Betreiber kritischer Infrastrukturen sind nach dem KRITIS-Dachgesetz verpflichtet, erhebliche Sicherheitsvorfälle an die zuständige Behörde zu melden. Die Meldepflicht gilt für alle Betreiber, die unter das Gesetz fallen, und umfasst Vorfälle, die die Verfügbarkeit, Integrität oder Sicherheit kritischer Anlagen beeinträchtigen. Die folgenden Abschnitte beantworten die wichtigsten Fragen zu Fristen, Zuständigkeiten und Konsequenzen bei Verstößen.
Welche Arten von Vorfällen sind konkret meldepflichtig?
Meldepflichtig nach dem KRITIS-Dachgesetz sind Vorfälle, die die Funktionsfähigkeit kritischer Anlagen erheblich beeinträchtigen oder beeinträchtigen könnten. Dazu zählen physische Ereignisse wie Sabotage, Vandalismus, Naturkatastrophen, Brände oder unbefugter Zutritt, sofern sie den Betrieb einer kritischen Anlage gefährden oder unterbrechen.
Das Gesetz unterscheidet dabei zwischen tatsächlichen Störungen und erheblichen Bedrohungen, also Ereignissen, die noch keinen Schaden verursacht haben, aber ein ernsthaftes Risiko darstellen. Konkrete Beispiele für meldepflichtige Vorfälle sind:
- Physische Angriffe auf Anlagen, Gebäude oder Infrastrukturkomponenten
- Ausfälle oder Beeinträchtigungen, die auf äußere Einwirkung zurückzuführen sind
- Erhebliche Störungen der Versorgungsleistung durch externe Ursachen
- Entdeckte Versuche, unbefugt Zugang zu kritischen Anlagen zu erlangen
- Naturereignisse wie Hochwasser oder Sturm, die den Betrieb kritischer Einrichtungen gefährden
Wichtig: Das KRITIS-Dachgesetz konzentriert sich auf die physische Resilienz kritischer Anlagen. Es geht also nicht um IT-Sicherheitsvorfälle im engeren Sinne, sondern um Ereignisse, die die physische Verfügbarkeit und Sicherheit der Anlage betreffen. Cybervorfälle fallen in den Anwendungsbereich der NIS2-Richtlinie beziehungsweise des BSIG.
Wer muss Meldungen nach dem KRITIS-Dachgesetz einreichen?
Meldepflichtig sind Betreiber kritischer Anlagen im Sinne des KRITIS-Dachgesetzes. Das sind Unternehmen und Organisationen, die Anlagen in einem der gesetzlich definierten Sektoren betreiben und dabei bestimmte Schwellenwerte überschreiten, ab denen eine Anlage als kritisch gilt.
Zu den betroffenen Sektoren gehören unter anderem Energie, Wasser, Ernährung, Verkehr, Gesundheit, Finanzwesen, digitale Infrastruktur sowie öffentliche Verwaltung. Ob eine konkrete Anlage unter das Gesetz fällt, hängt von sektorspezifischen Schwellenwerten ab, die im Gesetz und in den zugehörigen Rechtsverordnungen festgelegt sind.
Für Betreiber, die unsicher sind, ob sie betroffen sind, bieten wir einen KRITIS-Betroffenheitsrechner an, mit dem Sie schnell und unkompliziert prüfen können, ob Ihre Anlage unter die gesetzlichen Anforderungen fällt. Das ist ein erster praktischer Schritt, bevor Sie sich mit den konkreten Meldepflichten befassen.
Welche Fristen gelten für die Meldung von Sicherheitsvorfällen?
Das KRITIS-Dachgesetz sieht ein gestuftes Meldesystem mit unterschiedlichen Fristen vor. Betreiber müssen erhebliche Vorfälle zunächst innerhalb von 24 Stunden nach Bekanntwerden als Erstmeldung anzeigen. Eine detailliertere Folgemeldung mit weiteren Informationen zum Vorfall ist innerhalb von 72 Stunden einzureichen.
Darüber hinaus ist nach Abschluss der Untersuchung ein abschließender Bericht zu erstatten, der die Ursachen, den Verlauf und die getroffenen Maßnahmen dokumentiert. Die genauen Fristen für diesen Abschlussbericht können je nach Schwere des Vorfalls variieren.
Dieses gestufte Verfahren soll sicherstellen, dass die Behörden frühzeitig informiert werden, ohne dass Betreiber in der Akutphase vollständige Informationen liefern müssen, die zu diesem Zeitpunkt möglicherweise noch nicht vorliegen. Für die Praxis bedeutet das: Betreiber sollten interne Meldeprozesse etablieren, die eine schnelle Erstmeldung innerhalb von 24 Stunden ermöglichen.
An welche Behörde müssen KRITIS-Betreiber Meldungen übermitteln?
Meldungen nach dem KRITIS-Dachgesetz sind an das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zu richten. Das BBK ist die zentrale Behörde für den physischen Schutz kritischer Infrastrukturen in Deutschland und nimmt die Meldungen entgegen, koordiniert die Reaktion und leitet Informationen an weitere zuständige Stellen weiter.
Je nach Sektor und Art des Vorfalls können zusätzlich sektorspezifische Aufsichtsbehörden zu informieren sein. Betreiber im Energiesektor etwa stehen in engem Kontakt mit der Bundesnetzagentur, während Betreiber im Gesundheitsbereich gegebenenfalls auch Landesbehörden einbeziehen müssen.
Das BBK stellt für die Meldungen entsprechende Kanäle und Formulare bereit. Betreiber sollten sich frühzeitig mit den technischen Meldemöglichkeiten vertraut machen und diese in ihre internen Notfallpläne integrieren, damit im Ernstfall keine wertvolle Zeit verloren geht.
Was passiert bei Verstößen gegen die Meldepflicht?
Betreiber, die ihrer Meldepflicht nicht nachkommen, riskieren empfindliche Bußgelder. Das KRITIS-Dachgesetz sieht für Verstöße gegen die Meldepflichten Sanktionen vor, die je nach Schwere des Verstoßes erheblich ausfallen können. Zusätzlich drohen Reputationsschäden und im Ernstfall auch zivilrechtliche Haftungsrisiken.
Neben den finanziellen Konsequenzen kann ein Verstoß auch dazu führen, dass Behörden weitergehende Prüfungen anordnen oder Auflagen erteilen. In schwerwiegenden Fällen, etwa wenn ein Betreiber einen Vorfall bewusst verschweigt, sind auch strafrechtliche Konsequenzen nicht ausgeschlossen.
Aus praktischer Sicht ist es daher sinnvoll, nicht nur die Meldepflichten zu kennen, sondern auch interne Prozesse zu etablieren, die eine fristgerechte Meldung sicherstellen. Dazu gehören klare Zuständigkeiten, Eskalationswege und vorbereitete Meldevorlagen. Ein strukturierter Risikomanagementprozess bildet dafür die Grundlage.
Wie unterscheiden sich die Meldepflichten nach KRITIS-Dachgesetz und NIS2?
Das KRITIS-Dachgesetz und die NIS2-Richtlinie regeln unterschiedliche Bereiche und sollten nicht verwechselt werden. Das KRITIS-Dachgesetz fokussiert auf die physische Sicherheit kritischer Anlagen, also den Schutz vor physischen Bedrohungen wie Sabotage, Naturkatastrophen oder unbefugtem Zutritt. NIS2 hingegen betrifft die Cybersicherheit von Netz- und Informationssystemen.
Meldepflichten nach dem KRITIS-Dachgesetz
Hier stehen physische Sicherheitsvorfälle im Mittelpunkt. Die zuständige Behörde ist das BBK. Die Meldepflicht gilt für Betreiber kritischer Anlagen, die die gesetzlichen Schwellenwerte überschreiten. Der Fokus liegt auf der physischen Resilienz und der Verfügbarkeit der Anlage als solcher.
Meldepflichten nach NIS2
NIS2 verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen zur Meldung erheblicher Cybersicherheitsvorfälle an das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Fristen sind ähnlich strukturiert, die betroffenen Sektoren und Schwellenwerte weichen jedoch teilweise ab. Zudem erfasst NIS2 einen breiteren Kreis an Unternehmen.
In der Praxis können viele Betreiber unter beide Regelwerke fallen und müssen dann parallel sowohl physische als auch Cybervorfälle an unterschiedliche Behörden melden. Eine klare interne Zuständigkeitsregelung ist daher besonders wichtig, um im Ernstfall handlungsfähig zu bleiben. Wer sich über seine konkrete Betroffenheit unsicher ist, sollte zunächst prüfen, welche Gesetze auf seine Anlage anwendbar sind, bevor er Meldeprozesse aufbaut.
Wie wir Betreiber kritischer Infrastrukturen bei den Meldepflichten unterstützen
Die Anforderungen des KRITIS-Dachgesetzes sind komplex, und viele Betreiber stehen vor der Frage, wie sie Meldeprozesse praktisch umsetzen sollen. Wir unterstützen Sie dabei konkret und strukturiert:
- Betroffenheitsanalyse: Mit unserem KRITIS-Betroffenheitsrechner prüfen Sie schnell, ob Ihre Anlage unter das Gesetz fällt.
- Risikoanalyse und -bewertung: Wir identifizieren relevante Gefährdungen für Ihre Anlage, bewerten sie systematisch und gleichen sie mit bestehenden Schutzmaßnahmen ab.
- Entwicklung interner Meldeprozesse: Wir helfen Ihnen, klare Zuständigkeiten, Eskalationswege und Meldevorlagen zu etablieren, die eine fristgerechte Meldung sicherstellen.
- Fachplanung technischer Schutzmaßnahmen: Von baulichen Schutzkonzepten bis hin zu Notfall- und Gefahrenreaktionssystemen planen wir Lösungen, die auch in Bestandsgebäuden umsetzbar sind.
- Schulung Ihrer Mitarbeiter: Wir bereiten Ihre Teams darauf vor, Vorfälle zu erkennen, intern zu eskalieren und korrekt zu dokumentieren.
Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung im Notfall- und Krisenmanagement mit und ist als zertifizierter Notfall- und Krisenmanager des BdSI aktiv in nationalen und internationalen Normungsausschüssen tätig. Wenn Sie Fragen zu Ihren Pflichten als KRITIS-Betreiber haben oder wissen möchten, wie Sie Ihre Meldeprozesse aufbauen, nehmen Sie gerne Kontakt mit uns auf.