KRITIS 2025: Was sich durch das KRITIS-Dachgesetz ändern soll

1. Titel & Einleitung

KRITIS 2025: Was sich durch das KRITIS-Dachgesetz ändern soll

KRITIS im Wandel Kritische Infrastrukturen sind das Rückgrat moderner Gesellschaften. Ohne funktionierende Energieversorgung, Kommunikationsnetze, Gesundheitsversorgung oder Transportlogistik steht nicht nur der Alltag still – auch staatliche Stabilität und wirtschaftliche Leistungsfähigkeit geraten ins Wanken.

Mit dem neuen KRITIS-Dachgesetz stellt die Bundesregierung die Weichen für eine umfassendere und strukturiertere Absicherung. Ziel ist es, die Resilienz kritischer Anlagen gegenüber physischen Gefahren wie Naturkatastrophen, Sabotage oder Systemausfällen zu stärken – ergänzend zu den bestehenden Vorgaben der IT-Sicherheit.

Dieser Beitrag gibt einen Überblick darüber, was sich durch das KRITIS-Dachgesetz ändern soll, wen es betrifft und was Betreiber kritischer Anlagen jetzt wissen und vorbereiten sollten.

2. Aktueller Stand bei KRITIS

Aktueller Stand bei KRITIS Der Schutz kritischer Infrastrukturen in Deutschland war bisher stark auf die IT-Sicherheit ausgerichtet. IT-Sicherheitsgesetz, BSI-Gesetz (BSIG), branchenspezifische Regelungen im EnWG und TKG sowie die Umsetzung der ersten NIS-Richtlinie haben wichtige Grundlagen geschaffen – vor allem zum Schutz digitaler Systeme vor Cyberangriffen.

Physische Gefahren – etwa Extremwetter, Sabotageakte oder Störungen von Versorgungswegen – waren dagegen bislang nur punktuell reguliert. Eine übergreifende gesetzliche Grundlage für physische Resilienz fehlte. Gleichzeitig hat sich die Bedrohungslage durch geopolitische Spannungen, globale Krisen und koordinierte Angriffe verändert.

Die EU-Richtlinie 2022/2557, die im Januar 2023 in Kraft getreten ist, fordert deshalb einen All-Gefahren-Ansatz und verpflichtet die Mitgliedstaaten, diesen bis Oktober 2024 in nationales Recht zu überführen. Genau hier setzt das KRITIS-Dachgesetz an.

3. Warum das KRITIS-Dachgesetz?

Warum das KRITIS-Dachgesetz? Mit dem KRITIS-Dachgesetz reagiert die Bundesregierung auf die neue europäische Rechtslage und die gewachsene Notwendigkeit, kritische Infrastrukturen umfassender zu schützen. Während bisherige Gesetze wie das BSIG primär Cyberrisiken adressieren, verfolgt das Dachgesetz einen sektorenübergreifenden Ansatz für den physischen Schutz.

Es setzt die EU-Richtlinie 2022/2557 in nationales Recht um und definiert einheitliche Mindestverpflichtungen für Betreiber kritischer Einrichtungen: von der Prävention über die Reaktion bis hin zur Wiederherstellung nach Störungen. Im Mittelpunkt steht der vollständige Resilienzzyklus.

Das KRITIS-Dachgesetz versteht sich als übergeordnetes Regelwerk und schafft gemeinsame Mindeststandards, etwa durch verpflichtende Risikobewertungen, Resilienzpläne und Meldepflichten. In Kombination mit NIS2 (digitale Sicherheit) und anderen Vorgaben wie DORA entsteht ein ganzheitlicher Schutzansatz, der physische und digitale Sicherheit zusammen denkt.

4. Was regelt das KRITIS-Dachgesetz konkret?

Was regelt das KRITIS-Dachgesetz konkret? Das KRITIS-Dachgesetz schafft erstmals einen bundeseinheitlichen, sektorübergreifenden Rechtsrahmen für den physischen Schutz kritischer Anlagen. Es richtet sich an Betreiber, deren Ausfall erhebliche Auswirkungen auf Versorgungssicherheit oder öffentliche Ordnung hätte.

Zentrale Inhalte sind u. a.:

• Risikobewertung & Resilienzplanung Regelmäßige Risikoanalysen (mindestens alle vier Jahre) und darauf aufbauende Resilienzpläne mit technischen, baulichen, organisatorischen und personellen Maßnahmen (§ 12, § 13 KRITIS-DachG).

• Meldesystem für Vorfälle Erhebliche Störungen müssen innerhalb von 24 Stunden an eine zentrale Meldestelle von BBK und BSI gemeldet werden; eine detaillierte Nachmeldung folgt (§ 18).

• Definition & Registrierung kritischer Anlagen Bundeseinheitliche Kriterien (u. a. Versorgungsgrad, z. B. > 500.000 versorgte Personen) legen fest, welche Anlagen als „kritisch“ gelten. Diese müssen registriert werden (§ 8).

• Resilienzziele & Maßnahmenorientierung Das Gesetz definiert Ziele statt starrer Maßnahmenkataloge und nennt beispielhafte Maßnahmen wie bauliche Sicherungen, Zugangskontrollen, Notstromversorgung oder Krisenmanagement (§ 13 Abs. 3).

• Zuständigkeiten & Aufsicht Die Aufsicht liegt bei verschiedenen Bundes- und Landesbehörden je Sektor; koordiniert wird dies durch das BBK (§ 3).

Zusammengefasst regelt das KRITIS-Dachgesetz das „Wie“ der Resilienz – Verfahren, Mindeststandards und Zuständigkeiten – während Details über Verordnungen und Branchenstandards konkretisiert werden (§ 14).

5. Welche Unternehmen sind betroffen?

Welche Unternehmen sind betroffen? Das KRITIS-Dachgesetz richtet sich an Betreiber sogenannter kritischer Anlagen. Kritisch ist eine Anlage, wenn ihr Ausfall oder ihre Beeinträchtigung erhebliche Folgen für Versorgungssicherheit oder öffentliche Ordnung hätte.

Die Einstufung erfolgt anhand von Kriterien, die per Rechtsverordnung konkretisiert werden. Ein zentraler Maßstab ist der Versorgungsgrad – als Richtwert gilt die Versorgung von mehr als 500.000 Personen. Zusätzlich werden Abhängigkeiten anderer Sektoren, Alternativen bei Ausfall und die geografische Reichweite betrachtet.

Das Gesetz gilt zunächst für zehn Sektoren (§ 4 KRITIS-DachG):

• Energie

• Transport und Verkehr

• Finanzwesen

• Leistungen der Sozial- und Grundsicherung

• Gesundheitswesen

• Wasser

• Ernährung

• Informationstechnik und Telekommunikation

• Weltraum

• Siedlungsabfallentsorgung

Betroffen sind Betreiber kritischer Anlagen in diesen Sektoren – unabhängig von Rechtsform oder Eigentümerstruktur. Unternehmen mit mehreren Standorten oder grenzüberschreitender Tätigkeit müssen jede relevante Anlage separat betrachten.

Für sogenannte kritische Einrichtungen von besonderer europäischer Bedeutung – etwa Dienstleister, die in mindestens sechs EU-Mitgliedstaaten wesentliche Leistungen erbringen – gelten zusätzliche Anforderungen (§§ 9–10).

Wichtig: Betreiber müssen sich spätestens bis Juli 2026 registrieren und anschließend innerhalb von neun bis zehn Monaten ihre Pflichten zur Resilienzplanung und Umsetzung erfüllen (§ 8 Abs. 7).

6. Neue Pflichten für Betreiber kritischer Anlagen

Neue Pflichten für Betreiber kritischer Anlagen Das KRITIS-Dachgesetz führt erstmals verbindliche Pflichten zum physischen Schutz ein. Im Mittelpunkt stehen planvolle Resilienz, Dokumentation und kontinuierliche Verbesserung:

• Risikoanalyse & Risikobewertung (§ 12) Alle vier Jahre – oder anlassbezogen – sind systematische Risikoanalysen durchzuführen. Betrachtet werden technische, naturbedingte, personelle und geopolitische Risiken sowie sektorübergreifende Abhängigkeiten.

• Resilienzplan (§ 13) Auf Basis der Risikoanalyse ist ein dokumentierter Resilienzplan zu erstellen. Er umfasst Maßnahmen zur Verhinderung, Begrenzung und Bewältigung von Vorfällen (z. B. bauliche Sicherungen, Zugangskontrollen, Notstrom, Krisenreaktion, alternative Lieferketten).

• Schulungen & Personalmaßnahmen Personal und externe Dienstleister sind gezielt zu schulen, z. B. durch Informationsmaterial, Übungen und Szenario-Trainings.

• Kontaktstelle & Meldepflichten (§§ 8, 18) Betreiber benennen eine zentrale Kontaktstelle und melden erhebliche Vorfälle innerhalb von 24 Stunden über eine digitale Plattform von BBK und BSI, ergänzt durch eine Nachberichterstattung.

• Nachweispflichten & Kontrollen (§ 16) Behörden können Nachweise und Audits verlangen. Festgestellte Mängel sind über Maßnahmenpläne zu beheben, basierend auf einem risikobasierten Kontrollansatz.

Diese Pflichten erscheinen auf den ersten Blick umfangreich, eröffnen Unternehmen aber die Chance, ihre Krisenfestigkeit strukturiert nachzuweisen und im Ernstfall handlungsfähig zu bleiben.

7. Wie verhält sich das Gesetz zu bestehenden IT-Sicherheitsvorgaben?

Wie verhält sich das Gesetz zu bestehenden IT-Sicherheitsvorgaben? Das KRITIS-Dachgesetz ist kein Ersatz, sondern eine Ergänzung zu bestehenden IT-Sicherheitsgesetzen – insbesondere dem BSI-Gesetz (BSIG) und der Umsetzung der NIS2-Richtlinie (NIS2UmsuCG). Während diese Regelwerke auf die Abwehr von Cyberbedrohungen und die Absicherung digitaler Systeme fokussiert sind, setzt das KRITIS-Dachgesetz einen eigenständigen Schwerpunkt auf physische Resilienz und verfolgt einen All-Gefahren-Ansatz.

Schnittstellen zwischen digitaler und physischer Sicherheit sollen harmonisiert werden – etwa durch eine gemeinsame Meldeplattform für Vorfälle nach BSIG und KRITIS-Dachgesetz (§ 18). Bereits umgesetzte Sicherheitsmaßnahmen können, sofern inhaltlich gleichwertig, auf die neuen Pflichten angerechnet werden (§ 17).

Unternehmen, die heute schon NIS2-Projekte gestartet haben, können auf bestehende Prozesse und Strukturen aufbauen – müssen aber prüfen, ob der physische Schutz in vergleichbarer Tiefe berücksichtigt ist.

8. Branchenstandards, Umsetzungshilfen & digitale Tools

Branchenstandards & Umsetzungshilfen Ein zentrales Merkmal des KRITIS-Dachgesetzes ist seine Offenheit für branchenspezifische Lösungen. Statt für alle Sektoren starre Anforderungen vorzugeben, setzt das Gesetz auf Mindeststandards mit Spielraum für individuelle Anpassungen. Verbände und Betreiber können Resilienzstandards entwickeln, die vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) geprüft und anerkannt werden (§ 14 Abs. 2).

Das BBK verpflichtet sich zudem, Muster und Vorlagen für Risikoanalysen, Resilienzpläne, Schulungsmaßnahmen und Meldeverfahren bereitzustellen. Besonders kleine und mittlere Unternehmen erhalten so praxisnahe Unterstützung.

Bereits bestehende Sicherheitskonzepte – etwa aus IT-Sicherheitsgesetzen oder sektorspezifischen Vorgaben – können angerechnet werden, sofern sie den Anforderungen des KRITIS-Dachgesetzes entsprechen (§ 17).

Digitale Tools für mehr Resilienz Um Risikoanalysen, Resilienzpläne, Schulungen und Meldungen effizient umzusetzen, sollten Unternehmen auf geeignete Softwarelösungen setzen. Integrierte GRC-, ISMS- oder BCM-Tools unterstützen durch strukturierte Workflows, zentrale Nachweisführung, Erinnerungssysteme und konsistente Dokumentation – und erleichtern die Verzahnung von NIS2- und KRITIS-Anforderungen.

9. Chancen & Herausforderungen für Unternehmen

Chancen & Herausforderungen für Unternehmen

Herausforderungen

• Organisatorischer Aufwand: Aufbau neuer Prozesse, Erstellung von Risikoanalysen und Resilienzplänen sowie klare Rollenverteilungen.

• Unklare Zuständigkeiten: In vielen Organisationen ist physische Resilienz bisher nicht eindeutig verankert.

• Rechtsunsicherheit: Viele Details werden erst in Verordnungen konkretisiert; Unternehmen müssen dennoch frühzeitig starten.

• Kosten: Der Gesetzgeber erwartet hohe Einmal- und laufende Kosten – Resilienz erfordert Investitionen in Strukturen, Technik und Personal.

Chancen

• Höhere Ausfallsicherheit: Gut vorbereitete Unternehmen können Vorfälle schneller abfangen und Schäden begrenzen.

• Reputationsgewinn: Nachweisbares Resilienzmanagement wird zum wichtigen Vertrauenssignal gegenüber Kunden, Partnern und Aufsicht.

• Wettbewerbsvorteil: Frühzeitig handelnde Unternehmen können sich als Vorreiter positionieren und in Ausschreibungen punkten.

• Stärkere interne Prozesse: Szenariodenken, interdisziplinäre Teams und bessere Dokumentation erhöhen die Krisenfähigkeit – auch im Tagesgeschäft.

10. Fazit: Was Unternehmen jetzt tun sollten

Fazit: Was Unternehmen jetzt tun sollten Auch wenn viele Details des KRITIS-Dachgesetzes noch per Verordnung konkretisiert werden, ist die Stoßrichtung klar: Kritische Infrastrukturen sollen deutlich widerstandsfähiger werden. Unternehmen, die voraussichtlich betroffen sind, sollten jetzt aktiv werden:

1. Betroffenheit prüfen

   • Gehört mein Unternehmen zu einem der zehn betroffenen Sektoren?

   • Versorge ich mehr als 500.000 Menschen oder erfülle ich systemrelevante Funktionen?

   • Erbringe ich kritische Dienstleistungen in oder für mehrere EU-Staaten?

2. Zuständigkeiten klären

   • Wer verantwortet physische Resilienz, Risikoanalysen und Meldewesen?

   • Wie sind IT-Sicherheit und physischer Schutz organisatorisch verzahnt?

   • Sollte ein interdisziplinäres Resilienz- oder BCM-Team etabliert werden?

3. Erste Vorbereitungen treffen

   • Erste Risikoanalyse auf Basis vorhandener Informationen vorbereiten

   • Bestehende Maßnahmen und Sicherheitskonzepte erfassen

   • Prozesse für interne Kommunikation und externe Meldungen entwerfen

   • Entwicklungen bei BBK, BSI und Branchenverbänden beobachten

Resilienz ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Das KRITIS-Dachgesetz liefert den gesetzlichen Rahmen – wie krisenfest ein Unternehmen tatsächlich ist, entscheidet sich an der Umsetzung.

11. Q&A / FAQ (Deutsch)

Frage 1

Was ist das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz ist ein neues bundesweites Regelwerk zur Stärkung der physischen Resilienz kritischer Infrastrukturen (KRITIS). Es verpflichtet Betreiber kritischer Anlagen u. a. zu regelmäßigen Risikoanalysen, Resilienzplänen und Meldepflichten bei erheblichen Störungen.

Frage 2

Wer ist vom KRITIS-Dachgesetz betroffen?

Betroffen sind Betreiber kritischer Anlagen in zehn definierten KRITIS-Sektoren, z. B. Energie, Gesundheit, Verkehr oder IT und Telekommunikation. Entscheidend ist unter anderem, ob eine Anlage mehr als 500.000 Personen versorgt oder eine systemrelevante Funktion erfüllt.

Frage 3

Welche Pflichten entstehen durch das KRITIS-Dachgesetz?

Unternehmen müssen regelmäßig Risiken bewerten, einen Resilienzplan erstellen, Personal schulen und erhebliche Vorfälle innerhalb von 24 Stunden an eine zentrale Meldestelle melden. Zusätzlich sind eine Kontaktstelle zu benennen sowie Nachweise und Dokumentationen für Behörden bereitzuhalten.

Frage 4

Ab wann gilt das neue KRITIS-Dachgesetz?

Die EU-Vorgaben müssen bis spätestens Oktober 2024 in nationales Recht umgesetzt werden. Für betroffene Unternehmen greifen erste Verpflichtungen spätestens im Juli 2026, wenn Registrierung und Umsetzung der Resilienzanforderungen abgeschlossen sein müssen.

Frage 5

Was ist der Unterschied zwischen KRITIS-Dachgesetz und NIS2?

NIS2 fokussiert primär auf die Sicherheit von Netz- und Informationssystemen und adressiert vor allem Cyberrisiken. Das KRITIS-Dachgesetz legt den Schwerpunkt auf die physische Resilienz kritischer Anlagen und verfolgt einen All-Gefahren-Ansatz. Beide Regelwerke greifen ineinander: NIS2 stärkt die digitale Sicherheit, das KRITIS-Dachgesetz ergänzt sie um bauliche, organisatorische und personelle Schutzmaßnahmen.