Physischer Schutz kritischer Anlagen Grünes Licht für KRITIS-Dachgesetz

Anbieter zum Thema

Bitkom e.V.

cyberintelligence.institute GmbH

Der Brandanschlag auf die Berliner Stromversorgung macht es deutlich: KRITIS-Unternehmen rücken in den Fokus von Kriminellen. Daher gilt es, nicht nur die IT-, sondern auch die physische Sicherheit zu stärken. Das KRITIS-Dachgesetz macht einen entscheidenden Schritt.

Update: Bei der 56. Sitzung des Bundestags musste die Regierung viel Kritik für den Gesetzentwurf einstecken. Übereinstimmung gab es bei mehreren Parteien in dem Punkt, dass das Gesetz nicht konkret ausgearbeitet sei und die betroffenen KRITIS-Unternehmen bei der Umsetzung und der Finanzierung im Unklaren ließe – dafür bringe es aber mehr Bürokratie. „Neben den gesetzlichen Vorgaben ist die Politik auch gefordert, die Unternehmen bei der Umsetzung konkret zu unterstützen, etwa mit Förderprogrammen“, erklärt Bitkom-Präsident Dr. Ralf Wintergerst.

Trotz aller Kritik wurde das KRITIS-Dachgesetz angenommen.

Das KRITIS-Dachgesetz soll die EU-CER-Richtlinie national umsetzen und bisherige Regelungen zur physischen Resilienz zusammenführen. Am 29. Januar 2026 steht der Gesetzentwurf zur abschließenden Beratung auf der Tagesordnung des Bundestagsplenums. Das Gesetz wurde im September 2025 vom Bundeskabinett beschlossen. Am 28. Januar 2026 verabschiedete der Innenausschuss des Deutschen Bundestages die Vorlage in modifizierter Fassung. So sollen die Länder unter anderem die Möglichkeit haben, „weitere kritische Anlagen für kritische Dienstleistungen, die alleine in ihrer Zuständigkeit liegen, zu identifizieren“, ist auf der Website des Bundestags zu lesen. Zudem wird in der Gesetzesvorlage gefordert, „eine einheitliche Meldestelle für die Betreiber kritischer Anlagen zu schaffen sowie das nationale IT-Sicherheitsrecht zu systematisieren und einheitliche IT-Sicherheitsstandards für Bund und Länder festzulegen“.

Wen betrifft das KRITIS-Dachgesetz?

Zu den Sektoren, die das Gesetz betrifft, zählen unter anderem Energie, Wasser, Gesundheit sowie der Staat und die öffentliche Verwaltung. Im aktuellen Entwurf stehen KRITIS-Betreiber in der Pflicht, die 500.000 Einwohner versorgen. Der Bundesrat fordert hier eine Anpassung auf einen Schwellenwert von 150.000 zu versorgenden Personen.

Was ist das Ziel des KRITIS-Dachgesetzes?

Mit dem „Gesetz zur Umsetzung der EU-CER-Richtlinie (EU 2022/2557) und zur Stärkung der Resilienz kritischer Anlagen“ – kurz: KRITIS-Dachgesetz – will die Bundesregierung erstmals einheitliche und sektorenübergreifende Mindestvorgaben für den physischen Schutz kritischer Anlagen festlegen. Unterstützungs- und Aufsichtsmaßnahmen sollen die Umsetzung und somit die Versorgungssicherheit der Bevölkerung garantieren.

Zu betonen ist hier die Abgrenzung zur NIS-2-Richtlinie, die bereits in Kraft ist. Während NIS-2 für mehr Cybersicherheit sorgen soll, soll das KRITIS-Dachgesetz die physische Resilienz stärken und vor Naturgefahren oder menschlich oder technisch verursachten Störungen schützen.

Dennoch dürfen beide Gesetze nicht isoliert gesehen werden, denn viele Einrichtungen fallen in beide Regime. Für diese empfiehlt sich eine ganzheitliche Planung, um Kosten, doppelte Arbeit und Sanktionen zu reduzieren sowie die Resilienz umfassend zu erhöhen.

Was müssen betroffene KRITIS-Betreiber tun?

Betroffene Anlagenbetreiber müssen sich zunächst über das gemeinsame Melde- und Informationsportal (MIP) des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Mindestens alle vier Jahre muss eine Risikoanalyse und Bewertung durchgeführt werden.

Weiterhin fordert das Gesetz einen angemessenen physischen Schutz der Anlagen, um Vorfälle zu verhindern. Außerdem müssen Maßnahmen ergriffen werden, die eine zügige Wiederherstellung gewährleisten. Das Risikomanagement sollte einen Plan enthalten, wie Vorfälle abgewehrt und darauf reagiert wird. Alle Maßnahmen müssen in einem Resilienzplan dokumentiert werden.

Vorfälle müssen unverzüglich, d. h. innerhalb von 24 Stunden, an das BBK gemeldet werden. Innerhalb eines Monats muss außerdem ein ausführlicher Bericht an das Amt übermittelt werden.

„Entscheidend wird sein, wie praxistauglich die Umsetzung gelingt und wie kohärent sich die neuen Anforderungen in den bestehenden Regulierungsrahmen einfügen“, kommentiert Ulrich Plate, Leiter der Kompetenzgruppe KRITIS beim Eco-Verband, den Stand der Dinge. Er fordert: „Insbesondere müssen Doppelregulierungen und parallele Pflichten im Zusammenspiel mit bestehenden IT- und Cybersicherheitsanforderungen, etwa im Kontext von NIS2 vermieden werden.“

Konsequenzen bei Nichteinhaltung

Verstöße beispielsweise gegen fehlende Risikobewertungen, unterlassene Meldungen von Sicherheitsvorfällen, verweigerten Zutritt oder die Nichtbeachtung von Anordnungen der Aufsichtsbehörden (BBK) können unter anderem zu Bußgeldern von bis zu einer Million Euro nach sich ziehen. In schweren Fällen ist der Entzug der Betriebsgenehmigung möglich. Wie auch bei der IT-Security sind finanzielle Schäden nur ein Teil der Konsequenzen. Jeder Vorfall zieht auch Imageschäden nach sich.

Allerdings soll vor der Verhängung von Bußgeldern eine Frist zur Nachbesserung gesetzt werden.

(ID:50695874)