Wie verändert das KRITIS-Dachgesetz die Sicherheitsanforderungen im Energiesektor?

Michael Schenkelberg · 15 Sep. 2026

Das KRITIS-Dachgesetz verändert die Sicherheitsanforderungen im Energiesektor grundlegend: Betreiber kritischer Energieinfrastrukturen müssen künftig einen umfassenden Risikomanagementprozess einführen, physische Schutzmaßnahmen nachweisbar umsetzen und ihre Resilienz gegenüber einer Vielzahl von Bedrohungen systematisch verbessern. Das Gesetz gilt für Unternehmen, die bestimmte Schwellenwerte bei der Versorgungsrelevanz überschreiten, und geht damit deutlich über bisherige IT-Sicherheitsanforderungen hinaus. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um neue Pflichten, betroffene Unternehmen, Risikoanalyse und mögliche Konsequenzen bei Nichteinhaltung.

Welche neuen Pflichten gelten für Energieversorger durch das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz verpflichtet Energieversorger, die als Betreiber kritischer Anlagen eingestuft werden, zu einem strukturierten Risikomanagement, zur Umsetzung angemessener physischer Schutzmaßnahmen sowie zur Meldung erheblicher Sicherheitsvorfälle an die zuständigen Behörden. Neu ist vor allem der ganzheitliche Ansatz: Nicht nur IT-Systeme, sondern auch bauliche und organisatorische Sicherheitsaspekte stehen im Fokus.

Konkret ergeben sich aus dem Gesetz folgende Pflichten für betroffene Energiebetreiber:

Durchführung einer Risikoanalyse und Risikobewertung für kritische Anlagen
Umsetzung geeigneter physischer Schutzmaßnahmen auf Basis der Analyseergebnisse
Einrichtung eines Sicherheitsmanagementsystems, das regelmäßig überprüft und aktualisiert wird
Registrierung der kritischen Anlage beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
Meldung von Sicherheitsvorfällen, die die Versorgungssicherheit beeinträchtigen könnten
Benennung eines Ansprechpartners für Sicherheitsfragen gegenüber den Behörden

Wichtig zu verstehen ist, dass das KRITIS-Dachgesetz die physische Resilienz in den Vordergrund stellt. Es geht darum, Anlagen gegen unbefugten Zugang, Sabotage, Naturkatastrophen und andere physische Bedrohungen zu schützen. Cybersicherheit wird separat durch die NIS-2-Richtlinie beziehungsweise das NIS-2-Umsetzungsgesetz geregelt und sollte nicht mit den Anforderungen des KRITIS-Dachgesetzes vermischt werden.

Welche Unternehmen im Energiesektor fallen unter das KRITIS-Dachgesetz?

Unter das KRITIS-Dachgesetz fallen Betreiber kritischer Anlagen im Energiesektor, die aufgrund ihrer Versorgungsrelevanz einen definierten Schwellenwert überschreiten. Dazu zählen typischerweise Betreiber von Stromerzeugungs- und Übertragungsanlagen, Gasversorgungsnetzen, Fernwärmeinfrastrukturen sowie Kraftwerken, wenn deren Ausfall eine erhebliche Zahl von Menschen oder systemrelevante Strukturen beeinträchtigen würde.

Die genaue Betroffenheit hängt von mehreren Faktoren ab:

Art und Funktion der betriebenen Anlage innerhalb des Energiesystems
Anzahl der versorgten Personen oder Abnehmer
Bedeutung der Anlage für die regionale oder nationale Versorgungssicherheit
Einstufung als kritische Anlage gemäß der zugehörigen Rechtsverordnung

Viele Unternehmen sind sich noch unsicher, ob sie tatsächlich unter das Gesetz fallen. Hier lohnt sich eine gezielte Prüfung. Wer schnell eine erste Einschätzung benötigt, kann den KRITIS-Betroffenheitsrechner nutzen, der eine strukturierte Orientierung gibt, bevor eine vertiefte rechtliche oder fachliche Bewertung erfolgt.

Wie unterscheidet sich das KRITIS-Dachgesetz vom bisherigen IT-Sicherheitsgesetz?

Der wesentliche Unterschied liegt im Schutzfokus: Das IT-Sicherheitsgesetz konzentrierte sich auf die Absicherung von IT-Systemen und digitalen Infrastrukturen. Das KRITIS-Dachgesetz hingegen regelt die physische Resilienz kritischer Anlagen und stellt sicher, dass Betreiber auch gegen nicht-digitale Bedrohungen wie Sabotage, unbefugten Zutritt oder Naturereignisse gewappnet sind.

Weitere wichtige Unterschiede im Überblick:

Zuständige Behörde: Das IT-Sicherheitsgesetz fiel in den Zuständigkeitsbereich des BSI. Das KRITIS-Dachgesetz wird vom BBK koordiniert.
Schutzgegenstand: Während das IT-Sicherheitsgesetz Netzwerke und Systeme adressierte, richtet das KRITIS-Dachgesetz seinen Blick auf Gebäude, Anlagen, Zutrittsschutz und physische Betriebsabläufe.
Risikomanagementansatz: Das KRITIS-Dachgesetz schreibt einen ganzheitlichen, normenbasierten Risikomanagementprozess vor, der alle relevanten Gefährdungen berücksichtigt, nicht nur Cyberangriffe.
Sektorale Ausweitung: Das KRITIS-Dachgesetz fasst mehr Sektoren und Anlagentypen als bisher unter eine einheitliche Regelung.

Beide Regelwerke ergänzen sich, aber sie sind nicht identisch. Wer NIS-2-konform ist, erfüllt damit noch nicht automatisch die Anforderungen des KRITIS-Dachgesetzes und umgekehrt. Betreiber im Energiesektor müssen beide Regelungsbereiche separat betrachten und umsetzen.

Welche physischen Schutzmaßnahmen schreibt das KRITIS-Dachgesetz für Energieanlagen vor?

Das KRITIS-Dachgesetz schreibt keine starren Einzelmaßnahmen vor, sondern verlangt, dass Betreiber auf Basis einer Risikoanalyse angemessene und verhältnismäßige physische Schutzmaßnahmen ableiten und umsetzen. Typische Maßnahmen im Energiesektor umfassen Zutrittskontrollen, Perimeterschutz, Videoüberwachung, Alarmierungssysteme und bauliche Sicherheitsvorkehrungen.

In der Praxis bedeutet das für Energiebetreiber konkret:

Zutrittsmanagement: Kontrollierter Zugang zu sensiblen Bereichen durch elektronische Schließsysteme, Schleusen oder Sicherheitspersonal
Perimeterschutz: Absicherung des Geländes gegen unbefugtes Betreten durch Zäune, Sensorik und Beleuchtung
Alarmierung: Stille oder akustische Alarmierungssysteme, die im Bedrohungsfall schnell reagieren
Bauliche Maßnahmen: Verstärkte Türen, einbruchhemmende Verglasung, gesicherte Schaltschränke und Serverräume
Notfallkonzepte: Klare Verfahren für den Ernstfall, regelmäßige Übungen und dokumentierte Reaktionspläne

Welche dieser Maßnahmen im Einzelfall erforderlich sind, ergibt sich aus dem Risikomanagementprozess. Die Risikoanalyse bestimmt, welche Bedrohungen realistisch sind, wie hoch das Schadenspotenzial ist und welche bestehenden Maßnahmen bereits greifen. Erst dann lassen sich gezielt die richtigen Schutzmaßnahmen planen, ohne unnötig Ressourcen zu verschwenden.

Wie läuft eine gesetzeskonforme Risikoanalyse für Energiebetreiber ab?

Eine gesetzeskonforme Risikoanalyse für Energiebetreiber nach dem KRITIS-Dachgesetz folgt einem strukturierten Prozess: Zunächst werden alle relevanten Bedrohungen und Schwachstellen identifiziert, anschließend bewertet, mit bestehenden Schutzmaßnahmen abgeglichen und schließlich konkrete Maßnahmen abgeleitet. Als methodische Grundlage eignet sich die DIN ISO 31000, die einen international anerkannten Rahmen für Risikomanagementprozesse bietet.

Schritt 1: Kontext und Schutzbedarfsanalyse

Zu Beginn wird der Analyserahmen festgelegt: Welche Anlagen, Bereiche und Prozesse sind betroffen? Welche Werte gilt es zu schützen? Wer sind die relevanten Stakeholder? Diese Kontextdefinition ist die Grundlage für alle weiteren Schritte und verhindert, dass wichtige Bereiche übersehen werden.

Schritt 2: Risikoidentifikation und Bewertung

Im zweiten Schritt werden systematisch alle relevanten Gefährdungen erfasst: physische Bedrohungen wie Einbruch oder Sabotage, Naturereignisse wie Hochwasser oder Sturm, aber auch organisatorische Schwachstellen. Jede identifizierte Gefährdung wird nach Eintrittswahrscheinlichkeit und Schadensausmaß bewertet. Dabei werden bereits vorhandene Schutzmaßnahmen berücksichtigt, um den tatsächlichen Restrisiko-Wert zu ermitteln.

Schritt 3: Maßnahmenplanung und Umsetzung

Auf Basis der Risikobewertung werden geeignete Schutzmaßnahmen ausgewählt, priorisiert und geplant. Dabei gilt der Grundsatz der Verhältnismäßigkeit: Die Maßnahmen müssen dem identifizierten Risiko angemessen sein. Abschließend wird der gesamte Prozess dokumentiert, denn die Nachweispflicht gegenüber den Behörden ist ein zentrales Element des KRITIS-Dachgesetzes. Wer mehr über die Leistungen im Risikomanagement erfahren möchte, findet dort einen strukturierten Überblick.

Was droht Energieunternehmen bei Nichteinhaltung des KRITIS-Dachgesetzes?

Bei Nichteinhaltung des KRITIS-Dachgesetzes drohen Energieunternehmen empfindliche Bußgelder, behördliche Anordnungen zur Nachbesserung und im schlimmsten Fall der Entzug von Betriebsgenehmigungen. Das Gesetz sieht einen Bußgeldrahmen vor, der sich an der Schwere des Verstoßes und der wirtschaftlichen Leistungsfähigkeit des Unternehmens orientiert.

Neben den unmittelbaren rechtlichen Folgen kommen weitere Risiken hinzu:

Haftungsrisiken: Kommt es durch mangelnde Schutzmaßnahmen zu einem Versorgungsausfall, können Betreiber zivilrechtlich in Haftung genommen werden.
Reputationsschäden: Öffentlich bekannte Sicherheitsmängel bei Energieversorgern können das Vertrauen von Kunden, Partnern und der Öffentlichkeit erheblich belasten.
Behördliche Auflagen: Behörden können konkrete Maßnahmen anordnen und deren Umsetzung innerhalb festgelegter Fristen verlangen.
Betriebsunterbrechungen: Wer nicht vorbereitet ist, riskiert im Ernstfall längere Ausfallzeiten und damit verbundene wirtschaftliche Schäden.

Es lohnt sich daher, frühzeitig aktiv zu werden. Die Anforderungen des KRITIS-Dachgesetzes sind anspruchsvoll, aber mit einem strukturierten Vorgehen gut umsetzbar. Wer den Einstieg sucht, kann zunächst prüfen, ob und in welchem Umfang das Gesetz überhaupt auf das eigene Unternehmen zutrifft, bevor aufwendige Maßnahmen geplant werden.

Wie das Ingenieurbüro Michael Schenkelberg Sie bei den KRITIS-Anforderungen im Energiesektor unterstützt

Wir begleiten Betreiber kritischer Energieinfrastrukturen auf dem Weg zur Gesetzeskonformität nach dem KRITIS-Dachgesetz, von der ersten Bestandsaufnahme bis zur Umsetzung konkreter Schutzmaßnahmen. Mit mehr als 25 Jahren Erfahrung im Notfall- und Gefahrenmanagement sowie aktiver Mitarbeit in nationalen und internationalen Normungsausschüssen bringen wir das nötige Fachwissen mit, um Ihre individuelle Situation fundiert zu bewerten.

Unsere Leistungen für Energiebetreiber umfassen:

Betroffenheitsprüfung: Wir klären gemeinsam mit Ihnen, ob und in welchem Umfang das KRITIS-Dachgesetz auf Ihre Anlage zutrifft. Einen ersten Anhaltspunkt liefert unser KRITIS-Betroffenheitsrechner.
Risikoanalyse und Risikobewertung: Wir führen eine strukturierte Analyse nach DIN ISO 31000 durch, identifizieren relevante Gefährdungen und bewerten das Schutzpotenzial bestehender Maßnahmen.
Entwicklung passender Schutzmaßnahmen: Auf Basis der Analyseergebnisse planen wir verhältnismäßige technische und organisatorische Maßnahmen, die zu Ihrer Anlage und Ihrem Budget passen.
Fachplanung technischer Systeme: Wir übernehmen die technische Fachplanung für Alarmierungssysteme, Zutrittskontrollen und weitere Sicherheitstechnik, auch in Bestandsgebäuden ohne vollständige Sanierung.
Begleitung bei der Umsetzung und Dokumentation: Wir unterstützen Sie bei der behördengerechten Dokumentation und stehen Ihnen als fachlicher Ansprechpartner zur Verfügung.

Wenn Sie wissen möchten, wo Ihr Unternehmen aktuell steht und welche Schritte als Nächstes sinnvoll sind, sprechen Sie uns an. Nehmen Sie Kontakt auf und wir besprechen Ihre Situation in einem ersten Gespräch, ohne Verpflichtung und ohne Fachchinesisch.

Michael Schenkelberg