Das KRITIS-Dachgesetz: Neuer Ordnungsrahmen für die Resilienz kritischer Anlagen

Das KRITIS-DachG ergänzt nahtlos bestehende Regelungen wie das BSI-Gesetz (BSIG) zur Cybersicherheit und die NIS-2-Umsetzung, ohne diese zu ersetzen: Während BSIG und NIS-2 primär Cyberbedrohungen abdecken, adressiert das KRITIS-DachG die physische Resilienz.

Wer ist betroffen?

Kernadressaten sind Betreiber kritischer Anlagen, die für die Erbringung kritischer Dienstleistungen in zentralen Sektoren verantwortlich sind. Die Kritikalität richtet sich nach Versorgungsschwellenwerten – in der Regel ab etwa 500.000 versorgten Einwohnern oder Personen. Bundesrechtlich festgelegt sind Sektoren wie Energie, Transport und Verkehr, Finanz- und Sozialversicherungswesen, IT/Telekommunikation, Weltraum-Bodeninfrastruktur sowie öffentliche Verwaltung. Ländersektoren wie Gesundheitswesen, Trinkwasser- und Abwasserwirtschaft, Ernährung sowie Siedlungsabfallentsorgung unterliegen flexiblerer Einstufung durch die Länderbehörden.

Welche Anlagen im Einzelnen als kritisch gelten, wird in einer bundesrechtlichen Rechtsverordnung definiert werden, welche sektor‑ und anlagenspezifische Schwellenwerte festlegen und perspektivisch die bisherige BSI‑KRITIS‑VO ersetzen wird. Gleichzeitig wird den Ländern die Möglichkeit eröffnet, zusätzliche Anlagen als kritisch zu identifizieren, sofern die fachliche Zuständigkeit in ihrer Hoheit liegt.

Was sind die Kernpflichten für betroffene Unternehmen?

Betroffene Unternehmen müssen ihre Betroffenheit prüfen, sich ggf. registrieren und verschiedene technische und organisatorische Maßnahmen umsetzen:

Unternehmen aus den Sektoren Finanzwesen sowie IT/Telekommunikation sind – abgesehen von der Registrierungspflicht – von den operativen Nachweispflichten (Meldung, Prävention, Nachweise) weitgehend ausgenommen, weil für sie DORA bzw. NIS-2/BSI-G als Spezialregime gelten. Betreiber in den Bereichen Siedlungsabfallentsorgung und Sozialversicherung müssen zwar viele operative Vorgaben nicht erfüllen, jedoch verpflichtend alle vier Jahre eine Risikoanalyse nach § 12 KRITIS-DachG durchführen – auch diese ist entsprechend zu dokumentieren und im Zweifel nachzuweisen.

Zur Konkretisierung der gesetzlichen Pflichten ermächtigt das KRITIS DachG das Bundesministerium des Innern, sektorenübergreifende Mindestanforderungen an die Resilienz kritischer Anlagen per Rechtsverordnung festzulegen. Solche Vorgaben können beispielsweise Mindeststandards für Notfallvorsorge, Krisenkommunikation oder physische Sicherung definieren und gelten grundsätzlich sektorunabhängig, sofern nicht spezialgesetzliche Regelungen vorgehen.

Parallel eröffnet das Gesetz die Möglichkeit, branchenspezifische Resilienzstandards zu entwickeln. Diese können von Betreiberverbänden oder anderen fachlich legitimierten Organisationen erarbeitet und durch das BBK als geeigneter Maßstab anerkannt werden. Für die Aufsicht über die Einhaltung der Pflichten sind die jeweils zuständigen Fachbehörden des Bundes und der Länder verantwortlich. Sie können sich dabei Informationen aus bereits bestehenden Sicherheitsregimen, insbesondere aus dem BSI Recht, übermitteln lassen, um Doppelprüfungen und Mehrbelastungen zu vermeiden.

Welche Konsequenzen drohen bei Verstößen?

Das KRITIS-DachG sieht ein gestaffeltes Bußgeldregime abhängig von der Schwere des Verstoßes (Ordnungswidrigkeit) vor. Schwerwiegende Verstöße gegen Resilienzpflichten oder Verweigerung der Aufsichtskooperation können mit Bußgeldern bis 1 Million Euro geahndet werden. Wie auch das BSIG normiert das KRITIS-DachG eine Umsetzungs- und Überwachungspflicht sowie ggf. die persönliche Haftung der Geschäftsleitung auf Basis des Gesellschaftsrechts.

Fazit und Ausblick

Das KRITIS-DachG tritt am Tag nach der Bekanntmachung im Bundesgesetzblatt (voraussichtlich noch Ende März/Anfang April 2026) in Kraft. Deshalb sollten sich Unternehmen proaktiv auf die Anforderungen vorbereiten, beginnend mit einer Betroffenheitsprüfung (Identifizierung von Anlagen, Prüfung von Schwellwerten) und ggf. Vorbereitung der Registrierung. Um Synergien im Hinblick auf bereits bestehende Compliance Anforderungen zu realisieren, sollte die weitere Umsetzung im Sinne eines integrierten Compliance- und Nachweiskonzeptes erfolgen (insbesondere im Zusammenhang mit technischen und organisatorischen Maßnahmen aufgrund von BSIG-/NIS-2).