Wie beeinflusst das KRITIS-Dachgesetz die Zusammenarbeit zwischen Staat und Wirtschaft?

Michael Schenkelberg ·
Regierungsbeamter und Ingenieur prüfen gemeinsam einen Infrastrukturplan an einem modernen Konferenztisch.

Das KRITIS-Dachgesetz verändert die Zusammenarbeit zwischen Staat und Wirtschaft grundlegend: Es schafft erstmals einen einheitlichen Rechtsrahmen für die physische Resilienz kritischer Infrastrukturen in Deutschland und verpflichtet Betreiber zu strukturierten Risikomanagementprozessen, regelmäßiger Berichterstattung und enger Abstimmung mit Behörden. Davon betroffen sind Unternehmen und Einrichtungen aus einer Vielzahl von Sektoren, von der Energieversorgung bis hin zu Bildungseinrichtungen und öffentlichen Verwaltungen. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Betreiberpflichten, behördliche Rollen und die praktische Zusammenarbeit.

Welche konkreten Pflichten entstehen für Unternehmen durch das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen dazu, geeignete Maßnahmen zur physischen Resilienz zu ergreifen. Konkret bedeutet das: Betreiber müssen einen systematischen Risikomanagementprozess einführen, Risiken identifizieren und bewerten, bestehende Schutzmaßnahmen prüfen und anschließend geeignete technische oder organisatorische Maßnahmen umsetzen. Hinzu kommen Registrierungs- und Meldepflichten gegenüber dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).

Im Einzelnen umfassen die Betreiberpflichten typischerweise folgende Bereiche:

  • Risikoanalyse und Bewertung: Betreiber müssen Gefährdungen systematisch erfassen und deren Auswirkungen auf ihre kritische Anlage bewerten. Anerkannte Normen wie DIN ISO 31000 bieten hierfür eine strukturierte Grundlage.
  • Schutzmaßnahmen planen und umsetzen: Auf Basis der Risikoanalyse sind verhältnismäßige bauliche, technische und organisatorische Maßnahmen zu planen und einzuführen.
  • Registrierung: Betroffene Betreiber müssen sich beim BBK registrieren und Ansprechpartner benennen.
  • Meldung erheblicher Störungen: Sicherheitsrelevante Vorfälle, die den Betrieb kritischer Anlagen beeinträchtigen, sind den zuständigen Behörden zu melden.
  • Regelmäßige Überprüfung: Die Wirksamkeit der getroffenen Maßnahmen ist in festgelegten Abständen zu überprüfen und zu dokumentieren.

Wichtig: Das KRITIS-Dachgesetz fokussiert sich auf die physische Sicherheit kritischer Anlagen. Es ist klar von der NIS-2-Richtlinie zu trennen, die IT- und Cybersicherheit regelt. Wer beide Bereiche verwechselt, riskiert Lücken in seinem Schutzkonzept. Ob Ihre Einrichtung überhaupt unter das Gesetz fällt, lässt sich mit einem KRITIS-Betroffenheitsrechner schnell klären.

Wie verändert das KRITIS-Dachgesetz die Rolle der Behörden gegenüber Betreibern?

Das KRITIS-Dachgesetz weist den Behörden eine aktivere und stärker koordinierende Rolle zu als bisher. Das BBK übernimmt als zentrale Stelle die Aufsicht über die Umsetzung der Resilienzpflichten und fungiert als Ansprechpartner für Betreiber. Behörden sind nicht mehr nur Kontrollinstanz, sondern auch Partner bei der Identifikation von Risiken und der Abstimmung von Schutzmaßnahmen.

Konkret bedeutet das für Betreiber, dass sie mit einer intensiveren behördlichen Begleitung rechnen können. Das BBK kann Nachweise über umgesetzte Maßnahmen anfordern, Vor-Ort-Prüfungen durchführen und bei Bedarf Auflagen erteilen. Gleichzeitig stellt der Staat Informationen über aktuelle Bedrohungslagen bereit, die Betreiber für ihre eigene Risikoanalyse nutzen können.

Diese Rollenveränderung ist für viele Betreiber neu. Bisher agierten Behörden und Unternehmen häufig nebeneinander. Das KRITIS-Dachgesetz schafft nun eine strukturierte Grundlage für eine echte öffentlich-private Zusammenarbeit, die auf gegenseitigem Informationsaustausch beruht.

Was sind die Unterschiede zwischen bisherigen KRITIS-Regelungen und dem neuen Dachgesetz?

Der wesentliche Unterschied liegt in der Reichweite und der Systematik: Bisherige KRITIS-Regelungen in Deutschland waren sektoral und fragmentiert. Das neue KRITIS-Dachgesetz schafft erstmals einen sektorübergreifenden, einheitlichen Rechtsrahmen für die physische Resilienz kritischer Infrastrukturen und setzt dabei die europäische CER-Richtlinie (Critical Entities Resilience Directive) in nationales Recht um.

Sektorale Regelungen versus einheitlicher Rahmen

Frühere Regelungen galten oft nur für bestimmte Sektoren, etwa Energie oder Wasser, und enthielten unterschiedliche Anforderungen je nach Branche. Das KRITIS-Dachgesetz bündelt diese Anforderungen und schafft vergleichbare Pflichten für alle betroffenen Betreiber, unabhängig vom Sektor. Das erleichtert die Aufsicht und sorgt für mehr Gleichbehandlung.

Physische Resilienz als eigenständiger Schwerpunkt

Ein weiterer zentraler Unterschied: Das KRITIS-Dachgesetz stellt die physische Sicherheit kritischer Anlagen in den Mittelpunkt. Schutz vor physischen Bedrohungen wie Sabotage, Naturkatastrophen oder unbefugtem Zutritt war bisher weniger systematisch geregelt. Jetzt müssen Betreiber diese Aspekte ausdrücklich in ihren Risikomanagementprozess einbeziehen, was eine neue Qualität in der Sicherheitsplanung verlangt.

Welche Informations- und Kooperationspflichten gelten zwischen Betreibern und dem Staat?

Das KRITIS-Dachgesetz verpflichtet Betreiber zu einem strukturierten Informationsaustausch mit den zuständigen Behörden. Dazu gehören die Registrierung beim BBK, die Benennung von Ansprechpartnern sowie die Meldung erheblicher Sicherheitsvorfälle. Umgekehrt stellt der Staat Lageberichte und Bedrohungsinformationen bereit, auf die Betreiber bei ihrer Risikoanalyse zurückgreifen können.

Die Kooperationspflichten gehen jedoch über reine Meldeprozesse hinaus. Betreiber müssen auf Anfrage der Behörden Nachweise über ihre Schutzmaßnahmen vorlegen und bei Prüfungen mitwirken. In der Praxis bedeutet das, dass eine vollständige und nachvollziehbare Dokumentation des eigenen Risikomanagementprozesses keine optionale Zusatzleistung ist, sondern eine gesetzliche Anforderung.

Für Betreiber aus dem Bereich öffentlicher Verwaltungen und Bildungseinrichtungen gilt das gleichermaßen. Auch diese Einrichtungen müssen ihre Sicherheitskonzepte für Verwaltungen entsprechend anpassen und dokumentieren.

Wie sollten Unternehmen die Zusammenarbeit mit Behörden praktisch gestalten?

Unternehmen und Einrichtungen, die unter das KRITIS-Dachgesetz fallen, sollten die Zusammenarbeit mit Behörden aktiv und strukturiert angehen, anstatt abzuwarten. Der Ausgangspunkt ist immer ein fundierter Risikomanagementprozess: Risiken identifizieren, bewerten, mit vorhandenen Maßnahmen abgleichen und dann gezielt handeln.

Folgende Schritte helfen dabei, die Zusammenarbeit mit Behörden praktisch zu gestalten:

  1. Betroffenheit prüfen: Klären Sie zunächst, ob Ihre Einrichtung überhaupt unter das KRITIS-Dachgesetz fällt. Ein Betroffenheitsrechner kann dabei eine erste Orientierung geben.
  2. Registrierung vornehmen: Betroffene Betreiber sollten sich zeitnah beim BBK registrieren und interne Ansprechpartner benennen, die als Schnittstelle zu den Behörden fungieren.
  3. Risikomanagementprozess aufbauen: Führen Sie eine systematische Risikoanalyse durch, dokumentieren Sie Ergebnisse und leiten Sie daraus konkrete Maßnahmen ab. Anerkannte Normen wie DIN ISO 31000 bieten dabei eine strukturierte Vorgehensweise.
  4. Kommunikation aktiv gestalten: Suchen Sie den Dialog mit den zuständigen Behörden, bevor Prüfungen anstehen. Wer frühzeitig kommuniziert, baut Vertrauen auf und kann Anforderungen besser einordnen.
  5. Dokumentation pflegen: Halten Sie alle Maßnahmen, Prüfungen und Entscheidungen nachvollziehbar fest. Eine lückenlose Dokumentation ist sowohl für behördliche Prüfungen als auch für die eigene Qualitätssicherung wichtig.

Gerade für Einrichtungen, die bisher wenig Erfahrung mit formalisierten Sicherheitsprozessen haben, ist externer Sachverstand hilfreich. Eine fachkundige Begleitung stellt sicher, dass der Risikomanagementprozess den gesetzlichen Anforderungen entspricht und die geplanten Maßnahmen tatsächlich wirken.

Wie wir Sie bei der Umsetzung des KRITIS-Dachgesetzes unterstützen

Das KRITIS-Dachgesetz stellt viele Betreiber vor neue Anforderungen, die ohne strukturierte Unterstützung schwer zu bewältigen sind. Wir begleiten Sie Schritt für Schritt, von der ersten Betroffenheitsprüfung bis zur Umsetzung konkreter Schutzmaßnahmen:

  • Betroffenheitsprüfung: Mit unserem KRITIS-Betroffenheitsrechner prüfen Sie schnell, ob Ihre Einrichtung unter das Gesetz fällt.
  • Risikoanalyse und Bewertung: Wir identifizieren systematisch Gefährdungen, bewerten deren Auswirkungen und gleichen sie mit Ihren bestehenden Maßnahmen ab.
  • Fachplanung technischer Systeme: Von baulichen Schutzkonzepten bis zu Notfall- und Gefahrenreaktionssystemen (NGRS) planen wir Lösungen, die auch in Bestandsgebäuden ohne vollständige Sanierung umsetzbar sind.
  • Dokumentation und Behördenkommunikation: Wir helfen Ihnen, Ihren Risikomanagementprozess nachvollziehbar zu dokumentieren und die Zusammenarbeit mit Behörden strukturiert zu gestalten.
  • Schulung und Sensibilisierung: Unsere Schulungsangebote bereiten Ihre Mitarbeiterinnen und Mitarbeiter auf Notfallsituationen vor.

Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung in der Beratung von Unternehmen und öffentlichen Einrichtungen mit und ist aktives Mitglied nationaler und internationaler Normungsausschüsse. Wenn Sie wissen möchten, wie das KRITIS-Dachgesetz konkret für Ihre Einrichtung gilt, nehmen Sie jetzt Kontakt auf und vereinbaren Sie ein unverbindliches Erstgespräch.

Ähnliche Artikel