Welche Sektoren fallen unter das KRITIS-Dachgesetz?

Michael Schenkelberg · 21 Sep. 2026

Das KRITIS-Dachgesetz erfasst aktuell elf Sektoren, die als kritische Infrastrukturen eingestuft werden. Dazu zählen unter anderem Energie, Wasser, Transport, Gesundheit, Ernährung, digitale Infrastruktur und öffentliche Verwaltung. Das Gesetz richtet sich an Betreiber von Anlagen, deren Ausfall oder Beeinträchtigung erhebliche Folgen für die öffentliche Sicherheit oder Versorgung hätte. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Sektoren, Pflichten und den Stand der Regulierung.

Wie viele Sektoren umfasst das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz umfasst elf Sektoren. Diese wurden auf Basis ihrer Bedeutung für das Funktionieren des Gemeinwesens und ihrer Anfälligkeit gegenüber physischen Bedrohungen ausgewählt. Das Gesetz setzt dabei einen klaren Fokus auf die physische Resilienz kritischer Anlagen, nicht auf IT- oder Cybersicherheit, die durch andere Regelwerke wie NIS2 abgedeckt wird.

Die elf Sektoren im Überblick:

Energie (Strom, Gas, Wärme, Öl)
Wasser (Trinkwasser und Abwasser)
Ernährung (Lebensmittelproduktion und Verteilung)
Gesundheit (Krankenhäuser, Labore, Arzneimittel)
Transport und Verkehr (Straße, Schiene, Luft, See)
Digitale Infrastruktur (Rechenzentren, Telekommunikation)
Weltraum
Finanz- und Versicherungswesen
Öffentliche Verwaltung (Bund, Länder, Kommunen)
Siedlungsabfallentsorgung
Kulturgut (Schutz bedeutsamer Kulturgüter)

Diese Sektoren orientieren sich an der europäischen CER-Richtlinie (Critical Entities Resilience), die das KRITIS-Dachgesetz in deutsches Recht umsetzt. Betreiber innerhalb dieser Sektoren müssen prüfen, ob ihre Anlagen die gesetzlich definierten Schwellenwerte überschreiten und damit als kritische Infrastrukturen gelten.

Welche Branchen gelten als besonders schutzbedürftig?

Besonders schutzbedürftig sind Branchen, bei denen ein Ausfall unmittelbar und großflächig die Versorgung der Bevölkerung oder die staatliche Handlungsfähigkeit gefährdet. Das betrifft vor allem die Sektoren Energie, Wasser, Gesundheit und Transport, da Störungen dort schnell zu einer Gefährdung von Menschenleben führen können.

Innerhalb dieser Bereiche werden Anlagen als besonders kritisch eingestuft, wenn sie eine große Zahl von Menschen versorgen oder wenn es keine kurzfristige Alternative gibt. Ein Krankenhaus der Maximalversorgung, ein Wasserwerk für eine Großstadt oder ein überregionaler Stromverteiler sind typische Beispiele. Auch öffentliche Verwaltungen auf Bundes- und Landesebene fallen in diese Kategorie, weil ihre Funktionsfähigkeit direkte Auswirkungen auf die staatliche Entscheidungs- und Handlungsfähigkeit hat.

Bildungseinrichtungen wie Universitäten können ebenfalls betroffen sein, wenn sie kritische Forschungsinfrastruktur betreiben oder Teil der öffentlichen Verwaltung sind. Für diese Einrichtungen lohnt es sich, frühzeitig zu prüfen, ob eine Betroffenheit vorliegt. Ein strukturierter KRITIS-Betroffenheitsrechner kann dabei helfen, diese Frage schnell und systematisch zu klären.

Was unterscheidet KRITIS-Betreiber von anderen Unternehmen?

KRITIS-Betreiber sind Unternehmen oder Organisationen, deren Anlagen einen gesetzlich definierten Schwellenwert überschreiten und damit als kritische Infrastruktur eingestuft werden. Sie unterliegen strengeren Pflichten als andere Unternehmen, insbesondere im Bereich Risikomanagement, Meldewesen und physische Schutzmaßnahmen.

Während ein durchschnittliches Unternehmen selbst entscheidet, wie es mit Risiken umgeht, sind KRITIS-Betreiber gesetzlich verpflichtet, einen strukturierten Risikomanagementprozess einzuführen, Sicherheitsmaßnahmen umzusetzen und Vorfälle zu melden. Die Einstufung hängt nicht allein von der Unternehmensgröße ab, sondern von der tatsächlichen Versorgungsrelevanz der Anlage.

Ein weiterer Unterschied: KRITIS-Betreiber müssen ihre Schutzmaßnahmen nachweisen und sich auf Überprüfungen durch zuständige Behörden einstellen. Das betrifft sowohl technische als auch organisatorische Maßnahmen zur physischen Absicherung ihrer Anlagen.

Wie werden neue Sektoren in das Gesetz aufgenommen?

Neue Sektoren können durch eine Änderung des KRITIS-Dachgesetzes oder durch entsprechende Rechtsverordnungen aufgenommen werden. Grundlage dafür ist eine staatliche Bewertung, ob ein Bereich für das Gemeinwesen so bedeutsam ist, dass sein Ausfall erhebliche gesellschaftliche Folgen hätte.

Der Prozess orientiert sich an der europäischen CER-Richtlinie, die einen Rahmen für die Identifikation kritischer Sektoren vorgibt. Deutschland ist verpflichtet, diesen Rahmen regelmäßig zu überprüfen und bei Bedarf anzupassen. Neue technologische Entwicklungen, veränderte Versorgungsstrukturen oder geopolitische Risiken können dazu führen, dass weitere Bereiche als kritisch eingestuft werden.

Betreiber in Branchen, die sich in einem Graubereich befinden, sollten die gesetzliche Entwicklung aufmerksam verfolgen. Eine frühzeitige Auseinandersetzung mit möglichen Anforderungen schafft Planungssicherheit und vermeidet kurzfristigen Handlungsdruck.

Welche Pflichten entstehen für Betreiber in den betroffenen Sektoren?

Betreiber kritischer Infrastrukturen sind nach dem KRITIS-Dachgesetz verpflichtet, einen Risikomanagementprozess einzuführen, geeignete physische Schutzmaßnahmen umzusetzen und sicherheitsrelevante Vorfälle zu melden. Die Pflichten gelten für die physische Resilienz der Anlage, nicht für IT-Sicherheit im engeren Sinne.

Im Einzelnen umfassen die Pflichten typischerweise:

Risikoanalyse: Systematische Identifikation und Bewertung von Bedrohungen und Schwachstellen der Anlage
Schutzmaßnahmen: Planung und Umsetzung technischer und organisatorischer Maßnahmen auf Basis der Risikoanalyse
Meldepflichten: Meldung erheblicher Sicherheitsvorfälle an zuständige Behörden
Registrierungspflicht: Anmeldung beim zuständigen Bundesamt
Nachweispflichten: Dokumentation der umgesetzten Maßnahmen und Bereitschaft zur Überprüfung

Der Risikomanagementprozess bildet dabei die Grundlage für alles Weitere: Erst wenn Risiken identifiziert und bewertet sind, lässt sich beurteilen, welche Maßnahmen tatsächlich notwendig sind. Normen wie DIN ISO 31000 bieten hierfür einen anerkannten methodischen Rahmen. Mehr zu den konkreten Leistungen im Bereich Risikomanagement finden Sie auf unserer Website.

Welche Sektoren sind noch nicht vollständig reguliert?

Einige Sektoren des KRITIS-Dachgesetzes sind zwar dem Gesetz nach erfasst, aber noch nicht durch vollständige Rechtsverordnungen mit konkreten Schwellenwerten und Anforderungen hinterlegt. Das betrifft insbesondere neuere Sektoren wie Weltraum und Kulturgut, für die die Detailregulierung noch aussteht.

Auch innerhalb etablierter Sektoren gibt es Bereiche, in denen die Abgrenzung der betroffenen Anlagen noch nicht abschließend geklärt ist. Das liegt daran, dass das KRITIS-Dachgesetz ein vergleichsweise junges Gesetz ist und die Umsetzung der CER-Richtlinie in nationales Recht Zeit braucht.

Für Betreiber bedeutet das: Auch wenn für Ihren Bereich noch keine vollständige Regulierung vorliegt, kann eine freiwillige Auseinandersetzung mit den Anforderungen sinnvoll sein. Wer frühzeitig handelt, ist besser vorbereitet, wenn die Pflichten in Kraft treten. Informationen zum aktuellen Stand erhalten Sie direkt beim zuständigen Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).

Wie wir Sie bei der KRITIS-Betroffenheit unterstützen

Wir begleiten Betreiber kritischer Infrastrukturen, öffentliche Verwaltungen und Bildungseinrichtungen dabei, ihre Betroffenheit nach dem KRITIS-Dachgesetz zu klären und die notwendigen Schritte strukturiert umzusetzen. Unsere Leistungen umfassen:

KRITIS-Betroffenheitscheck: Schnelle Ersteinschätzung, ob Ihre Anlage unter das Gesetz fällt, mithilfe unseres KRITIS-Betroffenheitsrechners
Strukturierte Risikoanalyse: Identifikation und Bewertung von Bedrohungen auf Basis anerkannter Normen wie DIN ISO 31000 und DIN EN 50726-1
Entwicklung von Schutzmaßnahmen: Planung technischer und organisatorischer Maßnahmen, die zu Ihrer Anlage und Ihrem Budget passen
Fachplanung technischer Systeme: Planung von Notfall- und Gefahrenreaktionssystemen (NGRS), auch in Bestandsgebäuden ohne vollständige Sanierung
Begleitung bei der Umsetzung: Unterstützung von der Planung bis zur Inbetriebnahme und Dokumentation

Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen mit und ist zertifizierter Notfall- und Krisenmanager des BdSI sowie aktives Mitglied in nationalen und internationalen Normungsausschüssen. Wenn Sie wissen möchten, ob Ihre Einrichtung betroffen ist oder welche Maßnahmen konkret auf Sie zukommen, nehmen Sie gerne Kontakt auf.

Michael Schenkelberg