Wie wirkt sich das KRITIS-Dachgesetz auf kleine und mittelständische Unternehmen aus?

Michael Schenkelberg · 29 Sep. 2026

Das KRITIS-Dachgesetz betrifft kleine und mittelständische Unternehmen dann, wenn sie Dienstleistungen in einem der gesetzlich definierten kritischen Sektoren erbringen und dabei bestimmte Schwellenwerte überschreiten. Für viele KMU bedeutet das: Sie fallen nicht automatisch unter das Gesetz, aber sie sollten ihre Betroffenheit aktiv prüfen. Die folgenden Fragen helfen Ihnen dabei, Klarheit über Pflichten, Aufwand und Umsetzungsschritte zu gewinnen.

Welche Unternehmen fallen überhaupt unter das KRITIS-Dachgesetz?

Unter das KRITIS-Dachgesetz fallen Betreiber kritischer Anlagen, die in einem der gesetzlich festgelegten Sektoren tätig sind und dabei definierte Schwellenwerte erreichen. Ob ein Unternehmen betroffen ist, hängt nicht von seiner Größe als solcher ab, sondern von der gesellschaftlichen Bedeutung der erbrachten Dienstleistung und dem Versorgungsgrad der Bevölkerung.

Das Gesetz definiert derzeit elf Sektoren, darunter Energie, Wasser, Ernährung, Transport und Verkehr, Gesundheit, digitale Infrastruktur sowie öffentliche Verwaltung. Innerhalb dieser Sektoren werden kritische Anlagen anhand von Schwellenwerten identifiziert, die sich zum Beispiel an der Anzahl versorgter Personen, der Produktionsmenge oder der Bedeutung für die öffentliche Sicherheit orientieren.

Für KMU bedeutet das konkret: Ein mittelständisches Wasserversorgungsunternehmen, das eine bestimmte Einwohnerzahl versorgt, kann genauso betroffen sein wie ein regionaler Energieversorger oder ein Logistikunternehmen mit systemrelevanter Funktion. Die Unternehmensgröße allein ist kein Ausschlusskriterium. Um Ihre Betroffenheit zuverlässig zu prüfen, empfiehlt sich der KRITIS-Betroffenheitsrechner, der Ihnen eine erste strukturierte Einschätzung ermöglicht.

Welche konkreten Pflichten entstehen für betroffene KMU?

Betroffene KMU müssen nach dem KRITIS-Dachgesetz vor allem einen strukturierten Risikomanagementprozess aufbauen, physische Schutzmaßnahmen für ihre kritischen Anlagen umsetzen und Vorfälle melden. Im Mittelpunkt steht dabei die physische Resilienz, also der Schutz von Anlagen, Infrastrukturen und Betriebsabläufen vor Ausfall, Sabotage oder Katastrophen.

Die wichtigsten Pflichten im Überblick:

Risikobewertung: Bedrohungen und Schwachstellen für kritische Anlagen systematisch identifizieren und bewerten, zum Beispiel auf Basis von DIN ISO 31000.
Schutzmaßnahmen: Auf Basis der Risikobewertung geeignete technische und organisatorische Maßnahmen planen und umsetzen.
Meldepflichten: Sicherheitsrelevante Vorfälle an die zuständigen Behörden melden.
Registrierungspflicht: Betreiber kritischer Anlagen müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren.
Nachweispflicht: Die Umsetzung der Maßnahmen muss dokumentiert und auf Anfrage nachgewiesen werden können.

Wichtig: Das KRITIS-Dachgesetz fokussiert auf die physische Sicherheit kritischer Anlagen. Es ist klar von der NIS2-Richtlinie zu trennen, die sich auf IT- und Cybersicherheit bezieht. Beide Regelwerke können parallel gelten, aber ihre Anforderungen, Sektoren und Pflichten unterscheiden sich.

Was passiert, wenn KMU die Anforderungen nicht erfüllen?

Wenn betroffene KMU die Anforderungen des KRITIS-Dachgesetzes nicht erfüllen, drohen Bußgelder, behördliche Anordnungen und im Ernstfall Betriebseinschränkungen. Die genaue Höhe der Sanktionen sowie die Durchsetzungsmechanismen werden im weiteren Umsetzungsprozess des Gesetzes konkretisiert, da sich die nationale Ausgestaltung noch in der Entwicklung befindet.

Neben den rechtlichen Konsequenzen gibt es praktische Risiken: Wer keinen Risikomanagementprozess aufgebaut hat, ist im Krisenfall schlechter vorbereitet, was zu längeren Ausfallzeiten und höheren wirtschaftlichen Schäden führen kann. Behörden können außerdem Nachweise über umgesetzte Schutzmaßnahmen verlangen. Wer diese nicht vorlegen kann, gerät unter Druck.

Der Hinweis ist angebracht: Da das KRITIS-Dachgesetz in Deutschland noch nicht vollständig in Kraft getreten ist und die Umsetzungsfristen laufend präzisiert werden, sollten Sie den aktuellen Gesetzgebungsstand im Blick behalten und sich frühzeitig beraten lassen, anstatt abzuwarten.

Wie unterscheiden sich die Anforderungen je nach Unternehmensgröße?

Das KRITIS-Dachgesetz unterscheidet nicht primär nach Unternehmensgröße, sondern nach der Kritikalität der Anlage. Betreiber, deren Anlage die Schwellenwerte erreicht, unterliegen denselben Grundpflichten, unabhängig davon, ob sie 20 oder 2.000 Mitarbeitende beschäftigen.

In der Praxis bedeutet das allerdings, dass kleinere Unternehmen mit weniger Ressourcen dieselben Anforderungen erfüllen müssen wie große Konzerne. Das kann eine spürbare Belastung sein. Gleichzeitig sind die Anforderungen verhältnismäßig: Die geforderten Maßnahmen müssen dem tatsächlichen Risiko entsprechen, das durch eine strukturierte Risikobewertung ermittelt wird. Ein kleiner Betreiber mit überschaubaren Anlagen muss also keine unverhältnismäßig aufwendigen Systeme einführen, wenn die Risikoanalyse das nicht erfordert.

Für KMU gilt daher: Der Risikomanagementprozess ist der Ausgangspunkt. Erst wenn Risiken systematisch bewertet wurden, lässt sich beurteilen, welche Maßnahmen tatsächlich notwendig und angemessen sind. Das schützt vor Über- und Unterinvestitionen.

Wie können KMU die Umsetzung schrittweise angehen?

KMU können die Umsetzung der KRITIS-Anforderungen schrittweise angehen, indem sie zunächst ihre Betroffenheit klären, dann eine Risikoanalyse durchführen und anschließend Maßnahmen priorisiert planen und umsetzen. Dieses Vorgehen ist sowohl gesetzeskonform als auch ressourcenschonend.

Ein bewährter Ablauf in der Praxis:

Betroffenheit prüfen: Stellen Sie fest, ob Ihre Anlage unter das KRITIS-Dachgesetz fällt. Nutzen Sie dafür strukturierte Tools oder holen Sie eine fachkundige Einschätzung ein.
Registrierung vorbereiten: Betroffene Betreiber müssen sich beim BBK registrieren. Klären Sie frühzeitig, welche Angaben dafür erforderlich sind.
Risiken identifizieren und bewerten: Analysieren Sie Bedrohungen, Schwachstellen und mögliche Auswirkungen auf Ihre kritische Anlage. Normen wie DIN ISO 31000 bieten dafür einen anerkannten Rahmen.
Maßnahmen mit bestehendem Schutz abgleichen: Prüfen Sie, welche Schutzmaßnahmen bereits vorhanden sind, und identifizieren Sie Lücken.
Maßnahmen planen und umsetzen: Entwickeln Sie technische und organisatorische Maßnahmen, die den identifizierten Risiken entsprechen, und setzen Sie diese schrittweise um.
Dokumentieren: Halten Sie alle Schritte und Entscheidungen nachvollziehbar fest, um Nachweispflichten erfüllen zu können.

Für Bildungseinrichtungen und öffentliche Verwaltungen, die in Bestandsgebäuden arbeiten, ist dabei relevant: Technische Systeme wie Notfall- und Gefahrenreaktionssysteme lassen sich häufig auch ohne vollständige Sanierung nachrüsten. Das macht eine schrittweise Umsetzung realistisch und planbar. Mehr dazu finden Sie unter Krisenmanagement in öffentlichen Verwaltungen.

Welche Kosten und welcher Aufwand sind für KMU realistisch?

Der Aufwand für KMU hängt stark vom Ergebnis der Risikoanalyse ab und lässt sich daher nicht pauschal beziffern. Unternehmen, die bereits grundlegende Sicherheitsstrukturen haben, können auf Bestehendem aufbauen. Wer noch keine strukturierten Prozesse hat, muss mit einem höheren Initialaufwand rechnen.

Typische Kostentreiber sind:

Externe Beratung für Risikobewertung und Maßnahmenplanung
Technische Nachrüstungen, zum Beispiel bauliche Schutzmaßnahmen, Zutrittskontrollen oder Alarmierungssysteme
Schulungen für Mitarbeitende, damit Notfallpläne auch gelebt werden
Dokumentations- und Verwaltungsaufwand für Nachweise und Meldepflichten

Gleichzeitig lohnt sich die Investition: Unternehmen, die frühzeitig einen Risikomanagementprozess aufbauen, sind nicht nur gesetzeskonform, sondern auch widerstandsfähiger gegenüber Ausfällen, Sabotage und Katastrophen. Der Aufwand für Prävention ist in der Regel deutlich geringer als die Kosten eines ungeplanten Betriebsausfalls.

Ein realistischer Einstieg für KMU ist die Kombination aus einer strukturierten Erstbewertung und einer priorisierten Maßnahmenplanung. So vermeiden Sie unnötige Investitionen und setzen das Budget dort ein, wo es den größten Effekt hat.

Wie wir KMU bei den KRITIS-Anforderungen unterstützen

Wir begleiten kleine und mittelständische Unternehmen von der ersten Betroffenheitsprüfung bis zur Umsetzung konkreter Schutzmaßnahmen. Unser Ansatz ist strukturiert, praxisnah und auf Ihre spezifische Situation zugeschnitten:

Betroffenheitsprüfung: Mit unserem KRITIS-Betroffenheitsrechner erhalten Sie schnell eine erste Einschätzung, ob Ihr Unternehmen unter das Gesetz fällt.
Strukturierte Risikoanalyse: Wir identifizieren und bewerten Bedrohungen und Schwachstellen für Ihre kritischen Anlagen, auf Basis anerkannter Normen wie DIN ISO 31000 und DIN EN 50726-1.
Maßnahmenplanung: Wir gleichen bestehende Schutzmaßnahmen mit den identifizierten Risiken ab und entwickeln passende technische und organisatorische Lösungen, die zu Ihrem Budget passen.
Fachplanung technischer Systeme: Von baulichen Schutzkonzepten über stille Alarmierung bis hin zu Notfall- und Gefahrenreaktionssystemen planen wir Lösungen, die auch in Bestandsgebäuden realisierbar sind.
Schulungen und Begleitung: Wir schulen Ihre Mitarbeitenden und begleiten Sie bei der Dokumentation und dem Nachweis umgesetzter Maßnahmen.

Michael Schenkelberg bringt mehr als 25 Jahre Erfahrung im Notfall- und Gefahrenmanagement mit und ist zertifizierter Notfall- und Krisenmanager des BdSi sowie aktives Mitglied in nationalen und internationalen Normungsausschüssen. Schauen Sie sich unsere Dienstleistungen an oder nehmen Sie direkt Kontakt auf, um gemeinsam den nächsten Schritt zu planen.

Michael Schenkelberg