische Sicherheitsmaßnahmen eingehalten wird. Sektorspezifische Bundesbehörden bringen ihr jeweiliges Fachwissen ein und prüfen, ob Betreiber die gesetzlichen Anforderungen in ihrem Bereich erfüllen.

Wichtig: Das KRITIS-Dachgesetz konzentriert sich auf die physische Sicherheit und Resilienz kritischer Anlagen. Es ist klar von der NIS-2-Richtlinie und dem BSI-Gesetz zu trennen, die sich auf IT- und Cybersicherheit beziehen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist im Rahmen des KRITIS-Dachgesetzes nicht federführend, sondern bleibt für die Cybersicherheit zuständig.

Welche Rolle spielen die Landesbehörden bei der KRITIS-Überwachung?

Landesbehörden übernehmen im Rahmen der KRITIS-Überwachung vor allem dann eine aktive Rolle, wenn kritische Infrastrukturen in Sektoren fallen, für die die Länder originäre Zuständigkeiten besitzen. Das gilt zum Beispiel für Bereiche wie Bildung, Gesundheitsversorgung auf Landesebene oder Teile der öffentlichen Verwaltung. Sie ergänzen die Bundesaufsicht und sind häufig erste Ansprechpartner für Betreiber vor Ort.

In der Praxis bedeutet das: Betreiber kritischer Anlagen müssen nicht nur die Anforderungen der zuständigen Bundesbehörde erfüllen, sondern auch landesrechtliche Vorgaben berücksichtigen. Gerade für Einrichtungen wie Schulen, Hochschulen oder kommunale Verwaltungen ist die Zusammenarbeit mit Landesbehörden besonders relevant, weil diese Einrichtungen häufig in die Zuständigkeit der Bundesländer fallen.

Landesbehörden können außerdem im Rahmen von Katastrophenschutz und Krisenmanagement eigene Anforderungen an Betreiber stellen. Wer als Betreiber einer kritischen Anlage eingestuft wird, sollte daher frühzeitig klären, welche Landes- und Bundesbehörden für seine Anlage konkret zuständig sind. Ein erster Schritt ist die Prüfung der eigenen Betroffenheit, zum Beispiel mit einem KRITIS-Betroffenheitsrechner.

Wie unterscheiden sich die Zuständigkeiten je nach KRITIS-Sektor?

Die Zuständigkeiten der Aufsichtsbehörden unterscheiden sich je nach Sektor erheblich, weil das KRITIS-Dachgesetz die Aufsicht sektorspezifisch organisiert. Für jeden der im Gesetz definierten Sektoren ist eine fachlich zuständige Bundesbehörde vorgesehen, die in Abstimmung mit dem BBK die Einhaltung der Anforderungen überwacht.

Das KRITIS-Dachgesetz erfasst elf Sektoren, darunter Energie, Transport und Verkehr, Wasser, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Ernährung, Finanzwesen, Siedlungsabfallentsorgung sowie Herstellung und Vertrieb kritischer Güter. Für jeden dieser Sektoren gibt es eine zuständige Behörde, die die spezifischen Risiken und Anforderungen kennt. So ist beispielsweise für den Energiesektor die Bundesnetzagentur eine wichtige Stelle, während für den Gesundheitsbereich andere Behörden eingebunden sind.

Für Betreiber bedeutet diese sektorale Aufteilung, dass sie wissen müssen, welchem Sektor ihre Anlage zugeordnet ist und welche Behörde damit die Aufsicht übernimmt. Wer in mehreren Sektoren tätig ist oder Anlagen betreibt, die mehreren Sektoren zugeordnet werden könnten, muss unter Umständen mit mehreren Behörden kommunizieren. Eine strukturierte Risikobewertung und Fachplanung hilft dabei, diese Zuständigkeiten von Anfang an klar zu ordnen.

Welche Befugnisse haben die Aufsichtsbehörden gegenüber KRITIS-Betreibern?

Die zuständigen Aufsichtsbehörden haben nach dem KRITIS-Dachgesetz weitreichende Befugnisse gegenüber Betreibern kritischer Anlagen. Sie können Nachweise und Unterlagen anfordern, Überprüfungen durchführen und bei festgestellten Mängeln konkrete Maßnahmen einfordern. Im Wiederholungsfall oder bei schwerwiegenden Verstößen sind auch Sanktionen möglich.

Im Einzelnen umfassen die Befugnisse der Aufsichtsbehörden typischerweise folgende Punkte:

Anforderung von Risikoanalysen, Sicherheitsplänen und Nachweisen über umgesetzte Maßnahmen
Durchführung von Kontrollen und Audits vor Ort
Erteilung von Auflagen zur Beseitigung festgestellter Sicherheitslücken
Verhängung von Bußgeldern bei Verstößen gegen gesetzliche Pflichten
Anordnung konkreter Sicherheitsmaßnahmen, wenn der Betreiber diese nicht freiwillig umsetzt

Betreiber sollten diese Befugnisse nicht als Bedrohung, sondern als Rahmen verstehen, der ihnen Klarheit gibt: Wer seine Pflichten erfüllt und das nachweisen kann, hat gegenüber den Behörden eine stabile Position. Wer hingegen keine strukturierten Unterlagen vorlegen kann, gerät schnell unter Druck.

Was müssen KRITIS-Betreiber gegenüber den Behörden nachweisen?

KRITIS-Betreiber müssen gegenüber den Aufsichtsbehörden nachweisen, dass sie eine systematische Risikoanalyse durchgeführt, geeignete Sicherheitsmaßnahmen umgesetzt und diese regelmäßig überprüft haben. Die Nachweispflichten umfassen sowohl organisatorische als auch technische Maßnahmen zur physischen Resilienz der kritischen Anlage.

Konkret sind Betreiber verpflichtet, folgende Unterlagen und Nachweise bereitzuhalten:

Risikoanalyse: Eine strukturierte Analyse der relevanten Risiken für die kritische Anlage, die alle plausiblen Bedrohungsszenarien berücksichtigt.
Sicherheitsplan: Ein dokumentierter Plan, der beschreibt, welche Maßnahmen zum Schutz der Anlage ergriffen wurden und wie diese aufeinander abgestimmt sind.
Nachweis der Umsetzung: Belege dafür, dass die geplanten Maßnahmen tatsächlich implementiert wurden, zum Beispiel durch technische Dokumentationen oder Protokolle.
Regelmäßige Überprüfung: Nachweise, dass die Risikoanalyse und die Sicherheitsmaßnahmen in festgelegten Abständen aktualisiert und überprüft werden.
Meldepflichten: Dokumentation sicherheitsrelevanter Vorfälle, die an die zuständige Behörde gemeldet werden müssen.

Der Ausgangspunkt für all diese Nachweise ist ein strukturierter Risikomanagementprozess: Risiken identifizieren, bewerten, mit bestehenden Schutzmaßnahmen abgleichen und dann gezielte technische oder organisatorische Maßnahmen planen und umsetzen. Normen wie die DIN ISO 31000 bieten dafür eine anerkannte methodische Grundlage. Wer diesen Prozess sauber dokumentiert, kann gegenüber Behörden jederzeit transparent und nachvollziehbar darlegen, wie er seine Pflichten erfüllt. Weitere häufige Fragen rund um das KRITIS-Dachgesetz beantwortet auch der FAQ-Bereich auf unserer Website.

Wie wir Sie bei der KRITIS-Compliance unterstützen

Die Anforderungen des KRITIS-Dachgesetzes sind komplex, und die Zuständigkeiten der Behörden sind nicht immer auf den ersten Blick klar. Wir vom Ingenieurbüro Michael Schenkelberg unterstützen Sie dabei, Ihre Pflichten als Betreiber einer kritischen Anlage systematisch zu erfüllen. Unsere Leistungen umfassen:

Prüfung Ihrer Betroffenheit nach dem KRITIS-Dachgesetz mit unserem KRITIS-Betroffenheitsrechner
Strukturierte Risikoanalyse und Risikobewertung nach DIN ISO 31000 und DIN EN 50726-1
Entwicklung und Fachplanung technischer Sicherheitsmaßnahmen, auch in Bestandsgebäuden
Erstellung behördenkonformer Dokumentationen und Sicherheitspläne
Beratung zu Notfall- und Gefahrenreaktionssystemen (NGRS) für öffentliche Einrichtungen und Verwaltungen
Schulung Ihrer Mitarbeiter zu Bedrohungs- und Krisenmanagement

Michael Schenkelberg ist zertifizierter Notfall- und Krisenmanager mit mehr als 25 Jahren Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen. Er ist aktives Mitglied nationaler und internationaler Normungsausschüsse und kennt die Anforderungen der Behörden aus der Praxis. Nehmen Sie jetzt Kontakt auf und klären Sie gemeinsam mit uns, wie Sie die Anforderungen des KRITIS-Dachgesetzes sicher und nachweisbar erfüllen.

Michael Schenkelberg