Das KRITIS-Dachgesetz und die physische Resilienz

Was das KRITIS-Dachgesetz regelt

Das KRITIS-Dachgesetz (KRITISDachG) vom 11.3.2026 schafft erstmals einen einheitlichen bundesrechtlichen Rahmen für die physische Resilienz kritischer Infrastrukturen in Deutschland. Es setzt die Richtlinie über die Resilienz kritischer Einrichtungen (Richtlinie (EU) 2022/2557, CER-Richtlinie) um und ist am 17.3.2026 in Kraft getreten. Während das für NIS2 geänderte BSI-Gesetz (BSIG) die Cybersicherheit regelt, erfasst das KRITIS-Dachgesetz alle übrigen Gefahren: Naturkatastrophen, Sabotage, Terrorismus, Innentäter, gesundheitliche Notlagen und Störungen der Lieferketten.

Betreiber kritischer Anlagen müssen sich registrieren, Risikobewertungen durchführen, Resilienzmaßnahmen ergreifen, diese in einem Resilienzplan dokumentieren, Vorfälle melden und sicherstellen, dass die Geschäftsleitung die Maßnahmen umsetzt und überwacht. Die einzelnen Pflichten werden nicht sofort, sondern schrittweise ausgelöst, nachdem sich ein Betreiber registriert hat, und ihr Umfang hängt von einer Rechtsverordnung ab, die kritische Dienstleistungen und Schwellenwerte für Anlagen festlegt.

Die CER-Richtlinie verpflichtete die Mitgliedstaaten, sie bis zum 17.10.2024 umzusetzen und ihre kritischen Einrichtungen bis zum 17.7.2026 zu ermitteln (Art. 26 und 6 der Richtlinie). Deutschland hat sein Umsetzungsgesetz erst nach Ablauf der Umsetzungsfrist verabschiedet, sodass die praktische Ermittlung der Betreiber nun nachgeholt wird. Unternehmen, die bisher nicht nach den Schwellenwerten des BSIG als kritische Infrastruktur reguliert waren, können erstmals erfasst sein und sollten ihre Betroffenheit deshalb frühzeitig prüfen.

Wer erfasst ist

Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen in zehn Sektoren (§ 4 Abs. 1 KRITISDachG): Energie; Transport und Verkehr; Finanzwesen; Sozialversicherung sowie Grundsicherung für Arbeitsuchende; Gesundheitswesen; Wasser; Ernährung; Informationstechnik und Telekommunikation; Weltraum; sowie Siedlungsabfallentsorgung. Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, welche kritischen Dienstleistungen zu den einzelnen Sektoren gehören (§ 4 Abs. 3 KRITISDachG) und welche Kategorien von Anlagen für ihre Erbringung bedeutend sind, anhand von Schwellenwerten, die auf dem Versorgungsgrad beruhen (§ 5 Abs. 1 KRITISDachG). In der Regel liegt der Schwellenwert bei einer Anlage, die 500.000 Einwohner versorgt (§ 5 Abs. 2 KRITISDachG). Das Ministerium kann zudem im Einzelfall festlegen, dass eine Anlage bedeutend ist oder nicht (§ 5 Abs. 3 KRITISDachG).

Mehrere Sektoren sind von den operativen Pflichten des KRITIS-Dachgesetzes weitgehend ausgenommen, weil sie anderen Regelwerken unterliegen (§ 4 Abs. 2 KRITISDachG): Finanzunternehmen, die dem Digital Operational Resilience Act (DORA) unterliegen, Betreiber im Sektor Informationstechnik und Telekommunikation sowie – mit Ausnahme der Risikobewertungen – Betreiber in den Sektoren Siedlungsabfallentsorgung und Sozialversicherung. Betreiber sollten daher sorgfältig und für jede Anlage gesondert prüfen, welche Teile des Gesetzes für sie gelten und welche nicht.

Resilienzmaßnahmen und Resilienzplan

Betreiber müssen Maßnahmen ergreifen, um Vorfälle zu verhindern, einen angemessenen physischen Schutz ihrer Liegenschaften und Anlagen zu gewährleisten, auf Vorfälle zu reagieren und deren Folgen zu begrenzen sowie die rasche Wiederherstellung der kritischen Dienstleistung sicherzustellen (§ 13 Abs. 1 KRITISDachG). Die Maßnahmen müssen verhältnismäßig sein, auf den nationalen Risikobewertungen und der eigenen Risikobewertung des Betreibers beruhen und den Stand der Technik berücksichtigen; wirtschaftliche Gesichtspunkte einschließlich der Leistungsfähigkeit des Betreibers werden berücksichtigt (§ 13 Abs. 2 KRITISDachG).

Als Beispiele für solche Maßnahmen nennt das Gesetz unter anderem Notfallvorsorge, Zäune und baulichen Schutz, die Überwachung der Umgebung, Detektionsgeräte und Zugangskontrollen, Krisenmanagementverfahren und Alarmierungsprotokolle, Maßnahmen zur Aufrechterhaltung des Betriebs wie eine Notstromversorgung, alternative Lieferketten, ein Sicherheitsmanagement für das Personal (einschließlich des Personals externer Dienstleister) sowie Schulungen und Übungen (§ 13 Abs. 3 KRITISDachG).

Die Maßnahmen sind in einem Resilienzplan darzulegen und anzuwenden, der die zugrunde liegenden Erwägungen erläutert und bei Bedarf sowie nach jeder Risikobewertung zu aktualisieren ist (§ 13 Abs. 4 KRITISDachG). Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) soll hierfür Vorlagen veröffentlichen, die Betreibern die Erstellung des Plans erleichtern. Mindestanforderungen können durch Rechtsverordnung festgelegt werden, und Branchenverbände können branchenspezifische Resilienzstandards zur Anerkennung vorschlagen (§ 14 KRITISDachG).

Nutzung vorhandener Nachweise

Betreiber müssen bei der Umsetzung des KRITIS-Dachgesetzes nicht bei null anfangen. Risikoanalysen, Dokumente, Maßnahmen und Zertifikate, die ein Betreiber aufgrund anderer rechtlicher Verpflichtungen oder freiwillig erstellt oder erlangt hat, können zum Nachweis der Einhaltung herangezogen werden (§ 17 Abs. 1 KRITISDachG), und tatsächliche Feststellungen anderer Behörden zu solchen Dokumenten sind zugunsten des Betreibers bindend (§ 17 Abs. 2 KRITISDachG). Das zuständige Ministerium kann zudem durch Rechtsverordnung erklären, dass Pflichten nach anderen öffentlich-rechtlichen Vorschriften gleichwertig sind. Für Betreiber in stark regulierten Sektoren wie Energie, Wasser oder Krankenhäusern kann ein sorgfältiger Abgleich der vorhandenen Dokumentation mit dem KRITIS-Dachgesetz den zusätzlichen Aufwand erheblich verringern.

Kritische Einrichtungen von besonderer Bedeutung für Europa

Betreiber, die dieselben oder ähnliche wesentliche Dienste grenzüberschreitend für oder in mindestens sechs EU-Mitgliedstaaten erbringen, können von der Europäischen Kommission als kritische Einrichtungen von besonderer Bedeutung für Europa eingestuft werden (§ 9 KRITISDachG). Für solche Einrichtungen können von der Kommission organisierte Beratungsmissionen zur Bewertung ihrer Resilienzmaßnahmen stattfinden (§ 10 KRITISDachG). Für deutsche Konzerne mit grenzüberschreitender Infrastruktur, etwa in der Energieübertragung oder der Logistik, sollte diese europäische Dimension bei der Planung von Governance und Dokumentation berücksichtigt werden.

Meldung von Vorfällen

Betreiber müssen Vorfälle, die die Erbringung kritischer Dienstleistungen erheblich stören oder erheblich stören könnten, unverzüglich, spätestens aber binnen 24 Stunden nach Kenntniserlangung über die gemeinsam mit dem BSI eingerichtete Meldestelle an das BBK melden; ein ausführlicher Bericht folgt binnen eines Monats (§ 18 Abs. 1 KRITISDachG).

Die Meldungen müssen die Informationen enthalten, die erforderlich sind, um Art, Ursache und mögliche grenzüberschreitende Auswirkungen des Vorfalls zu verstehen, einschließlich der Zahl und des Anteils der betroffenen Personen, der Dauer und des geografischen Gebiets (§ 18 Abs. 2 KRITISDachG). Meldepflichten nach anderen Gesetzen, etwa nach dem BSIG für Cybervorfälle, bleiben unberührt und sind parallel zu erfüllen. Ein einzelnes Ereignis wie ein Sabotageangriff, der auch IT-Systeme betrifft, kann daher Meldungen nach beiden Regelwerken auslösen. Siehe unseren Beitrag zur Reaktion auf einen Cyberangriff.

Pflichten der Geschäftsleitung nach dem KRITIS-Dachgesetz

In Anlehnung an die NIS2-Regeln verpflichtet § 20 KRITISDachG die Geschäftsleitung der Betreiber, die Resilienzmaßnahmen umzusetzen und deren Umsetzung durch geeignete organisatorische Maßnahmen sicherzustellen. Geschäftsleiter, die diese Pflicht verletzen, haften ihrer Einrichtung für schuldhaft verursachte Schäden nach den für die jeweilige Rechtsform geltenden gesellschaftsrechtlichen Regeln, etwa nach § 93 AktG oder § 43 GmbHG (§ 20 Abs. 2 KRITISDachG). Anders als § 38 BSIG enthält die KRITIS-Vorschrift keine Schulungspflicht. Siehe unseren Beitrag zur Geschäftsleiterhaftung nach NIS2.

Aufsicht, Nachweise und Bußgelder

Das BBK ist nach dem Gesetz die zentrale Anlaufstelle für Betreiber und Behörden; die zuständigen Behörden unterscheiden sich je nach Sektor – etwa die Bundesnetzagentur für Elektrizität, Gas, Wasserstoff und Telekommunikation und Behörden der Länder für viele andere Dienstleistungen (§ 3 KRITISDachG). Die Behörden wählen Betreiber für Prüfungen nach einem risikobasierten Ansatz aus, können Nachweise einschließlich des Resilienzplans und von Prüfergebnissen anfordern und Inspektionen durchführen (§ 16 KRITISDachG). Sie können außerdem auf entsprechende Nachweise zurückgreifen, die dem BSI nach dem BSIG vorgelegt wurden.

Die Bußgelder nach § 24 KRITISDachG sind im Vergleich zum Cybersicherheitsrecht moderat: bis zu 100.000 Euro bei Versäumnissen der Registrierung, bis zu 200.000 Euro oder 500.000 Euro bei bestimmten Verstößen gegen Anordnungen und Nachweispflichten und bis zu 1 Mio. Euro bei Nichtbefolgung einer vollziehbaren Anordnung zur Registrierung. Die eigentlichen Risiken für Betreiber liegen daher an anderer Stelle: in behördlichen Anordnungen, Reputationsschäden, der Haftung der Geschäftsleitung und im Krisenfall in den Folgen unzureichender Vorbereitung.

Ausnahmen

Das Bundesministerium des Innern kann Betreiber ganz oder teilweise von Pflichten befreien, wenn ihre Resilienz anderweitig gewährleistet ist und staatlich beaufsichtigt wird, insbesondere bei Betreibern, die in den Bereichen nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind (§ 22 KRITISDachG). Für die meisten gewerblichen Betreiber werden diese Ausnahmen in der Praxis keine Rolle spielen, Betreiber, die eng mit Sicherheitsbehörden zusammenarbeiten, sollten diese Möglichkeit aber prüfen.

Praktische Schritte für Betreiber

Die operativen Pflichten hängen von der Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG ab, die kritische Dienstleistungen und Schwellenwerte festlegt. Dieselbe Verordnung ist auch nach dem BSIG relevant, das bestimmte Vorschriften über kritische Anlagen erst mit ihrem Inkrafttreten anwendbar macht (§ 66 BSIG). Unternehmen sollten ihren Erlass aufmerksam verfolgen und in der Zwischenzeit vorsorglich:

1. prüfen, ob eine ihrer Anlagen nach den erwarteten Schwellenwerten als kritisch gelten könnte;
2. die Registrierungsdaten einschließlich Kontaktstellen und Anlageninformationen vorbereiten;
3. eine gefahrenübergreifende Risikobewertung einschließlich der Abhängigkeiten von Lieferanten und anderen Sektoren beginnen;
4. vorhandene Maßnahmen zu physischer Sicherheit, Business Continuity und Krisenmanagement mit § 13 KRITISDachG abgleichen;
5. Prozesse zur Meldung von Vorfällen einrichten, die mit den Meldungen nach dem BSIG abgestimmt sind;
6. die Geschäftsleitung über ihre Pflichten unterrichten und Berichtslinien einrichten.

Auch Lieferanten und Dienstleister von Betreibern sollten sich auf das KRITIS-Dachgesetz einstellen und mit vertraglichen Anforderungen an Personalsicherheit, Zugangskontrollen und Liefersicherheit rechnen. Das Gesetz nennt das Sicherheitsmanagement für das Personal externer Dienstleister ausdrücklich unter den möglichen Maßnahmen, und Betreiber werden Anforderungen an Sicherheitsfirmen, Wartungsunternehmen und Facility-Manager weitergeben müssen, die auf ihrem Gelände tätig sind. Lieferverträge über kritische Vorprodukte, etwa Chemikalien für die Wasseraufbereitung oder Ersatzteile für Netzbetriebsmittel, müssen gegebenenfalls Bevorratung, alternative Beschaffung und bevorzugte Belieferung im Krisenfall regeln.

Fallbeispiel

Fallbeispiel (hypothetisch): Ein kommunaler Versorger liefert Trinkwasser an mehr als 500.000 Einwohner und geht daher davon aus, dass sein Hauptwasserwerk als kritische Anlage gilt. Binnen drei Monaten nach dieser Einstufung registriert er sich über die gemeinsame Plattform von BBK und BSI. Neun Monate nach der Registrierung muss er eine gefahrenübergreifende Risikobewertung abgeschlossen haben, die Hochwasser, Dürre, Stromausfälle, Sabotage und Abhängigkeiten von Chemikalienlieferanten abdeckt. Einen Monat später muss sein Resilienzplan vorliegen, der Perimeterschutz, Notstromversorgung, Krisenorganisation und Personalschulungen beschreibt, und seine Geschäftsleitung muss die Umsetzung und eine regelmäßige Berichterstattung veranlasst haben. Der Versorger nutzt, soweit möglich, seine vorhandene Dokumentation zum technischen Sicherheitsmanagement als Nachweis.

So unterstützt TRW & Co beim KRITIS-Dachgesetz

Wir beraten Betreiber kritischer Anlagen und ihre Lieferanten zum KRITIS-Dachgesetz: zu Anwendungsbereich und Registrierung, Risikobewertungen, Resilienzplänen, der Meldung von Vorfällen und dem Zusammenspiel mit dem BSIG, DORA und dem Sektorrecht. Wir beraten Vorstände, Geschäftsführer und Aufsichtsräte zu ihren Pflichten und ihrer Haftung, entwerfen Liefer- und Dienstleistungsverträge mit Resilienzanforderungen und vertreten Mandanten vor dem BBK und den zuständigen Behörden. Siehe unsere Seiten zu Cybersicherheit und NIS2 und zu Energie und Infrastruktur oder kontaktieren Sie uns.