Lesedauer: 15 Minuten
Mit dem im Bundeskabinett beschlossenen Entwurf des KRITIS-Dachgesetzes (KRITIS-DachG) vom 10. September 2025 (BMI, 2025) setzt die Bundesregierung den europäischen Auftrag der CER-Richtlinie (EU 2022/2557) um und zieht erstmals eine einheitliche Linie über alle Sektoren hinweg. Ziel ist es, die Resilienz kritischer Einrichtungen zu stärken – also ihre Fähigkeit, Störungen, Angriffe oder Naturkatastrophen zu überstehen, ohne ihre wesentlichen Dienste dauerhaft einzuschränken.
Energieversorgung, Wasser, Ernährung, Gesundheit, Transport, Telekommunikation oder Verwaltung – nahezu alle Lebensbereiche hängen heute von hochkomplexen und vernetzten Systemen ab. Die zunehmende Zahl an Naturereignissen, Sabotageakten und hybriden Bedrohungen – zuletzt durch gezielte Angriffe auf Energieanlagen und IT-Systeme – hat die Notwendigkeit eines kohärenten rechtlichen Rahmens in Deutschland deutlich gemacht.
Während die NIS-2-Richtlinie (EU 2022/2555) die Cybersicherheit adressiert, konzentriert sich das KRITIS-Dachgesetz auf die physische und organisatorische Widerstandsfähigkeit. Es ergänzt damit das bestehende Regelwerk der IT-Sicherheit um eine Dimension, die bislang in Deutschland nur sektoral und uneinheitlich geregelt war.
Nach jahrelangen Diskussionen zwischen Bund, Ländern und Branchenverbänden markiert der Gesetzesentwurf nun den Übergang von der konzeptionellen Ebene zu einem verbindlichen Pflichtenrahmen für Betreiber kritischer Anlagen. Die Bundesregierung betont, dass ein „modernes Resilienzmanagement“ künftig ebenso selbstverständlich sein müsse wie Brandschutz oder Datenschutz – ein Paradigmenwechsel, der insbesondere Energie-, Verkehrs-, Wasser- und Kommunikationsunternehmen betrifft.
Der vorliegende Artikel beleuchtet die zentralen Inhalte des Gesetzesentwurfs und skizziert, welche konkreten Anforderungen Betreiber jetzt erwarten.
Gesetzliche Grundlage und Zielsetzung
Das KRITIS-Dachgesetz (KRITIS-DachG) bildet erstmals eine übergreifende gesetzliche Grundlage für die Identifizierung und den Schutz kritischer Infrastrukturen in Deutschland. Während bisherige Regelungen vor allem den Bereich der IT-Sicherheit abdeckten, schafft das Dachgesetz einen Rahmen für physische, organisatorische und prozessuale Resilienzmaßnahmen in sämtlichen relevanten Sektoren.
Zentrale Zielsetzungen des Gesetzes sind:
1. Schutz kritischer Infrastrukturen vor Störungen und Ausfällen
Der Entwurf verfolgt den Grundsatz, dass wesentliche Infrastrukturen nicht nur gegen Cyberangriffe, sondern auch gegen Naturkatastrophen, Unfälle, Sabotage oder Terrorakte gesichert werden müssen. Die Ziele sind dabei klar: Vorfälle verhindern, Folgen begrenzen und die Wiederherstellung der Arbeitsfähigkeit sicherstellen.
2. Verbindliche Resilienzpflichten für Betreiber
Betreiber kritischer Anlagen werden verpflichtet, Resilienzpläne zu erstellen, umzusetzen und regelmäßig zu aktualisieren. Die Maßnahmen umfassen technische, organisatorische und personelle Aspekte – von baulichen Schutzmaßnahmen über Zutrittskontrollen, Überwachungssysteme und Notfallpläne bis hin zu Schulungen des Personals
3. Integration von Risikoanalysen
Das Gesetz definiert eine enge Verknüpfung zwischen staatlichen und betriebsinternen Risikoanalysen. Bundes- und Landesministerien erstellen nationale Risikoanalysen, die alle vier Jahre aktualisiert werden müssen. Betreiber kritischer Anlagen wiederum führen eigene Risikoanalysen und Bewertungen durch, die die staatlichen Vorgaben berücksichtigen und auf ihre spezifischen Gegebenheiten zugeschnitten sind.
4. Branchenübergreifende Mindeststandards
Mit dem Dachgesetz werden einheitliche sektorübergreifende Mindeststandards für Resilienzmaßnahmen eingeführt. Diese Standards können durch branchenspezifische Resilienzstandards ergänzt werden, die in Zusammenarbeit mit Wirtschaftsverbänden und Fachgremien entwickelt werden. Dadurch bleibt der Rahmen flexibel, berücksichtigt jedoch die Vielfalt der Anforderungen einzelner Sektoren.
5. Verbindung zu NIS2 und EU-Rechtsvorgaben
Das KRITIS-DachG wird eng mit der NIS2-Richtlinie und europäischen Vorgaben abgestimmt. Ziel ist eine harmonisierte Umsetzung, bei der die Anforderungen an IT-Sicherheit und physische Resilienzmaßnahmen aufeinander abgestimmt sind. Dies erleichtert die Einhaltung der EU-Vorgaben und vermeidet widersprüchliche Pflichten.
6. Verbindliche Registrierung und Überwachung
Betreiber müssen ihre Anlagen beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren. Die Behörden erhalten damit die Grundlage, risikobasierte Überprüfungen vorzunehmen, Audits zu fordern und die Einhaltung der Resilienzpflichten zu kontrollieren.
Der Gesetzesentwurf unterstreicht die Verantwortung der Geschäftsleitungen, die Resilienzmaßnahmen aktiv zu unterstützen und zu überwachen. Verstöße gegen die Pflichten können gesellschaftsrechtliche und gesetzliche Konsequenzen nach sich ziehen.
Mit diesen Regelungen setzt das KRITIS-Dachgesetz einen klaren Rahmen: Es bietet sowohl den Betreibern als auch den Behörden eine strukturierte Grundlage, um die physische Sicherheit kritischer Infrastrukturen systematisch und nachvollziehbar zu gewährleisten.
Betroffene Sektoren (§4) und Gefährdungslage
Das KRITIS-Dachgesetz richtet sich an Betreiber von Infrastrukturen, deren Bedeutung für die Versorgungssicherheit und das Funktionieren der Gesellschaft essenziell ist. Dabei werden nicht nur klassische Sektoren wie Energie, Transport und Informationstechnik berücksichtigt, sondern auch Gesundheit, Finanzwesen, Wasser, Ernährung, Abfallentsorgung und Weltraumdienste. Die Auswahl der Sektoren basiert auf wirtschaftlicher Bedeutung, Vernetzung und potenzieller Störanfälligkeit.
Welche Anlagen in Deutschland unter die Regelungen des Gesetzes fallen, bemisst sich nach quantitativen und qualitativen Kriterien (§5). Wenn eine Einrichtung zum Beispiel essenziell für die Gesamtversorgung in Deutschland ist und mehr als 500.000 Personen versorgt, zählt sie zur kritischen Infrastruktur im Sinne des Gesetzentwurfs. Zudem wird das Ausmaß der wechselseitigen Abhängigkeiten der kritischen Infrastrukturen untereinander berücksichtigt: So hängen vom Energiesektor auch alle anderen Sektoren ab. Genauso sind Wasser und Transportwege für die jeweils anderen Sektoren unverzichtbar.
Die Gefährdungslage für kritische Infrastrukturen ist komplex und vielschichtig. Sie umfasst:
- Natürliche Risiken – z. B. Hochwasser, Stürme, Dürreperioden oder Erdbeben. Der Klimawandel verstärkt die Häufigkeit und Intensität solcher Ereignisse.
- Technologische Risiken – dazu gehören Systemausfälle, Unfälle, Brände, Sabotageakte oder Fehlfunktionen in automatisierten Prozessen.
- Externe Bedrohungen – terroristische Anschläge, Cyberangriffe, Kriege oder gezielte Sabotageaktionen. Die aktuelle geopolitische Lage, insbesondere der Krieg in der Ukraine, erhöht die Risikopotenziale auch für deutsche Infrastrukturen.
Diese Risiken wirken oft nicht isoliert, sondern können kaskadierende Effekte erzeugen. Ein Ausfall im Energiesektor kann z. B. die Telekommunikation, den Transport oder die Versorgungsketten erheblich stören. Die Verzahnung der Sektoren macht sektorübergreifende Risikoanalysen unerlässlich.
Die Registrierungspflicht (§8)
Alle Betreiber einer kritischen Anlage werden verpflichtet, spätestens nach drei Monaten nachdem eine Anlage als kritische Anlage gilt, frühestens jedoch bis einschließlich zum 17. Juli 2026, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe diese über die Registriermöglichkeit nach § 33 BSIG zu registrieren. Es wird gefordert im Rahmen dieser Registrierung unter anderem Namen Ansprechpartner, Details zur Anlage, den Bereich und eine Kontaktstelle zu übermitteln. Den Betreibern wird dann zwei Wochen nach Registrierung die federführende Aufsichtsbehörde mitgeteilt.
Nach der Registrierung beginnen für die Betreiber nach dem Dachgesetz die folgenden, unten näher aufgeführten Pflichten und Fristen:
- Risikoanalyse (innerhalb 9 Monate)
- Resilienzmaßnahmen (innerhalb 10 Monate)
- Meldewesen (innerhalb 10 Monate)
- Geschäftsleitung (innerhalb 10 Monate)
Nationale Risikoanalysen und Risikobewertungen (§11)
Die Bundesministerien sowie die zuständigen Landesministerien sind verpflichtet, nationale Risikoanalysen und Risikobewertungen durchzuführen, mindestens alle vier Jahre und erstmalig bis einschließlich 17. Januar 2026. Diese dienen als Grundlage für die Resilienzmaßnahmen der Betreiber und berücksichtigen:
- Natur- und menschengemachte Risiken, die die Versorgungssicherheit bedrohen (z. B. extreme Wetterereignisse, Pandemien, industrielle Unfälle).
- Sektorübergreifende und grenzüberschreitende Risiken, die über die Grenzen Deutschlands hinaus wirken.
- Hybride Bedrohungen, etwa terroristische Aktivitäten, Spionage, feindliche Interventionen und sonstige sicherheitsrelevante Aktivitäten anderer Staaten.
Das BMI legt methodische Vorgaben fest, um die Analysen standardisiert und vergleichbar zu gestalten.
Analysen und Risikobewertungen der Betreiber (§12)
Von den Betreibern wird im nächsten Schritt gefordert, auf Basis der nationalen Risikoanalysen und Risikobewertungen und anderer Quellen mindestens alle vier Jahre eigene Risikoanalysen und -bewertungen durchzuführen. Diese Analysen müssen die oben genannten Risiken berücksichtigen, d.h. sie basieren auf den nationale Risikoanalysen und Risikobewertungen, und den Risiken, die die Handlungsfähigkeit der Wirtschaft beeinträchtigen und die sich aus den folgenden Punkten ergeben:
- Dem Ausmaß der Abhängigkeit des Betreibers kritischer Anlagen von den kritischen Dienstleistungen, die von anderen Betreibern kritischer Anlagen in anderen Sektoren auch in benachbarten Mitgliedstaaten und Drittstaaten erbracht werden.
- Dem Ausmaß der Abhängigkeiten anderer Sektoren von der kritischen Dienstleistung, die von einem Betreiber kritischer Anlagen auch in benachbarten Mitgliedstaaten und Drittstaaten erbracht wird.
Die Besonderheiten maritimer Infrastrukturen werden bei den Risikoanalysen und
Risikobewertungen berücksichtigt. Das Bundesministerium des Innern und für Heimat wird ermächtigt, inhaltliche und methodische Vorgaben einschließlich Vorlagen und Muster für die diese Risikoanalysen und Risikobewertungen der Betreiber zu bestimmen.
Resilienzmaßnahmen und -pläne der Betreiber (§13)
Wie erwartet wird das KRITIS-Dachgesetz direkt keine detaillierten Maßnahmen vorschreiben, sondern lediglich den gesetzlichen Rahmen dazu abbilden.
Festgelegt wurde das Ziel, Störungen und Ausfälle zu verhindern, deren Folgen zu begrenzen und die Arbeitsfähigkeit nach einem Vorfall wiederherzustellen. Als Konsequenz wird deshalb gefordert, dass die Betreiber kritischer Anlagen auf die spezifischen Risiken für ihre Anlagen, die in den staatlichen und den eigenen Risikoanalysen festgestellt wurden, mit passgenauen Maßnahmen reagieren. Diese Maßnahmen können wegen der Bedingungen vor Ort und den unterschiedlichen Anforderungen der einzelnen Sektoren sehr verschieden sein. Das Gesetz soll ermöglichen, dass die Betreiber zusammen mit Branchenverbänden gemeinsame Standards erarbeiten und somit konkretisieren können, was jeweils für ihren Sektor und für ihre Branche als geeignete und verhältnismäßige Maßnahme gelten soll. Damit schafft das Gesetz Mindeststandards und schließt Lücken. Bereits bestehende Regelungen in den Sektoren sollen dabei bestehen bleiben.
Konkret gefordert wird in dem Gesetzesentwurf, dass Betreiber kritischer Anlagen geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Gewährleistung ihrer Resilienz zu treffen, die erforderlich sind, um:
- das Auftreten von Vorfällen zu verhindern
- einen angemessenen physischen Schutz ihrer Liegenschaften und kritischen Anlagen zu gewährleisten
- auf Vorfälle zu reagieren, sie abzuwehren und die negativen Auswirkungen solcher Vorfälle zu begrenzen
- nach Vorfällen die Wiederherstellung der kritischen Dienstleistung zu gewährleisten
- ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeiter zu gewährleisten, einschließlich des Personals externer Dienstleister
- das Personal mit den genannten Maßnahmen durch Informationsmaterialien, Schulungen und Übungen vertraut zu machen.
Die Maßnahmen sind dann verhältnismäßig, wenn der Aufwand zur Verhinderung oder Begrenzung eines Vorfalls zum Risiko eines Vorfalls angemessen erscheint und der Stand der Technik soll eingehalten werden.
Konkrete Maßnahmen und Resilienzpflichten (§14)
Das Dachgesetz legt nicht alle Maßnahmen detailliert fest, sondern definiert Mindestanforderungen und Ziele, die von den Betreibern umgesetzt werden müssen. Die Maßnahmen sind dann verhältnismäßig, wenn der Aufwand zur Verhinderung oder Begrenzung eines Vorfalls zum Risiko eines Vorfalls angemessen erscheint und der Stand der Technik soll eingehalten werden.
Die Maßnahmen lassen sich in mehrere Kategorien gliedern:
1. Verhinderung von Vorfällen
- Notfallvorsorge und Präventionsmaßnahmen
- Schutz kritischer Anlagen durch bauliche und technische Sicherheitsmaßnahmen
- Überwachung der Umgebung, Einsatz von Detektionssystemen (z. B. Videosysteme, Drohnen-Detektion, Perimeter-Sicherheit)
- Zutrittskontrollen und organisatorische Sicherheitsregeln
2. Reaktion auf Vorfälle
- Entwicklung von Risikomanagement- und Krisenprotokollen
- Vorgegebene Abläufe bei Alarmfällen
- Aufrechterhaltung des Betriebs durch Notstromversorgung und alternative Lieferketten
- Minimierung der Auswirkungen von Ausfällen auf andere Sektoren
3. Sicherheitsmanagement der Mitarbeiter
- Qualifizierte Schulungen und Übungen
- Bereitstellung von Informationsmaterial und Sicherheitsrichtlinien
- Einbindung des Personals externer Dienstleister in die Resilienzmaßnahmen
4. Resilienzpläne
- Erstellung eines Resilienzplans, der die Maßnahmen dokumentiert und regelmäßig aktualisiert
- Bezug auf die Ergebnisse der Risikoanalysen und -bewertungen
- Vorlagen und Muster werden vom Bundesamt für Bevölkerungsschutz und Katastrophenhilfe bereitgestellt (frühestens bis 17. Januar 2026)
Der Betreiber kritischer Anlagen muss die Maßnahmen in einem Resilienzplan darstellen und diesen anwenden. Aus ihm müssen die den Maßnahmen zugrunde liegenden Erwägungen hervorgehen und der Plan muss auf die Risikoanalyse und Risikobewertung des Betreibers Bezug nehmen. Der Resilienzplan ist bei Bedarf sowie nach Durchführung einer Risikoanalyse und Risikobewertung des Betreibers zu aktualisieren. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe stellt für die Erstellung von Resilienzplänen bis spätestens 17. Januar 2026 Vorlagen und Muster auf seiner Internetseite bereit.
Nachweise, Überprüfungen und Audits (§16 und 17)
Die Überprüfung der Umsetzung erfolgt risikobasiert. Das bedeutet, dass die zuständigen Behörden anhand von Risikoexposition, Größe der Anlage und möglichen Auswirkungen von Vorfällen auswählen, welche Betreiber auditiert oder kontrolliert werden.
Regelmäßige Nachweisprüfungen durch die Betreiber sind nicht vorgeschrieben. Die zuständige Behörde kann jedoch:
- Dokumente und Resilienzpläne anfordern
- Bei Bedarf Audits durchführen
- Gegebenenfalls einen qualifizierten Dritten zur Überprüfung einsetzen
- Energieversorger unterliegen speziellen Regelungen des Energiewirtschaftsgesetzes, nicht den allgemeinen Nachweispflichten des KRITIS-Dachgesetzes.
Audits dienen dazu, die Einhaltung der Resilienzmaßnahmen nach $13 zu prüfen. Die Betreiber müssen:
- Ergebnisse inklusive aufgedeckter Mängel übermitteln
- Dokumentationen bereitstellen
- Behörden Zugang zu Räumlichkeiten, Systemen und Unterlagen gewähren
- Unterstützung während der Überprüfungen leisten
Bei Mängeln kann die Behörde einen Mängelbeseitigungsplan anordnen und den Nachweis der Umsetzung verlangen.
Meldewesen für Vorfälle (§18)
Betreiber kritischer Anlagen sind verpflichtet, Vorfälle, die die Erbringung kritischer Dienstleistungen erheblich stören oder erheblich stören könnten, spätestens 24 Stunden nach Kenntnis an die Meldestelle nach § 32 Abs. 1 BSIG zu melden. Spätestens einen Monat nach Kenntnis des Vorfalls ist ein ausführlicher Bericht zu übermitteln.
Die Meldungen müssen die verfügbaren Informationen enthalten, die erforderlich sind, damit Art, Ursache und mögliche, auch grenzüberschreitende, Auswirkungen und Folgen des Vorfalls nachvollzogen und ermittelt werden können. Insbesondere sind folgende Angaben zu machen: Die Anzahl und Anteil der von der Störung Betroffenen, die bisherige und voraussichtliche Dauer der Störung sowie das betroffene geografische Gebiet der Störung, unter Berücksichtigung des Umstands und ob das Gebiet geografisch isoliert ist.
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe übermittelt dem kann Betreibern sachdienliche Folgeinformationen.
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe legt Einzelheiten vom Meldeverfahren und den Inhalten im Einvernehmen mit dem BSI fest, und veröffentlicht dies auf der Webseite des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe.
Pflichten der Geschäftsleitung (§20)
Die Geschäftsleitungen von KRITIS-Betreibern tragen eine zentrale Verantwortung: Sie müssen die Umsetzung der Resilienzmaßnahmen und interne Organisationsmaßnahmen zur Umsetzung der Resilienzpflichten sicherstellen. Geschäftsleitungen, die diese Pflicht verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts.
Fazit zum KRITIS-Dachgesetz
Das KRITIS-Dachgesetz markiert einen entscheidenden Schritt für den Schutz und die Resilienz kritischer Infrastrukturen in Deutschland. Es schafft erstmals einen einheitlichen, sektorübergreifenden gesetzlichen Rahmen, der sowohl die physischen als auch die organisatorischen Widerstandsfähigkeiten von Anlagen und Gebäuden adressiert. Betreiber kritischer Infrastrukturen werden verpflichtet, umfassende Risikoanalysen durchzuführen, branchenspezifische und technische Mindeststandards einzuhalten und Resilienzpläne zu erstellen sowie regelmäßig zu aktualisieren. Die Verantwortung der Geschäftsleitung wird klar hervorgehoben, und Verstöße können rechtliche Konsequenzen nach sich ziehen.
Das Gesetz reagiert auf die gestiegene Bedrohungslage durch Naturereignisse, Sabotage und hybride Angriffe und setzt die europäischen Vorgaben der CER- und NIS2-Richtlinien konsequent um. Die Einführung von Meldepflichten, Audits und einer zentralen Registrierung sorgt für Transparenz und Kontrolle. Gleichzeitig bleibt der Rahmen flexibel genug, um branchenspezifische Besonderheiten zu berücksichtigen und bestehende Regelungen zu integrieren.
Insgesamt bietet das KRITIS-Dachgesetz eine strukturierte und nachvollziehbare Grundlage, um die Versorgungssicherheit und Funktionsfähigkeit der Gesellschaft auch in Krisenzeiten zu gewährleisten. Es fordert von allen Beteiligten ein modernes Resilienzmanagement und setzt damit einen neuen Standard für die Sicherheitsarchitektur in Deutschland.
Wichtiger Hinweis: Bitte beachten Sie, dass es sich hierbei um vorläufige Informationen im laufenden Gesetzgebungsverfahren handelt.
Dieser Artikel erhebt keinen Anspruch auf Vollständigkeit oder Korrektheit, stellt keine Rechtsberatung dar und kann und soll keine qualifizierte Rechtsberatung für den Einzelfall ersetzen. Er unterliegt einer sorgfältigen Erstellung und Überprüfung. Gleichwohl können Fehler nicht vollständig ausgeschlossen werden. Der Autor übernimmt deshalb keine Garantie für die Vollständigkeit und Richtigkeit des Artikels.
