Zum Inhalt springen

Services, Wiki-Artikel, Blog-Beiträge und Glossar-Einträge durchsuchen

↑↓NavigierenEnterÖffnenESCSchließen

Regulierung | Kritische Infrastrukturen

KRITIS-Dachgesetz:
Physische & operative
Resilienz für KRITIS.

Das KRITIS-Dachgesetz setzt die CER-Richtlinie (EU 2022/2557) in deutsches Recht um und verpflichtet Betreiber in 11 Sektoren zu physischer und operativer Resilienz. Der All-Hazards-Ansatz schließt Sabotage, Terrorismus und Naturkatastrophen ein.

Zuletzt aktualisiert: März 2026 · Von zertifizierten Experten geprüft

Sektoren
11
Von Energie bis Öffentliche Verwaltung
Umsetzung
CER-RL
Richtlinie (EU) 2022/2557
Ansatz
All-Hazards
Cyber + Physisch + Operativ
Schwelle (typisch)
500.000
Versorgungseinheiten je Sektor
Reguliert nach KRITIS-DachG
Versorgungsschwelle (Personen)
Bundestag-Beschluss
Jan. 2026
Ansatz: Cyber + Physisch
All-Hazards

Grundlagen

Was ist das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz setzt die EU CER-Richtlinie (Critical Entities Resilience, EU 2022/2557) in deutsches Recht um. Es schafft erstmals einen einheitlichen gesetzlichen Rahmen für die physische und operative Resilienz von Betreibern kritischer Infrastrukturen in Deutschland.

Im Kern unterscheidet sich das KRITIS-Dachgesetz von der bisherigen KRITIS-Regulierung nach §8a BSIG und NIS-2 durch seinen Fokus: Während NIS-2 Cybersicherheit reguliert, adressiert das KRITIS-Dachgesetz physische Bedrohungen — Sabotage, Terrorismus, Naturkatastrophen, technisches Versagen. Der All-Hazards-Ansatz verlangt eine integrierte Betrachtung aller Risikoquellen.

Zuständige Aufsichtsbehörde ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), das die Koordination mit den Sektorbehörden übernimmt. Der Bundestag hat das Gesetz am 29. Januar 2026 beschlossen.

KRITIS-Dachgesetz auf einen Blick

EU-Richtlinie
CER-Richtlinie EU 2022/2557
Bundestag
29. Januar 2026
Sektoren
11 Sektoren (Energie bis Weltraum)
Schwellenwert
500.000 versorgte Personen
Zuständig
BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe)
Ansatz
All-Hazards: Cyber + Physisch + Operativ

NIS-2 vs. KRITIS-Dachgesetz

NIS-2 = Cybersicherheit der IT-Systeme.
KRITIS-Dachgesetz = physische und operative Resilienz.
Viele Betreiber müssen beide erfüllen.

Anwendungsbereich

Die 11 regulierten Sektoren

Das KRITIS-Dachgesetz erfasst Betreiber kritischer Anlagen in 11 Sektoren, wenn sie mindestens 500.000 Personen versorgen oder eine gleichwertige gesellschaftliche Bedeutung haben. Die Einstufung erfolgt durch die zuständige Sektorbehörde.

Versorgungsschwelle

500.000

Versorgte Personen — Hauptkriterium für Betroffenheit

Sektoren gesamt

11 Sektoren

Von Energie bis Weltraum — alle lebensnotwendigen Bereiche

All-Hazards

Integriert

Cyber + Physisch + Operativ in einer Risikoanalyse

01

Energie

Strom, Gas, Fernwärme, Öl, Wasserstoff, Ladesäuleninfrastruktur

02

Transport und Verkehr

Luftfahrt, Schiene, Schifffahrt, Straßenverkehr, ÖPNV

03

Finanz- und Versicherungswesen

Kreditinstitute, Finanzmarktinfrastrukturen, Versicherungen

04

Gesundheitswesen

Krankenhäuser, Labore, Pharmahersteller, Rettungsdienste

05

Trinkwasser

Wasserversorgung, Wasseraufbereitung, Wasserverteilung

06

Abwasser

Abwasserbehandlung, Abwasserentsorgung, Klärwerke

07

Abfallentsorgung

Abfallbehandlung, Recycling, gefährliche Abfälle

08

Informationstechnik und Telekommunikation

Rechenzentren, Cloud, TK-Netze, Internet-Exchange-Points

09

Lebensmittel

Lebensmittelproduktion, -verarbeitung, Großhandel

10

Weltraum

Betreiber von Bodeninfrastrukturen für weltraumgestützte Dienste

11

Öffentliche Verwaltung

Bundes- und Landesbehörden mit kritischen Funktionen

Sind Sie vom KRITIS-Dachgesetz betroffen?

Die genaue Betroffenheit hängt von Sektor, versorgten Personen und weiteren Kriterien ab. AWARE7 klärt Ihre Einstufung verbindlich und erstellt einen integrierten Umsetzungsplan für NIS-2 und KRITIS-Dachgesetz.

Betroffenheit prüfen

Anforderungen

Pflichten für betroffene Betreiber

Die Pflichten des KRITIS-Dachgesetzes gehen über bisherige KRITIS-Anforderungen nach §8a BSIG hinaus: Sie erfassen physische Schutzmaßnahmen, Business Continuity und Personalüberprüfungen — alles unter dem All-Hazards-Ansatz.

01

Risikoanalyse — physisch und cyber integriert

Betroffene Betreiber müssen eine umfassende Risikoanalyse durchführen, die physische Risiken (Sabotage, Naturkatastrophen, Terrorismus) und Cyberrisiken gleichermaßen erfasst (All-Hazards-Ansatz). Die Risikoanalyse ist zu dokumentieren und regelmäßig zu aktualisieren. Sie bildet die Grundlage für alle weiteren Resilienzmaßnahmen.

Penetrationstest zur Risikoermittlung
02

Physische Schutzmaßnahmen

Betreiber müssen angemessene physische Sicherheitsmaßnahmen umsetzen: Zutrittskontrolle, Perimeterschutz, Überwachungssysteme, Sicherung von Versorgungsleitungen. Beim All-Hazards-Ansatz sind auch Schutzmaßnahmen gegen Naturkatastrophen, Feuer, Überflutung und technisches Versagen erforderlich.

03

Meldepflichten bei Vorfällen

Vorfälle, die die Kontinuität der kritischen Infrastruktur erheblich beeinträchtigen können, sind an das BBK zu melden. Die Meldepflicht gilt für physische Vorfälle — Cyberangriffe fallen weiterhin primär unter NIS-2 und das BSI-Gesetz. Bei Überschneidungen ist eine koordinierte Meldung an beide Behörden erforderlich.

04

Business Continuity Management (BCM)

Betreiber müssen Pläne zur Aufrechterhaltung des Betriebs bei Störungen erstellen, testen und regelmäßig aktualisieren. BCM umfasst: Notfallhandbücher, Backup-Systeme, alternative Versorgungswege, Krisenorganisation. Regelmäßige Übungen (Tabletop-Exercises, Krisenübungen) sind Pflicht.

BCM-Beratung
05

Personalüberprüfung und Hintergrundsicherung

Personal, das in sicherheitskritischen Bereichen tätig ist, muss einer Zuverlässigkeitsüberprüfung unterzogen werden. Dies umfasst Mitarbeiter mit Zugang zu kritischen Systemen und Anlagen sowie Sicherheitspersonal. Die Anforderungen orientieren sich an §7 Luftsicherheitsgesetz und §12b EnWG als Vorbilder.

06

Registrierung beim BBK

Betroffene Betreiber müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Die Registrierung umfasst Angaben zur kritischen Infrastruktur, zuständige Ansprechpartner, Sektorzugehörigkeit und grundlegende Resilienzinformationen. Das BBK koordiniert die Aufsicht mit den Sektorbehörden.

07

Sicherheitsbeauftragter und Kontaktstelle

Betreiber müssen eine Kontaktstelle beim BBK benennen und einen Beauftragten für physische Resilienz bestimmen. Dieser fungiert als Ansprechpartner bei Behörden, koordiniert die Umsetzung der Resilienzpflichten und erstellt die erforderlichen Pläne und Berichte.

08

Resilienzplan und -bericht

Betroffene Betreiber müssen einen Resilienzplan erstellen, der alle Maßnahmen zur Stärkung der physischen und operativen Widerstandsfähigkeit dokumentiert. Der Plan ist der zuständigen Behörde vorzulegen und regelmäßig zu überprüfen. Ergänzend sind Resilienzberichte zu erstatten.

Resilienzberatung

Hinweis: Die Pflichten des KRITIS-Dachgesetzes greifen zusätzlich zu bestehenden Anforderungen nach §8a BSIG (KRITIS) und NIS-2. Betreiber, die unter beide Regelwerke fallen, müssen eine integrierte Compliance-Strategie entwickeln — die technischen und physischen Maßnahmen müssen aufeinander abgestimmt sein.

Regulatorisches Umfeld

NIS-2 + KRITIS-DachG + BSI-Gesetz: Das integrierte Gesamtbild

Für KRITIS-Betreiber entsteht ein dreischichtiges Regulierungssystem. Alle Schichten müssen parallel erfüllt werden — mit unterschiedlichen Behörden, Pflichten und Fristen.

  1. 1 Schicht 1 — BSI-Gesetz (§8a BSIG) · Behörde: BSI

    KRITIS-Cybersicherheit nach §8a BSIG

    Die bisherige KRITIS-Regulierung: Technisch-organisatorische Maßnahmen (ToM) zur Cybersicherheit, Meldepflicht für Cybervorfälle an das BSI, Nachweispflicht alle 2 Jahre (Audit oder Zertifizierung). Gilt für Betreiber kritischer Infrastrukturen ab den KRITIS-Schwellenwerten der KRITIS-Verordnung. Wird durch NIS-2 reformiert und erweitert, bleibt aber als nationales KRITIS-Regime erhalten.

  2. 2 Schicht 2 — NIS-2-Richtlinie · Behörde: BSI

    Erweiterte Cybersicherheit nach NIS-2

    NIS-2 (umgesetzt durch NIS2UmsuCG) erweitert den Anwendungsbereich erheblich: 18 Sektoren, neue Schwellenwerte (50+ MA, 10+ Mio. EUR), persönliche Leitungshaftung, 10 Pflichtmaßnahmen, 24h-Meldepflicht. Für bisherige KRITIS-Betreiber bringt NIS-2 strengere Anforderungen und erweiterte Aufsichtsbefugnisse des BSI.

    NIS-2 Leitfaden lesen
  3. 3 Schicht 3 — KRITIS-Dachgesetz · Behörde: BBK

    Physische Resilienz nach KRITIS-Dachgesetz

    Die neue Schicht: Physische Schutzmaßnahmen, integrierte Risikoanalyse (All-Hazards), Business Continuity Management, Personalüberprüfungen, Registrierung beim BBK, Resilienzplan. Ergänzt NIS-2 um die physische Dimension. Viele KRITIS-Betreiber müssen alle drei Schichten parallel erfüllen — mit zwei unterschiedlichen Aufsichtsbehörden.

Praxisbeispiele

Reale Vorfälle: Warum KRITIS-Resilienz lebensnotwendig ist

Diese Vorfälle zeigen, warum das KRITIS-Dachgesetz eine integrierte physisch-digitale Resilienz fordert — und welche realen Konsequenzen Ausfälle kritischer Infrastruktur haben.

Uni-Klinikum Düsseldorf — Ransomware, Patientenleben in Gefahr

September 2020

Das Universitätsklinikum Düsseldorf wurde durch einen Ransomware-Angriff (Emotet/Ryuk) lahmgelegt. 30 Server verschlüsselt, die Notaufnahme musste gesperrt werden. Eine Patientin in kritischem Zustand wurde in ein weiter entferntes Krankenhaus umgeleitet — erstmals stand eine mögliche Kausalität zwischen Cyberangriff und Todesfall im Raum. Das KRITIS-Dachgesetz fordert genau für solche Szenarien integrierte BCM-Pläne, die den Weiterbetrieb bei Systemausfällen sicherstellen.

Colonial Pipeline — 5 Tage Ausfall, 4,4 Mio. USD Lösegeld

Mai 2021

Die Colonial Pipeline, die 45% der Ostküste der USA mit Kraftstoff versorgt, wurde durch einen DarkSide-Ransomware-Angriff für 5 Tage außer Betrieb gesetzt. Das Unternehmen zahlte 4,4 Millionen USD Lösegeld, davon wurden 2,3 Millionen USD vom FBI zurückgewonnen. Tankstellen liefen leer, Panikverkäufe wurden gemeldet. In der EU wäre ein solcher Betreiber sowohl unter NIS-2 als auch unter das KRITIS-Dachgesetz gefallen.

Nordstream-Sabotage — Physische Infrastruktur als Angriffsziel

September 2022

Die Sprengungen der Nordstream 1 und Nordstream 2 Pipelines in der Ostsee demonstrierten, dass kritische Infrastruktur gezielt durch physische Angriffe zerstört werden kann. Dieser Vorfall war der Auslöser, der die CER-Richtlinie und das KRITIS-Dachgesetz politisch beschleunigt hat. Er zeigt: Cyber- und physische Sicherheit können nicht getrennt betrachtet werden.

Stadtwerke Rodgau — Ransomware trifft kommunale Infrastruktur

Dezember 2022

Die Stadtwerke Rodgau (Hessen) wurden von einem Ransomware-Angriff getroffen. Die Versorgung der Bevölkerung mit Strom, Gas und Wasser war zeitweise gefährdet. Der Vorfall zeigt, dass auch kleinere kommunale KRITIS-Betreiber im Visier sind — und dass der Schwellenwert von 500.000 versorgten Personen des KRITIS-Dachgesetzes viele mittlere und große Stadtwerke nicht erfasst, obwohl das Risiko real ist.

Wasserwerk Oldsmar — Fernzugriff, Chemikalienmanipulation

Februar 2021

Ein Angreifer verschaffte sich über TeamViewer Fernzugang zum Steuerungssystem des Wasserwerks in Oldsmar, Florida, und erhöhte die Natriumhydroxid-Konzentration auf das 111-fache. Ein aufmerksamer Mitarbeiter bemerkte die Mausbewegung und unterbrach den Vorgang. Das KRITIS-Dachgesetz schreibt genau für solche Systeme physische Schutzmaßnahmen und Zutrittskontrolle vor — nicht nur als Cyber-, sondern als operatives Sicherheitsgebot.

Beratungsleistungen

Wie AWARE7 bei KRITIS-Compliance hilft

Integrierte Beratung für KRITIS-Betreiber: Cyber und physisch aus einer Hand, mit dem Erfahrungshintergrund aus über 500 Sicherheitsprojekten.

„Das KRITIS-Dachgesetz ist ein Paradigmenwechsel: Erstmals wird physische Resilienz gleichwertig zur Cybersicherheit reguliert. KRITIS-Betreiber, die NIS-2 und KRITIS-Dachgesetz getrennt angehen, verschwenden Ressourcen. Wir denken beides von Anfang an zusammen.“

Chris Wojzechowski

Prüfer mit §8a BSIG Prüfverfahrenskompetenz · AWARE7 GmbH

FAQ

Häufige Fragen zum KRITIS-Dachgesetz

Die wichtigsten Fragen zum KRITIS-Dachgesetz und seiner Abgrenzung zu NIS-2 — fachlich fundiert beantwortet.

NIS-2 und KRITIS-Dachgesetz regulieren zwei unterschiedliche Schutzgüter, die sich ergänzen: NIS-2 (Richtlinie EU 2022/2555, umgesetzt durch NIS2UmsuCG) fokussiert auf Cybersicherheit — also die Sicherheit von Netz- und Informationssystemen. Das KRITIS-Dachgesetz (Umsetzung der CER-Richtlinie EU 2022/2557) fokussiert auf physische und operative Resilienz — also Schutz gegen Sabotage, Terrorismus, Naturkatastrophen und technisches Versagen. Beide Regelwerke können denselben Betreiber treffen — dann sind beide parallel zu erfüllen. Zuständige Behörde für NIS-2 ist das BSI, für das KRITIS-Dachgesetz das BBK.
Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen in 11 Sektoren, wenn sie mindestens 500.000 Personen versorgen oder eine gleichwertige Bedeutung für die öffentliche Sicherheit haben. Betroffen sind: Betreiber von Strom-, Gas- und Wasserversorgung, Krankenhäuser und Gesundheitsversorgung, Lebensmittelversorger (Produktion und Großhandel), Finanzinfrastrukturen, Verkehrsinfrastrukturen (Flughäfen, Schienen, Häfen), Telekommunikations- und IT-Infrastrukturen sowie öffentliche Verwaltung auf Bundes- und Landesebene mit kritischen Funktionen. Die genaue Abgrenzung erfolgt über Sektorspezifika und Rechtsverordnungen.
Der All-Hazards-Ansatz (Art. 13 CER-Richtlinie) verlangt, dass Betreiber nicht nur gegen spezifische bekannte Bedrohungen schützen, sondern gegen alle relevanten Risikoquellen: menschliche Bedrohungen (Sabotage, Terrorismus, Innentäter), Naturkatastrophen (Hochwasser, Sturm, Erdbeben), technisches Versagen (Fehler in Steuerungssystemen, Infrastrukturausfälle), systemische Risiken und Abhängigkeiten (Kaskadeneffekte). Dieser Ansatz ist eine fundamentale Abkehr vom bisherigen sektoriellen Denken und erfordert eine integrierte Risikoanalyse über alle Bedrohungsquellen.
Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) ist die primäre Aufsichtsbehörde nach dem KRITIS-Dachgesetz. Das BBK koordiniert die Umsetzung mit den Sektorbehörden: BSI für IT-/TK-Aspekte, Bundesnetzagentur für Energie und TK, Bundesamt für Sicherheit in der Seeschifffahrt (BSH) für Häfen, sowie Landesbehörden für sektoriell geregelte Infrastrukturen (z. B. Gesundheitswesen). Betreiber, die sowohl unter NIS-2 als auch unter das KRITIS-Dachgesetz fallen, haben de facto zwei Aufsichtsbehörden.
Der Bundestag hat das KRITIS-Dachgesetz am 29. Januar 2026 beschlossen. Es setzt die EU CER-Richtlinie (EU 2022/2557) in deutsches Recht um, deren Umsetzungsfrist der 17. Oktober 2024 war — Deutschland hat die Frist damit deutlich überschritten. Für die meisten Pflichten gilt nach Inkrafttreten eine Übergangsfrist von 12 bis 18 Monaten, um Betreibern die Umsetzung zu ermöglichen. Registrierung und Benennung einer Kontaktstelle beim BBK sollen zeitnah erfolgen.
Die bisherige KRITIS-Regulierung nach §8a BSIG verpflichtete Betreiber kritischer Infrastrukturen zu Cybersicherheitsmaßnahmen (technisch-organisatorisch) und Meldung von Cybervorfällen an das BSI. Das KRITIS-Dachgesetz ergänzt dies um die physische Dimension: Es schreibt physische Schutzmaßnahmen, BCM für physische Ausfälle, Personalüberprüfungen und integrierte Risikoanalysen vor. Beide Systeme existieren künftig parallel — für viele Betreiber bedeutet das: Cyberpflichten nach §8a BSIG/NIS-2 plus physische Pflichten nach KRITIS-DachG.
Ja — betroffene Betreiber müssen gemäß Art. 12 CER-Richtlinie einen Resilienzplan erstellen, der alle Maßnahmen zur Stärkung der Widerstandsfähigkeit dokumentiert. Der Plan muss die Ergebnisse der Risikoanalyse, identifizierte Maßnahmen, Verantwortlichkeiten, Zeitpläne und Testverfahren enthalten. Er ist der zuständigen Behörde (BBK und Sektorbehörde) vorzulegen und mindestens alle 4 Jahre zu überprüfen und zu aktualisieren.
Die Vorbereitung umfasst vier Phasen: (1) Betroffenheitsprüfung — Fällt Ihre Anlage unter das KRITIS-Dachgesetz? Welcher Sektor, welche Schwellenwerte? (2) Integrierte Risikoanalyse — Erfassung physischer, operativer und cyberbasierter Risiken (All-Hazards). (3) Maßnahmenplanung — Physische Schutzmaßnahmen, BCM, Personalüberprüfungen, Meldewege. (4) Registrierung und Dokumentation — BBK-Registrierung, Resilienzplan, Sicherheitsbeauftragten benennen. AWARE7 begleitet alle Phasen und arbeitet dabei integriert für physische und Cyber-Aspekte.
ISO 22301 (Business Continuity Management Systems) deckt viele Anforderungen des KRITIS-Dachgesetzes strukturell ab: Geschäftsauswirkungsanalyse (BIA), BCM-Pläne, Übungen, Recovery-Ziele. Eine ISO-22301-Zertifizierung kann als Nachweis für die BCM-Pflichten nach KRITIS-DachG dienen, wenn sie physische Bedrohungsszenarien einschließt. Kombiniert mit ISO/IEC 27001 (Informationssicherheit) ergibt sich ein Gesamtbild, das NIS-2 und KRITIS-Dachgesetz weitgehend abdeckt. AWARE7 berät zu beiden Standards im Verbund.
Das KRITIS-Dachgesetz sieht Ordnungswidrigkeiten für Betreiber vor, die Meldepflichten verletzen, Risikoanalysen nicht durchführen oder erforderliche Resilienzmaßnahmen nicht umsetzen. Konkrete Bußgeldrahmen werden in der nationalen Umsetzung festgelegt — die CER-Richtlinie selbst schreibt wirksame, verhältnismäßige und abschreckende Sanktionen vor. Zusätzlich drohen behördliche Anordnungen zur Umsetzung von Maßnahmen und ggf. Betriebsuntersagungen bei akuter Gefährdung der öffentlichen Sicherheit.

Integrierte Resilienz-Analyse vereinbaren

In einem kostenlosen 30-minütigen Gespräch analysieren wir Ihre Betroffenheit nach KRITIS-Dachgesetz und NIS-2, klären den All-Hazards-Ansatz für Ihre Anlage und zeigen den Weg zu integrierter physischer und digitaler Resilienz — mit Zeitplan und Festpreisangebot.

Kostenlos · 30 Minuten · Unverbindlich

Cookielose Analyse via Matomo (selbst gehostet, kein Tracking-Cookie). Datenschutzerklärung