Regulierung | Kritische Infrastrukturen
KRITIS-Dachgesetz:
Physische & operative
Resilienz für KRITIS.
Das KRITIS-Dachgesetz setzt die CER-Richtlinie (EU 2022/2557) in deutsches Recht um und verpflichtet Betreiber in 11 Sektoren zu physischer und operativer Resilienz. Der All-Hazards-Ansatz schließt Sabotage, Terrorismus und Naturkatastrophen ein.
Zuletzt aktualisiert: März 2026 · Von zertifizierten Experten geprüft
- Reguliert nach KRITIS-DachG
-
- Versorgungsschwelle (Personen)
-
- Bundestag-Beschluss
- Jan. 2026
- Ansatz: Cyber + Physisch
- All-Hazards
Grundlagen
Was ist das KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz setzt die EU CER-Richtlinie (Critical Entities Resilience, EU 2022/2557) in deutsches Recht um. Es schafft erstmals einen einheitlichen gesetzlichen Rahmen für die physische und operative Resilienz von Betreibern kritischer Infrastrukturen in Deutschland.
Im Kern unterscheidet sich das KRITIS-Dachgesetz von der bisherigen KRITIS-Regulierung nach §8a BSIG und NIS-2 durch seinen Fokus: Während NIS-2 Cybersicherheit reguliert, adressiert das KRITIS-Dachgesetz physische Bedrohungen — Sabotage, Terrorismus, Naturkatastrophen, technisches Versagen. Der All-Hazards-Ansatz verlangt eine integrierte Betrachtung aller Risikoquellen.
Zuständige Aufsichtsbehörde ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), das die Koordination mit den Sektorbehörden übernimmt. Der Bundestag hat das Gesetz am 29. Januar 2026 beschlossen.
KRITIS-Dachgesetz auf einen Blick
- EU-Richtlinie
- CER-Richtlinie EU 2022/2557
- Bundestag
- 29. Januar 2026
- Sektoren
- 11 Sektoren (Energie bis Weltraum)
- Schwellenwert
- 500.000 versorgte Personen
- Zuständig
- BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe)
- Ansatz
- All-Hazards: Cyber + Physisch + Operativ
NIS-2 vs. KRITIS-Dachgesetz
NIS-2 = Cybersicherheit der IT-Systeme.
KRITIS-Dachgesetz = physische und operative Resilienz.
Viele Betreiber müssen beide erfüllen.
Anwendungsbereich
Die 11 regulierten Sektoren
Das KRITIS-Dachgesetz erfasst Betreiber kritischer Anlagen in 11 Sektoren, wenn sie mindestens 500.000 Personen versorgen oder eine gleichwertige gesellschaftliche Bedeutung haben. Die Einstufung erfolgt durch die zuständige Sektorbehörde.
500.000
Versorgte Personen — Hauptkriterium für Betroffenheit
11 Sektoren
Von Energie bis Weltraum — alle lebensnotwendigen Bereiche
Integriert
Cyber + Physisch + Operativ in einer Risikoanalyse
Energie
Strom, Gas, Fernwärme, Öl, Wasserstoff, Ladesäuleninfrastruktur
Transport und Verkehr
Luftfahrt, Schiene, Schifffahrt, Straßenverkehr, ÖPNV
Finanz- und Versicherungswesen
Kreditinstitute, Finanzmarktinfrastrukturen, Versicherungen
Gesundheitswesen
Krankenhäuser, Labore, Pharmahersteller, Rettungsdienste
Trinkwasser
Wasserversorgung, Wasseraufbereitung, Wasserverteilung
Abwasser
Abwasserbehandlung, Abwasserentsorgung, Klärwerke
Abfallentsorgung
Abfallbehandlung, Recycling, gefährliche Abfälle
Informationstechnik und Telekommunikation
Rechenzentren, Cloud, TK-Netze, Internet-Exchange-Points
Lebensmittel
Lebensmittelproduktion, -verarbeitung, Großhandel
Weltraum
Betreiber von Bodeninfrastrukturen für weltraumgestützte Dienste
Öffentliche Verwaltung
Bundes- und Landesbehörden mit kritischen Funktionen
Sind Sie vom KRITIS-Dachgesetz betroffen?
Die genaue Betroffenheit hängt von Sektor, versorgten Personen und weiteren Kriterien ab. AWARE7 klärt Ihre Einstufung verbindlich und erstellt einen integrierten Umsetzungsplan für NIS-2 und KRITIS-Dachgesetz.
Anforderungen
Pflichten für betroffene Betreiber
Die Pflichten des KRITIS-Dachgesetzes gehen über bisherige KRITIS-Anforderungen nach §8a BSIG hinaus: Sie erfassen physische Schutzmaßnahmen, Business Continuity und Personalüberprüfungen — alles unter dem All-Hazards-Ansatz.
Risikoanalyse — physisch und cyber integriert
Betroffene Betreiber müssen eine umfassende Risikoanalyse durchführen, die physische Risiken (Sabotage, Naturkatastrophen, Terrorismus) und Cyberrisiken gleichermaßen erfasst (All-Hazards-Ansatz). Die Risikoanalyse ist zu dokumentieren und regelmäßig zu aktualisieren. Sie bildet die Grundlage für alle weiteren Resilienzmaßnahmen.
Penetrationstest zur RisikoermittlungPhysische Schutzmaßnahmen
Betreiber müssen angemessene physische Sicherheitsmaßnahmen umsetzen: Zutrittskontrolle, Perimeterschutz, Überwachungssysteme, Sicherung von Versorgungsleitungen. Beim All-Hazards-Ansatz sind auch Schutzmaßnahmen gegen Naturkatastrophen, Feuer, Überflutung und technisches Versagen erforderlich.
Meldepflichten bei Vorfällen
Vorfälle, die die Kontinuität der kritischen Infrastruktur erheblich beeinträchtigen können, sind an das BBK zu melden. Die Meldepflicht gilt für physische Vorfälle — Cyberangriffe fallen weiterhin primär unter NIS-2 und das BSI-Gesetz. Bei Überschneidungen ist eine koordinierte Meldung an beide Behörden erforderlich.
Business Continuity Management (BCM)
Betreiber müssen Pläne zur Aufrechterhaltung des Betriebs bei Störungen erstellen, testen und regelmäßig aktualisieren. BCM umfasst: Notfallhandbücher, Backup-Systeme, alternative Versorgungswege, Krisenorganisation. Regelmäßige Übungen (Tabletop-Exercises, Krisenübungen) sind Pflicht.
BCM-BeratungPersonalüberprüfung und Hintergrundsicherung
Personal, das in sicherheitskritischen Bereichen tätig ist, muss einer Zuverlässigkeitsüberprüfung unterzogen werden. Dies umfasst Mitarbeiter mit Zugang zu kritischen Systemen und Anlagen sowie Sicherheitspersonal. Die Anforderungen orientieren sich an §7 Luftsicherheitsgesetz und §12b EnWG als Vorbilder.
Registrierung beim BBK
Betroffene Betreiber müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Die Registrierung umfasst Angaben zur kritischen Infrastruktur, zuständige Ansprechpartner, Sektorzugehörigkeit und grundlegende Resilienzinformationen. Das BBK koordiniert die Aufsicht mit den Sektorbehörden.
Sicherheitsbeauftragter und Kontaktstelle
Betreiber müssen eine Kontaktstelle beim BBK benennen und einen Beauftragten für physische Resilienz bestimmen. Dieser fungiert als Ansprechpartner bei Behörden, koordiniert die Umsetzung der Resilienzpflichten und erstellt die erforderlichen Pläne und Berichte.
Resilienzplan und -bericht
Betroffene Betreiber müssen einen Resilienzplan erstellen, der alle Maßnahmen zur Stärkung der physischen und operativen Widerstandsfähigkeit dokumentiert. Der Plan ist der zuständigen Behörde vorzulegen und regelmäßig zu überprüfen. Ergänzend sind Resilienzberichte zu erstatten.
ResilienzberatungHinweis: Die Pflichten des KRITIS-Dachgesetzes greifen zusätzlich zu bestehenden Anforderungen nach §8a BSIG (KRITIS) und NIS-2. Betreiber, die unter beide Regelwerke fallen, müssen eine integrierte Compliance-Strategie entwickeln — die technischen und physischen Maßnahmen müssen aufeinander abgestimmt sein.
Regulatorisches Umfeld
NIS-2 + KRITIS-DachG + BSI-Gesetz: Das integrierte Gesamtbild
Für KRITIS-Betreiber entsteht ein dreischichtiges Regulierungssystem. Alle Schichten müssen parallel erfüllt werden — mit unterschiedlichen Behörden, Pflichten und Fristen.
- 1 Schicht 1 — BSI-Gesetz (§8a BSIG) · Behörde: BSI
KRITIS-Cybersicherheit nach §8a BSIG
Die bisherige KRITIS-Regulierung: Technisch-organisatorische Maßnahmen (ToM) zur Cybersicherheit, Meldepflicht für Cybervorfälle an das BSI, Nachweispflicht alle 2 Jahre (Audit oder Zertifizierung). Gilt für Betreiber kritischer Infrastrukturen ab den KRITIS-Schwellenwerten der KRITIS-Verordnung. Wird durch NIS-2 reformiert und erweitert, bleibt aber als nationales KRITIS-Regime erhalten.
- 2 Schicht 2 — NIS-2-Richtlinie · Behörde: BSI
Erweiterte Cybersicherheit nach NIS-2
NIS-2 (umgesetzt durch NIS2UmsuCG) erweitert den Anwendungsbereich erheblich: 18 Sektoren, neue Schwellenwerte (50+ MA, 10+ Mio. EUR), persönliche Leitungshaftung, 10 Pflichtmaßnahmen, 24h-Meldepflicht. Für bisherige KRITIS-Betreiber bringt NIS-2 strengere Anforderungen und erweiterte Aufsichtsbefugnisse des BSI.
NIS-2 Leitfaden lesen - 3 Schicht 3 — KRITIS-Dachgesetz · Behörde: BBK
Physische Resilienz nach KRITIS-Dachgesetz
Die neue Schicht: Physische Schutzmaßnahmen, integrierte Risikoanalyse (All-Hazards), Business Continuity Management, Personalüberprüfungen, Registrierung beim BBK, Resilienzplan. Ergänzt NIS-2 um die physische Dimension. Viele KRITIS-Betreiber müssen alle drei Schichten parallel erfüllen — mit zwei unterschiedlichen Aufsichtsbehörden.
Praxisbeispiele
Reale Vorfälle: Warum KRITIS-Resilienz lebensnotwendig ist
Diese Vorfälle zeigen, warum das KRITIS-Dachgesetz eine integrierte physisch-digitale Resilienz fordert — und welche realen Konsequenzen Ausfälle kritischer Infrastruktur haben.
Uni-Klinikum Düsseldorf — Ransomware, Patientenleben in Gefahr
September 2020Das Universitätsklinikum Düsseldorf wurde durch einen Ransomware-Angriff (Emotet/Ryuk) lahmgelegt. 30 Server verschlüsselt, die Notaufnahme musste gesperrt werden. Eine Patientin in kritischem Zustand wurde in ein weiter entferntes Krankenhaus umgeleitet — erstmals stand eine mögliche Kausalität zwischen Cyberangriff und Todesfall im Raum. Das KRITIS-Dachgesetz fordert genau für solche Szenarien integrierte BCM-Pläne, die den Weiterbetrieb bei Systemausfällen sicherstellen.
Colonial Pipeline — 5 Tage Ausfall, 4,4 Mio. USD Lösegeld
Mai 2021Die Colonial Pipeline, die 45% der Ostküste der USA mit Kraftstoff versorgt, wurde durch einen DarkSide-Ransomware-Angriff für 5 Tage außer Betrieb gesetzt. Das Unternehmen zahlte 4,4 Millionen USD Lösegeld, davon wurden 2,3 Millionen USD vom FBI zurückgewonnen. Tankstellen liefen leer, Panikverkäufe wurden gemeldet. In der EU wäre ein solcher Betreiber sowohl unter NIS-2 als auch unter das KRITIS-Dachgesetz gefallen.
Nordstream-Sabotage — Physische Infrastruktur als Angriffsziel
September 2022Die Sprengungen der Nordstream 1 und Nordstream 2 Pipelines in der Ostsee demonstrierten, dass kritische Infrastruktur gezielt durch physische Angriffe zerstört werden kann. Dieser Vorfall war der Auslöser, der die CER-Richtlinie und das KRITIS-Dachgesetz politisch beschleunigt hat. Er zeigt: Cyber- und physische Sicherheit können nicht getrennt betrachtet werden.
Stadtwerke Rodgau — Ransomware trifft kommunale Infrastruktur
Dezember 2022Die Stadtwerke Rodgau (Hessen) wurden von einem Ransomware-Angriff getroffen. Die Versorgung der Bevölkerung mit Strom, Gas und Wasser war zeitweise gefährdet. Der Vorfall zeigt, dass auch kleinere kommunale KRITIS-Betreiber im Visier sind — und dass der Schwellenwert von 500.000 versorgten Personen des KRITIS-Dachgesetzes viele mittlere und große Stadtwerke nicht erfasst, obwohl das Risiko real ist.
Wasserwerk Oldsmar — Fernzugriff, Chemikalienmanipulation
Februar 2021Ein Angreifer verschaffte sich über TeamViewer Fernzugang zum Steuerungssystem des Wasserwerks in Oldsmar, Florida, und erhöhte die Natriumhydroxid-Konzentration auf das 111-fache. Ein aufmerksamer Mitarbeiter bemerkte die Mausbewegung und unterbrach den Vorgang. Das KRITIS-Dachgesetz schreibt genau für solche Systeme physische Schutzmaßnahmen und Zutrittskontrolle vor — nicht nur als Cyber-, sondern als operatives Sicherheitsgebot.
Beratungsleistungen
Wie AWARE7 bei KRITIS-Compliance hilft
Integrierte Beratung für KRITIS-Betreiber: Cyber und physisch aus einer Hand, mit dem Erfahrungshintergrund aus über 500 Sicherheitsprojekten.
Penetrationstest für KRITIS
Technische Überprüfung Ihrer KRITIS-Systeme und OT/ICS-Infrastruktur — liefert Nachweis für §8a BSIG und NIS-2-Pflichten sowie Grundlage für die KRITIS-Risikoanalyse.
KRITIS-Pentest anfragenRed Teaming mit physischer Komponente
Realistische Angriffssimulationen, die physische und digitale Angriffsvektoren verbinden — TIBER-EU kompatibel, ideal für KRITIS-Betreiber im Finanz- und Energiesektor.
Red Teaming anfragenIntegrierte Resilienz-Analyse
Kombinierte Betroffenheitsprüfung für NIS-2 und KRITIS-Dachgesetz, integrierte Risikoanalyse (All-Hazards), Resilienzplan nach CER-Richtlinie — aus einer Hand.
Resilienz-Analyse startenKRITIS-Regulierung nach §8a BSIG
Die bestehende KRITIS-Regulierung als Grundlage — §8a BSIG Anforderungen, Nachweispflichten, Meldungen ans BSI und Audit durch AWARE7 als zugelassener Prüfer.
KRITIS §8a LeitfadenNIS-2 als Cyber-Pendant
Cybersicherheitspflichten nach NIS-2 parallel zum KRITIS-Dachgesetz verstehen und umsetzen — AWARE7 deckt beide Regelwerke in einem integrierten Projekt ab.
NIS-2 Leitfaden lesenKRITIS Audit & Readiness Check
Unabhängige Prüfung Ihrer KRITIS-Compliance durch zertifizierte Prüfer nach §8a BSIG — liefert den Nachweis gegenüber dem BSI und die Grundlage für den Resilienzplan nach KRITIS-DachG.
Audit anfragen„Das KRITIS-Dachgesetz ist ein Paradigmenwechsel: Erstmals wird physische Resilienz gleichwertig zur Cybersicherheit reguliert. KRITIS-Betreiber, die NIS-2 und KRITIS-Dachgesetz getrennt angehen, verschwenden Ressourcen. Wir denken beides von Anfang an zusammen.“
Chris Wojzechowski
Prüfer mit §8a BSIG Prüfverfahrenskompetenz · AWARE7 GmbH
FAQ
Häufige Fragen zum KRITIS-Dachgesetz
Die wichtigsten Fragen zum KRITIS-Dachgesetz und seiner Abgrenzung zu NIS-2 — fachlich fundiert beantwortet.
Was ist der Unterschied zwischen KRITIS-Dachgesetz und NIS-2?
Wer ist vom KRITIS-Dachgesetz betroffen?
Was bedeutet "All-Hazards-Ansatz" im KRITIS-Dachgesetz?
Welche Behörde ist für das KRITIS-Dachgesetz zuständig?
Wann tritt das KRITIS-Dachgesetz in Deutschland in Kraft?
Was ist der Unterschied zwischen dem KRITIS-Dachgesetz und §8a BSIG (KRITIS)?
Müssen alle KRITIS-Betreiber einen Resilienzplan erstellen?
Wie bereite ich mein Unternehmen auf das KRITIS-Dachgesetz vor?
Welche Synergien gibt es zwischen KRITIS-Dachgesetz und ISO 22301 (BCM-Standard)?
Was sind die Sanktionen bei Verstößen gegen das KRITIS-Dachgesetz?
Aus dem Blog
Weiterführende Artikel
Alle ArtikelIntegrierte Resilienz-Analyse vereinbaren
In einem kostenlosen 30-minütigen Gespräch analysieren wir Ihre Betroffenheit nach KRITIS-Dachgesetz und NIS-2, klären den All-Hazards-Ansatz für Ihre Anlage und zeigen den Weg zu integrierter physischer und digitaler Resilienz — mit Zeitplan und Festpreisangebot.
Kostenlos · 30 Minuten · Unverbindlich