Mit dem KRITIS-Dachgesetz und der zugrundeliegenden CER-Richtlinie wird der Schutz kritischer Infrastrukturen in Deutschland erstmals sektorenübergreifend und gefahrenübergreifend gesetzlich geregelt. Eine fachliche Einordnung des regulatorischen Rahmens, der zentralen Pflichten und der methodischen Anforderungen an die Umsetzung.
Verus Advisory · Veröffentlicht im April 2026· Hinweis: Das KRITIS-Dachgesetz ist seit dem 16. März 2026 in Kraft. Den konkreten Fristenkalender finden Sie im Beitrag KRITIS-Dachgesetz: Fristen für Betreiber.
Der gesetzliche Schutz kritischer Infrastrukturen war in Deutschland lange Zeit primär informationstechnisch geprägt. Das BSI-Gesetz und seine Novellen, zuletzt das IT-Sicherheitsgesetz 2.0 aus dem Jahr 2021, regelten die Pflichten der KRITIS-Betreiber im Bereich der IT- und Cybersicherheit. Die physische Sicherheit kritischer Anlagen war demgegenüber nur in einzelnen Branchengesetzen, etwa im Energiewirtschaftsrecht oder im Atomrecht, vergleichbar verbindlich geregelt.
Die CER-Richtlinie als europäischer Rahmen
Mit der Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) hat der europäische Gesetzgeber diese Lücke geschlossen. Die Richtlinie verlangt von den Mitgliedstaaten, Betreiber kritischer Einrichtungen zu identifizieren und sie zu einem ganzheitlichen, sektorenübergreifenden Resilienzkonzept zu verpflichten. Die deutsche Umsetzung erfolgt durch das KRITIS-Dachgesetz, das den Anwendungsbereich, die Pflichten und die Aufsichtsstruktur regelt.
Für viele Betreiber ist diese Entwicklung mit erheblichem Anpassungsbedarf verbunden, sowohl methodisch als auch organisatorisch. Dieser Beitrag ordnet den regulatorischen Rahmen ein, beschreibt die zentralen Pflichten und benennt die Stellen, an denen die praktische Umsetzung typischerweise herausfordernd wird.
Die regulatorische Architektur
Das KRITIS-Dachgesetz steht nicht für sich, sondern in einem Geflecht aus europäischen Richtlinien und nationalen Gesetzen. Drei Bezugsrahmen sind dabei zentral.
Die CER-Richtlinie (EU) 2022/2557 regelt die physische Resilienz kritischer Einrichtungen. Sie verlangt von den Mitgliedstaaten die Erstellung nationaler Resilienzstrategien, die Identifikation kritischer Einrichtungen entlang sektoraler Schwellenwerte und die Etablierung verbindlicher Resilienzpflichten für die identifizierten Betreiber.
Die NIS-2-Richtlinie (EU) 2022/2555 regelt parallel dazu die Cybersicherheit. Sie ist sektoral zum Teil deckungsgleich mit der CER-Richtlinie, behandelt aber ausschließlich digitale Bedrohungen und wird in Deutschland durch eine Novelle des BSI-Gesetzes umgesetzt.
Das KRITIS-Dachgesetz ist die deutsche Umsetzung der CER-Richtlinie. Es etabliert das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe als zuständige Aufsichtsbehörde für die physische Resilienz, in Ergänzung zur Cyber-Aufsicht durch das BSI.
Aus der Parallelität von CER und NIS-2 folgt für viele Betreiber eine doppelte Pflichtenlage: Sie sind sowohl im Anwendungsbereich des novellierten BSIG für die Cybersicherheit als auch des KRITIS-Dachgesetzes für die physische Resilienz. Methodisch sollten beide Pflichten in einer integrierten Resilienz-Methodik zusammengeführt werden, organisatorisch sind die Berichtswege und Aufsichtsstellen jedoch zu unterscheiden.
Anwendungsbereich
Der Anwendungsbereich des KRITIS-Dachgesetzes erfasst Betreiber kritischer Einrichtungen in den Sektoren, die durch die CER-Richtlinie und die ergänzende deutsche Sektorenliste definiert sind. Dazu gehören insbesondere die Sektoren Energie, Verkehr, Banken- und Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum, Lebensmittel sowie Siedlungsabfallentsorgung. Die genaue sektorale Abgrenzung und die Schwellenwerte ergeben sich aus den dazugehörigen Verordnungen.
Zwei Aspekte verdienen in der Praxis besondere Aufmerksamkeit. Erstens ist der Kreis der erfassten Betreiber im Vergleich zur bisherigen BSI-Kritisverordnung erweitert worden. Mittelständische Unternehmen, die bisher unterhalb der Schwellenwerte des IT-Sicherheitsgesetzes lagen, können durch die CER-Richtlinie nun in den Anwendungsbereich fallen. Eine systematische Eigenprüfung ist daher auch für Organisationen sinnvoll, die sich bisher nicht als KRITIS-Betreiber verstanden haben.
Zweitens erfasst die Richtlinie nicht nur Betreiber im engeren Sinn, sondern verpflichtet die Mitgliedstaaten auch zur Berücksichtigung wesentlicher Lieferanten und Dienstleister. Wer in der Lieferkette eines KRITIS-Betreibers eine kritische Funktion erfüllt, kann mittelbar mit Pflichten konfrontiert sein, sei es über vertragliche Weitergabe oder über die direkte Anwendbarkeit auf Anbieter mit besonderer Bedeutung für die Versorgungslage.
Die zentralen Pflichten
Das KRITIS-Dachgesetz fordert von erfassten Betreibern im Wesentlichen vier Pflichtenpakete, die in ihrer methodischen Substanz weitgehend mit den Vorgaben der CER-Richtlinie korrespondieren.
Die Registrierungspflicht verlangt von Betreibern die aktive Anmeldung bei der zuständigen Behörde sowie die Benennung einer zentralen Kontaktstelle. Diese Stelle ist Ansprechpartner für alle behördlichen Vorgänge, von Auskunftsersuchen bis zu Vor-Ort-Prüfungen, und sollte mit ausreichender Befugnis und Fachkompetenz ausgestattet sein.
Die Risiko- und Schutzbedarfsanalyse ist die methodische Grundlage aller weiteren Pflichten. Im Sinne des All-Gefahren-Ansatzes müssen relevante Bedrohungen identifiziert, bewertet und in ihrer Wirkung auf die kritischen Funktionen analysiert werden. Die CER-Richtlinie sieht eine regelmäßige Aktualisierung dieser Analyse vor, die im deutschen Kontext typischerweise alle vier Jahre erfolgt, bei wesentlichen Änderungen früher.
Die Resilienzpflicht verlangt geeignete technische, organisatorische und personelle Maßnahmen zur Sicherstellung der Resilienz der kritischen Funktionen. Diese Maßnahmen sind in einem Resilienzplan zu dokumentieren, der gegenüber der Behörde belegt werden kann. Der Plan ist nicht statisch, sondern unterliegt einer kontinuierlichen Fortschreibung.
Die Meldepflicht betrifft erhebliche Vorfälle, die die Erbringung der kritischen Dienstleistung beeinträchtigen oder potenziell beeinträchtigen. Die CER-Richtlinie sieht eine zweistufige Meldung vor: eine erste Meldung innerhalb kurzer Frist nach Kenntnis und eine ausführliche Folgemeldung in einem zweiten Schritt. Die genauen Modalitäten und Fristen ergeben sich aus dem deutschen Umsetzungsrecht.
Die Schutzbedarfsanalyse als methodischer Anker
Die Schutzbedarfsanalyse hat innerhalb der Pflichtenstruktur eine besondere Stellung. Sie ist der methodische Ausgangspunkt aller weiteren Maßnahmen und Grundlage des regulatorischen Nachweises.
Eine vollständige Schutzbedarfsanalyse beantwortet vier methodische Kernfragen. Welche kritischen Funktionen erbringt die Organisation? Welchen Bedrohungen sind diese Funktionen entlang des All-Gefahren-Ansatzes ausgesetzt? Welche Kaskadeneffekte und Wechselwirkungen mit angrenzenden Systemen sind zu erwarten? Welche Schutzziele leiten sich daraus ab, und welche Restrisiken sind tragbar?
In der Beratungspraxis hat sich gezeigt, dass die Qualität der Analyse weitgehend von der methodischen Stringenz und der interdisziplinären Beteiligung abhängt. Die Einbeziehung der Bereiche Technik, Informationstechnik, Werkschutz, Personalwesen, Lieferanten- und Logistikmanagement, Kommunikation und Behördenkontakte ist für eine belastbare Analyse erforderlich. Methodisch bewährt sich eine moderierte Bearbeitung über mehrere Workshops mit klar strukturiertem Methodengerüst.
Die Wahl der Bewertungsskalen, der Schwellenwerte und der Risikoakzeptanzkriterien sollte vor Beginn der Analyse mit der Geschäftsleitung abgestimmt werden, um spätere Diskussionen über die Bewertungsgrundlagen zu vermeiden.
Wiederkehrende methodische Herausforderungen
In der Praxis lassen sich methodische Herausforderungen beobachten, die in unterschiedlichen Sektoren wiederkehren.
Die Verwechslung von IT-Sicherheit und KRITIS-Resilienz ist die häufigste. Wenn der Resilienzplan organisatorisch beim CISO angesiedelt wird und das bestehende ISMS als ausreichende Grundlage gilt, werden physische Bedrohungen, personelle Sicherheit und Lieferkettenrisiken methodisch oft nicht in der erforderlichen Tiefe abgedeckt. Diese Bereiche liegen außerhalb der Kernkompetenz einer typischen IT-Prüfung und müssen entsprechend methodisch eingebunden werden.
Eine zweite Herausforderung ist das Festhalten an szenariospezifischen Plänen. Bestehende Notfallpläne werden in der Praxis gelegentlich um zusätzliche Szenarien wie Sabotage oder hybride Bedrohungen ergänzt und der All-Gefahren-Ansatz damit als erfüllt betrachtet. Methodisch verlangt der Ansatz jedoch eine integrierte Schutzlogik mit Schutzzielen je kritischer Funktion, nicht eine Erweiterung der Liste szenariospezifischer Pläne.
Eine dritte Schwierigkeit liegt in der Modellierung von Kaskadeneffekten. Ein Stromausfall wirkt nicht nur in der Energieversorgung, sondern in allen Sektoren mit Stromabhängigkeit. Diese Wechselwirkungen werden in der Praxis oft unzureichend abgebildet, weil sie sektorenübergreifende Datenlagen voraussetzen, die innerhalb einer einzelnen Organisation nicht vollständig vorliegen. Eine sinnvolle Annäherung ergibt sich aus dem Austausch mit Aufsichtsbehörden, Branchenverbänden und gegebenenfalls Sektorpartnern.
Eine vierte Frage betrifft die personelle Sicherheit. Innentäter-Risiken, Zugangsmanagement und Integritätsprüfung im engeren Sinn werden in der Praxis häufig unterschätzt, obwohl sie explizit Bestandteil des Schutzkonzepts sein sollten.
Des Weiteren sind Resilienzpläne nicht nur zu erstellen, sondern auch zu prüfen. Die Dokumentation der Übungen, ihre Ergebnisauswertung und die Ableitung von Anpassungsmaßnahmen sind Bestandteil des regulatorischen Nachweises.
Strukturierte Annäherung an die Umsetzung
Für Betreiber, die sich der Umsetzung systematisch nähern wollen, hat sich ein vierstufiges Vorgehen bewährt.
In der ersten Stufe erfolgt die Klärung des Anwendungsbereichs. Welche Sektoren, welche Schwellenwerte und welche konkreten Tätigkeiten der Organisation fallen unter das KRITIS-Dachgesetz und welche unter NIS-2? Diese Klärung sollte schriftlich dokumentiert werden, da sie regelmäßig Grundlage für spätere Diskussionen mit Behörden ist.
In der zweiten Stufe erfolgt eine Lückenanalyse. Welche Bestandteile eines Resilienzplans sind in der Organisation bereits vorhanden, etwa aus bestehenden ISMS-, BCM- oder Brandschutzdokumentationen, und welche müssen neu erstellt werden? Diese Analyse ist die methodische Voraussetzung für eine sinnvolle Priorisierung.
In der dritten Stufe erfolgt die Klärung der Verantwortlichkeiten. Welche Stelle ist die zentrale Kontaktstelle gegenüber der Behörde, wer ist methodisch verantwortlich für die Schutzbedarfsanalyse, wer für die Maßnahmenumsetzung, wer für die Dokumentation? Diese Klärung sollte zu Beginn des Projekts erfolgen, da Unklarheiten in der Verantwortungszuordnung erfahrungsgemäß zu erheblichen Verzögerungen führen.
In der vierten Stufe erfolgt die Schutzbedarfsanalyse als methodischer Kernschritt. Aus ihr ergeben sich die Maßnahmen, der Resilienzplan und die Übungsplanung. Eine sorgfältig durchgeführte Schutzbedarfsanalyse ist die belastbare Grundlage für alle weiteren Schritte und reduziert den Aufwand der nachgelagerten Bearbeitung erheblich.
Quellen und weiterführende Literatur
Gesetz zur Umsetzung der CER-Richtlinie (KRITIS-Dachgesetz).
BSI-Kritisverordnung (BSI-KritisV).
ENISA – European Union Agency for Cybersecurity: Threat Landscape Reports, fortlaufend.