Welche Dokumentationspflichten bringt das KRITIS-Dachgesetz mit sich?

Michael Schenkelberg ·
Geöffneter Ordner mit strukturierten Dokumenten neben einem Architekturmodell auf einem modernen Schreibtisch im hellen Büro.

Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Infrastrukturen dazu, eine umfassende Sicherheitsdokumentation vorzuhalten. Dazu gehören unter anderem Risikoanalysen, Nachweise über umgesetzte Schutzmaßnahmen und Meldepflichten gegenüber dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Die konkreten Anforderungen richten sich dabei nach Sektor, Anlagengröße und Betroffenheit. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Dokumentationspflichten im Rahmen des KRITIS-Dachgesetzes.

Welche Unternehmen sind vom KRITIS-Dachgesetz betroffen?

Das KRITIS-Dachgesetz betrifft Betreiber kritischer Anlagen in elf definierten Sektoren, darunter Energie, Wasser, Verkehr, Gesundheit, Ernährung, Finanzwesen, Informationstechnik und Telekommunikation sowie öffentliche Verwaltung. Ob ein Unternehmen oder eine Einrichtung konkret betroffen ist, hängt von Schwellenwerten ab, die sich an der Versorgungsrelevanz der jeweiligen Anlage orientieren.

Wichtig zu verstehen: Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Infrastrukturen und ist damit klar von der NIS-2-Richtlinie zu trennen, die sich auf IT- und Cybersicherheit konzentriert. Beide Regelwerke können parallel gelten, haben aber unterschiedliche Anwendungsbereiche und Pflichten.

Zur Einordnung der eigenen Betroffenheit empfiehlt sich eine strukturierte Prüfung anhand der gesetzlich definierten Sektoren und Schwellenwerte. Ein praktisches Hilfsmittel dafür ist der KRITIS-Betroffenheitsrechner, der eine erste Orientierung ermöglicht, ohne dass sofort externe Beratung nötig ist.

Welche Dokumente müssen KRITIS-Betreiber zwingend vorhalten?

KRITIS-Betreiber sind nach dem KRITIS-Dachgesetz verpflichtet, eine strukturierte Sicherheitsdokumentation zu erstellen und aktuell zu halten. Diese umfasst im Kern eine Risikoanalyse, ein Sicherheitskonzept auf Basis dieser Analyse sowie Nachweise über die umgesetzten physischen Schutzmaßnahmen. Hinzu kommen Registrierungsunterlagen und Meldedokumentationen gegenüber dem BBK.

Im Einzelnen sind folgende Dokumente relevant:

  • Risikoanalyse: Eine systematische Identifikation und Bewertung von Gefahren und Bedrohungen für die kritische Anlage, einschließlich der Bewertung bestehender Schutzmaßnahmen
  • Sicherheitskonzept: Ein dokumentierter Plan, der auf Basis der Risikoanalyse technische und organisatorische Maßnahmen zur Risikominimierung beschreibt
  • Nachweise über umgesetzte Maßnahmen: Belege dafür, dass geplante Schutzmaßnahmen tatsächlich implementiert wurden
  • Registrierung beim BBK: Betreiber kritischer Anlagen müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren
  • Meldedokumentation: Aufzeichnungen zu sicherheitsrelevanten Vorfällen und deren Meldung an die zuständigen Behörden

Der Risikomanagementprozess bildet dabei die Grundlage für die gesamte Dokumentation: Risiken identifizieren, bewerten, mit bestehenden Maßnahmen abgleichen und anschließend passende technische oder organisatorische Maßnahmen planen. Ohne diese strukturierte Vorgehensweise lässt sich eine gesetzeskonforme Sicherheitsdokumentation kaum aufbauen.

Wie oft müssen Sicherheitsdokumente aktualisiert werden?

Das KRITIS-Dachgesetz sieht vor, dass Risikoanalysen und Sicherheitskonzepte regelmäßig überprüft und bei wesentlichen Änderungen aktualisiert werden müssen. Eine feste gesetzliche Frist für alle Betreiber gibt es nicht pauschal, jedoch ist eine Überprüfung spätestens alle vier Jahre oder bei relevanten Veränderungen der Anlage, der Bedrohungslage oder der gesetzlichen Anforderungen vorgesehen.

Typische Auslöser für eine Aktualisierung der Sicherheitsdokumentation sind:

  • Strukturelle oder technische Änderungen an der kritischen Anlage
  • Neue oder veränderte Bedrohungsszenarien
  • Sicherheitsrelevante Vorfälle, die Schwachstellen offenbart haben
  • Änderungen in der gesetzlichen Grundlage oder bei behördlichen Vorgaben
  • Ergebnisse aus internen oder externen Audits

Praxisnah bedeutet das: Sicherheitsdokumentation ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Wer die Dokumentation als lebendiges Steuerungsinstrument behandelt, ist bei Behördenprüfungen deutlich besser aufgestellt. Hinweise zur systematischen Umsetzung finden sich auch in den Normen DIN ISO 31000 und DIN EN 50726-1, die als Orientierungsrahmen für strukturiertes Risikomanagement in KRITIS dienen.

Was passiert bei unvollständiger oder fehlender Dokumentation?

Unvollständige oder fehlende Sicherheitsdokumentation kann für KRITIS-Betreiber spürbare Konsequenzen haben. Das KRITIS-Dachgesetz sieht Bußgelder vor, wenn Betreiber ihre Pflichten nicht erfüllen. Darüber hinaus drohen bei behördlichen Überprüfungen Auflagen, Fristen zur Nachbesserung oder im Wiederholungsfall weitergehende Maßnahmen.

Neben den rechtlichen Folgen gibt es auch praktische Risiken: Wer keine belastbare Risikoanalyse vorhält, kann im Ernstfall nicht nachweisen, dass er seiner Sorgfaltspflicht als Betreiber nachgekommen ist. Das kann im Fall eines Sicherheitsvorfalls haftungsrechtlich relevant werden.

Wichtig: Die genauen Bußgeldrahmen und Sanktionsmechanismen des KRITIS-Dachgesetzes befinden sich in der Umsetzungsphase. Betreiber sollten die aktuelle Gesetzgebung und etwaige Durchführungsverordnungen aufmerksam verfolgen und sich bei Unklarheiten fachlich beraten lassen. Eine frühzeitige und vollständige Dokumentation ist in jedem Fall der sicherere Weg.

Wie lässt sich die Dokumentation effizient in den Betrieb integrieren?

Sicherheitsdokumentation lässt sich dann effizient in den Betrieb integrieren, wenn sie nicht als bürokratische Pflichtübung behandelt wird, sondern als Teil eines strukturierten Risikomanagementprozesses. Der Schlüssel liegt darin, Verantwortlichkeiten klar zuzuweisen, Prozesse zu standardisieren und Dokumentation direkt mit bestehenden Betriebsabläufen zu verknüpfen.

Folgende Schritte helfen dabei, die Dokumentationspflichten praxisnah umzusetzen:

  1. Verantwortlichkeiten festlegen: Benennen Sie eine Person oder Stelle, die für die Pflege der Sicherheitsdokumentation zuständig ist.
  2. Risikoanalyse als Ausgangspunkt nutzen: Alle weiteren Dokumente bauen auf der Risikoanalyse auf. Wer diese sauber aufstellt, hat die Grundlage für alle weiteren Pflichten gelegt.
  3. Vorlagen und Strukturen verwenden: Standardisierte Dokumentenvorlagen sparen Zeit und sorgen für Konsistenz bei Behördenprüfungen.
  4. Regelmäßige Überprüfungszyklen einplanen: Feste Termine für die Dokumentenprüfung verhindern, dass Aktualisierungen vergessen werden.
  5. Schulungen einbinden: Mitarbeitende, die an sicherheitsrelevanten Prozessen beteiligt sind, sollten wissen, welche Dokumentationspflichten bestehen und wie sie damit umgehen.

Gerade in Bestandsgebäuden, etwa in öffentlichen Verwaltungen oder Bildungseinrichtungen, lassen sich technische Schutzmaßnahmen und die dazugehörige Dokumentation oft schrittweise und ohne vollständige Sanierung aufbauen. Notfall- und Gefahrenreaktionssysteme (NGRS) sind ein Beispiel dafür, wie physische Resilienz auch im laufenden Betrieb realisierbar ist. Mehr dazu zeigt unser Überblick zum Krisenmanagement in öffentlichen Verwaltungen.

Wie das Ingenieurbüro Michael Schenkelberg bei der KRITIS-Dokumentation unterstützt

Wir begleiten Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen dabei, ihre Dokumentationspflichten nach dem KRITIS-Dachgesetz strukturiert und praxisnah zu erfüllen. Unsere Leistungen umfassen konkret:

  • Risikoanalyse und Risikobewertung auf Basis anerkannter Normen wie DIN ISO 31000 und DIN EN 50726-1
  • Entwicklung von Sicherheitskonzepten, die technische und organisatorische Maßnahmen verbinden
  • Fachplanung technischer Systeme, darunter stille Alarmierung und Notfall- und Gefahrenreaktionssysteme (NGRS)
  • Begleitung bei der Umsetzung und Vorbereitung auf behördliche Prüfungen
  • Schulungen für Mitarbeitende zu Bedrohungsmanagement und Sicherheitsdokumentation

Als ersten Schritt empfehlen wir die Nutzung unseres KRITIS-Betroffenheitsrechners, um schnell zu klären, ob und in welchem Umfang das KRITIS-Dachgesetz für Ihre Einrichtung gilt. Wenn Sie danach konkrete Unterstützung benötigen, stehen wir Ihnen gerne zur Verfügung. Sprechen Sie uns an und wir besprechen gemeinsam den nächsten Schritt.

Ähnliche Artikel