Met het KRITIS-Dachgesetz heeft Duitsland een nieuwe regulatorische kader voor de bescherming van kritieke infrastructuren geschaffen dat ver verder gaat dan de eerdere IT-beveiligingsvereisten. Voor exploitanten in de betrokken sectoren stelt de wet aanzienlijk verscherpte eisen – en de implementatiedeadlines lopen.
Dit artikel legt uit wat het KRITIS-Dachgesetz inhoudt, wie het betreft, wat het concreet vereist en hoe bedrijven de eisen gestructureerd kunnen naleven.
Was ist das KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz (offiziell: Gesetz zur Umsetzung der CER-Richtlinie und zur Stärkung der Resilienz kritischer Anlagen) ist das deutsche Umsetzungsgesetz der EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie, EU 2022/2557). Es ergänzt das IT-Sicherheitsgesetz 2.0 um einen physischen Resilienzrahmen.
Während das IT-Sicherheitsgesetz primär auf Cybersicherheit abzielt, regelt das KRITIS-Dachgesetz den physischen Schutz kritischer Infrastrukturen: Sabotage, Naturkatastrophen, Terrorismus, Systemausfälle. Es schafft damit ein umfassendes Zwei-Säulen-Modell: Cybersicherheit + physische Resilienz.
Welche Sektoren sind betroffen?
Das KRITIS-Dachgesetz gilt für Betreiber kritischer Infrastrukturen in elf Sektoren: Energie, Verkehr und Transport, Bankwesen und Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser und Abwasser, Digitale Infrastruktur, IKT-Dienstverwaltung, Öffentliche Verwaltung, Weltraum, Ernährung und Abfallwirtschaft.
Maßgeblich für die Einstufung als KRITIS-Betreiber sind Schwellenwerte, die je nach Sektor unterschiedlich definiert sind (z. B. Versorgung von mindestens 500.000 Personen in bestimmten Sektoren).
Was fordert das KRITIS-Dachgesetz konkret?
Registrierungspflicht
KRITIS-Betreiber müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Das BBK führt ein nationales Register kritischer Infrastrukturen.
Risikoanalyse und -bewertung
Betreiber müssen eine umfassende Risikoanalyse durchführen, die alle relevanten Bedrohungen berücksichtigt: Naturkatastrophen, Klimawandel, Unfälle, Terrorismus, Sabotage, hybride Angriffe und Abhängigkeiten von anderen Sektoren.
Resilienzplan
Auf Basis der Risikoanalyse ist ein Resilienzplan zu entwickeln, der konkrete Maßnahmen zum Schutz, zur Erkennung, zur Reaktion und zur Wiederherstellung beschreibt. Der Plan muss regelmäßig aktualisiert und gegenüber dem BBK nachgewiesen werden.
Physische Sicherheitsmaßnahmen
- Perimetersicherung und Zugangskontrolle
- Überwachungssysteme und Alarmanlagen
- Redundanzen in kritischen Prozessen
- Schutz vor Insider-Bedrohungen (Background-Checks für Schlüsselpersonal)
- Sicherung von Versorgungsketten
Meldepflichten
Sicherheitsvorfälle müssen dem BBK innerhalb definierter Fristen gemeldet werden:
- Frühwarnung: innerhalb von 24 Stunden nach Bekanntwerden
- Erstmeldung: innerhalb von 72 Stunden
- Abschlussbericht: nach abgeschlossener Analyse
Verpflichtende Übungen
KRITIS-Betreiber sind verpflichtet, ihre Resilienzpläne regelmäßig zu erproben – sowohl intern als auch sektor- und sektorübergreifend koordiniert durch das BBK.
Single Point of Contact (SPOC)
Jeder KRITIS-Betreiber muss eine zentrale Ansprechstelle (SPOC) benennen, über die Kommunikation mit dem BBK und anderen Behörden erfolgt.
KRITIS-Dachgesetz und NIS2: Das Zusammenspiel
Das KRITIS-Dachgesetz und NIS2/NISG 2.0 ergänzen sich: Während NIS2 auf Netz- und Informationssicherheit abzielt, fokussiert das KRITIS-Dachgesetz auf physische Resilienz. Viele KRITIS-Betreiber unterliegen beiden Regimen gleichzeitig. Eine sorgfältige Prüfung der eigenen Einstufung ist unerlässlich.
Zeitplan und Umsetzungsfristen
- Risikoanalyse: Innerhalb von 9 Monaten nach Identifizierung als KRITIS-Betreiber
- Resilienzplan: Innerhalb von 18 Monaten nach Identifizierung
- Umsetzung der Maßnahmen: Gestaffelt, abhängig von Sektor und Kritikalität
Was müssen Unternehmen konkret tun?
Schritt 1: Einstufungsprüfung
Prüfen Sie, ob Ihr Unternehmen unter das KRITIS-Dachgesetz fällt. Maßgeblich sind Sektor, Versorgungsumfang und die Schwellenwerte der Rechtsverordnung.
Schritt 2: Gap-Analyse
Vergleichen Sie Ihren aktuellen Stand der Resilienzmaßnahmen mit den gesetzlichen Anforderungen. Wo bestehen Lücken? Welche Maßnahmen haben höchste Priorität?
Schritt 3: Risikoanalyse durchführen
Führen Sie eine gesetzeskonforme Risikoanalyse durch, die alle relevanten Bedrohungslagen berücksichtigt – inklusive physischer Bedrohungen, Klimarisiken und Abhängigkeiten von Drittanbietern.
Schritt 4: Resilienzplan entwickeln
Entwickeln Sie auf Basis der Risikoanalyse einen Resilienzplan, der die gesetzlichen Mindestanforderungen erfüllt und praktisch umsetzbar ist.
Schritt 5: Organisationsstrukturen aufbauen
Benennen Sie einen SPOC, definieren Sie Verantwortlichkeiten, etablieren Sie Meldeprozesse und trainieren Sie Ihr Team.
Schritt 6: Registrierung beim BBK
Registrieren Sie Ihr Unternehmen beim BBK über das dafür vorgesehene Online-Portal.
Sanktionen bei Nichterfüllung
Das KRITIS-Dachgesetz sieht empfindliche Bußgelder vor: bis zu 2 Prozent des weltweiten Jahresumsatzes oder 10 Millionen Euro – je nachdem, welcher Betrag höher ist. Hinzu kommen Reputationsschäden und zivilrechtliche Haftungsrisiken.
Wie wir Unternehmen unterstützen
Die Deutsche Akademie für Krisenmanagement berät Unternehmen aus KRITIS-Sektoren: KRITIS-Compliance-Check, Risikoanalyse nach KRITIS-Dachgesetz, Resilienzplan-Entwicklung, KRITIS-Übungen und unabhängige Audits durch erfahrene Experten.
Fazit: KRITIS-Dachgesetz als Chance zur Stärkung der Resilienz
Das KRITIS-Dachgesetz ist eine regulatorische Pflicht – aber auch eine Chance. Unternehmen, die die Anforderungen ernstnehmen, sind besser auf reale Störungen vorbereitet, schützen ihre Mitarbeitenden und ihre Versorgungsverantwortung und positionieren sich als verlässliche Partner für Kunden und Behörden. Mit strukturierter Unterstützung können auch mittelständische KRITIS-Betreiber die Anforderungen vollständig und effizient umsetzen.
