KRITIS-Dachgesetz umsetzen

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten. Es verpflichtet Betreiber kritischer Anlagen zu Registrierung, Risikoanalyse, Resilienzmaßnahmen und Nachweis. Die Umsetzung ist Aufgabe der Geschäftsleitung, die dafür persönlich haftet (§ 20). Ich begleite Sie von der Prüfung, ob Sie betroffen sind, bis zum belastbaren Resilienzplan.

Sind Sie betroffen?

Das KRITIS-Dachgesetz nennt hierzu zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung.

Hinzu kommt die Lieferketten: Wer für einen Betreiber eine Funktion erfüllt, die für die Erbringung der kritischen Dienstleistung erheblich ist, kann über vertragliche Weitergabe mit Anforderungen konfrontiert werden, auch ohne selbst Adressat des Gesetzes zu sein. Mehr dazu in meinem Beitrag zur Lieferkettensicherheit nach dem KRITIS-Dachgesetz.

Bei der Prüfung, ob und mit welchen Anlagen Sie möglicherweise erfasst sind, stehe ich Ihnen zur Seite.

Risiko- und Schutzbedarfsanalyse

Die Schutzbedarfsanalyse ist die methodische Grundlage aller weiteren Pflichten und zugleich die Grundlage des Nachweises. Nach dem All-Gefahren-Ansatz werden die relevanten Bedrohungen identifiziert, bewertet und in ihrer Wirkung auf die kritischen Funktionen analysiert – Naturereignisse, technisches Versagen, menschliches Fehlverhalten und vorsätzliche Angriffe gleichermaßen.

Das KRITIS-Dachgesetz verlangt die Risikoanalyse und Risikobewertung im Bedarfsfall, mindestens jedoch alle vier Jahre. Ausdrücklich einzubeziehen sind die Abhängigkeiten von kritischen Dienstleistungen weiterer Betreiber. Ich führe die Analyse mit Ihren Fachbereichen durch, bewerte diese Abhängigkeiten und dokumentiere das Ergebnis so, dass es als Grundlage für den Resilienzplan dient.

Resilienzplan und Nachweis

Die Resilienzpflichten ergeben sich aus § 13 des KRITIS-Dachgesetzes. Benannt werden vier Zielrichtungen: Vorfälle verhindern, einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen gewährleisten, auf Vorfälle reagieren und ihre Auswirkungen begrenzen, und die kritische Dienstleistung nach einem Vorfall zügig wiederherstellen.

Verlangt sind verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen nach dem Stand der Technik. Das Gesetz schreibt dabei ausdrücklich eine Zweck-Mittel-Relation vor: Der Aufwand zur Verhinderung eines Ausfalls ist gegen das Risiko abzuwägen, und die wirtschaftliche Leistungsfähigkeit des Betreibers ist zu berücksichtigen.

Im Rahmen der Zusammenarbeit bewerte ich beispoielsweise existierende Notfallpläne, Zutrittsregelungen und Bradnschutzkonzepte sowie deren Zusammenwirken. Aus dem Ergebnis entsteht der Resilienzplan. Dieser soll der Behörde gegenüber als Beleg dienen und für das Personal in der Praxis anwendbar sein.

Fristen, Meldungen und Nachweise

Die Registrierung ist innerhalb von drei Monaten fällig, nachdem eine Anlage als kritische Anlage gilt (§ 8 Absatz 1). Sie erfolgt beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, über eine gemeinsam mit dem BSI eingerichtete Registrierungsmöglichkeit. Danach greifen die weiteren Pflichten gestaffelt: § 12 erstmals neun Monate, die §§ 13, 18 und 20 erstmals zehn Monate nach der Registrierung (§ 8 Absatz 7).

Vorfälle sind unverzüglich zu melden, spätestens 24 Stunden nach Kenntnis; spätestens einen Monat nach Kenntnis folgt ein ausführlicher Bericht (§ 18). Änderungen der Registrierungsangaben sind unverzüglich zu übermitteln, spätestens binnen zwei Wochen (§ 8 Absatz 6).

Die Umsetzungs- und Überwachungspflicht liegt nach § 20 bei der Geschäftsleitung. Sie muss die Maßnahmen nach § 13 Absatz 1 umsetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherstellen; bei schuldhafter Pflichtverletzung haftet sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts.

Den vollständigen Fristenkalender und den Stand der Rechtsverordnung, die den Startpunkt bestimmt, finden Sie im Beitrag KRITIS-Dachgesetz: Fristen und Pflichten für Betreiber.

Was ich übernehme

Prüfung, ob und mit welchen Anlagen Sie erfasst sind

Risikoanalyse und Risikobewertung nach § 12 KRITIS-Dachgesetz, einschließlich der Abhängigkeiten und Kaskadeneffekte.

Resilienzplan nach § 13 mit den vier Zielrichtungen des Gesetzes.

Übungsformate von der Tabletop-Übung mit der Führungsebene bis zur Realübung mit Feuerwehr und Betriebspersonal und dokumentierter Auswertung.

Die Bausteine sind einzeln oder zusammen beauftragbar. Eine Übersicht der Leistungspakete finden Sie unter KRITIS & Resilienz.

Ablauf

Im kostenlosen Erstgespräch klären wir Ihre Ausgangslage und einen möglichen Rahmenterminplan. Das Erst- und Angebotsgespräch führe ich persönlich bei Ihnen vor Ort oder per Videokonferenz.