Physischer Schutz kritischer Anlagen Grünes Licht für KRITIS-Dachgesetz?

Anbieter zum Thema

WatchGuard Technologies GmbH

cyberintelligence.institute GmbH

Der Brandanschlag auf die Berliner Stromversorgung macht es deutlich: KRITIS-Unternehmen rücken in den Fokus von Kriminellen. Daher gilt es, nicht nur die IT-, sondern auch die physische Sicherheit zu stärken. Das KRITIS-Dachgesetz macht jetzt einen entscheidenden Schritt.

Das KRITIS-Dachgesetz soll die EU-CER-Richtlinie national umsetzen und bisherige Regelungen zur physischen Resilienz zusammenführen. Am 29. Januar 2026 steht der Gesetzentwurf zur abschließenden Beratung auf der Tagesordnung des Bundestagsplenums. Das Gesetz wurde im September 2025 vom Bundeskabinett beschlossen. Am 28. Januar 2026 verabschiedete der Innenausschuss des Deutschen Bundestages die Vorlage in modifizierter Fassung. So sollen die Länder unter anderem die Möglichkeit haben, „weitere kritische Anlagen für kritische Dienstleistungen, die alleine in ihrer Zuständigkeit liegen, zu identifizieren“, ist auf der Website des Bundestags zu lesen. Zudem wird in der Gesetzesvorlage gefordert, „eine einheitliche Meldestelle für die Betreiber kritischer Anlagen zu schaffen sowie das nationale IT-Sicherheitsrecht zu systematisieren und einheitliche IT-Sicherheitsstandards für Bund und Länder festzulegen“.

Wen betrifft das KRITIS-Dachgesetz?

Zu den Sektoren, die das Gesetz betrifft, zählen unter anderem Energie, Wasser, Gesundheit sowie der Staat und die öffentliche Verwaltung. Im aktuellen Entwurf stehen KRITIS-Betreiber in der Pflicht, die 500.000 Einwohner versorgen. Der Bundesrat fordert hier eine Anpassung auf einen Schwellenwert von 150.000 zu versorgenden Personen.

Was ist das Ziel des KRITIS-Dachgesetzes?

Mit dem „Gesetz zur Umsetzung der EU-CER-Richtlinie (EU 2022/2557) und zur Stärkung der Resilienz kritischer Anlagen“ – kurz: KRITIS-Dachgesetz – will die Bundesregierung erstmals einheitliche und sektorenübergreifende Mindestvorgaben für den physischen Schutz kritischer Anlagen festlegen. Unterstützungs- und Aufsichtsmaßnahmen sollen die Umsetzung und somit die Versorgungssicherheit der Bevölkerung garantieren.

KRITIS-Dachgesetz fordert ganzheitliche Sicherheit

Warum IT-Sicherheit nicht mehr genügt und physische Sicherheit Pflicht wird

Zu betonen ist hier die Abgrenzung zur NIS2-Richtlinie, die bereits in Kraft ist. Während NIS2 für mehr Cybersicherheit sorgen soll, soll das KRITIS-Dachgesetz die physische Resilienz stärken und vor Naturgefahren oder menschlich oder technisch verursachten Störungen schützen.

Was müssen betroffene KRITIS-Betreiber tun?

Betroffene Anlagenbetreiber müssen sich zunächst über das gemeinsame Melde- und Informationsportal (MIP) des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Mindestens alle vier Jahre muss eine Risikoanalyse und Bewertung durchgeführt werden.

Weiterhin fordert das Gesetz einen angemessenen physischen Schutz der Anlagen, um Vorfälle zu verhindern. Außerdem müssen Maßnahmen ergriffen werden, die eine zügige Wiederherstellung gewährleisten. Das Risikomanagement sollte einen Plan enthalten, wie Vorfälle abgewehrt und darauf reagiert wird. Alle Maßnahmen müssen in einem Resilienzplan dokumentiert werden.

Vorfälle müssen unverzüglich, d. h. innerhalb von 24 Stunden, an das BBK gemeldet werden. Innerhalb eines Monats muss außerdem ein ausführlicher Bericht an das Amt übermittelt werden.

„Entscheidend wird sein, wie praxistauglich die Umsetzung gelingt und wie kohärent sich die neuen Anforderungen in den bestehenden Regulierungsrahmen einfügen“, kommentiert Ulrich Plate, Leiter der Kompetenzgruppe KRITIS beim Eco-Verband, den Stand der Dinge. Er fordert: „Insbesondere müssen Doppelregulierungen und parallele Pflichten im Zusammenspiel mit bestehenden IT- und Cybersicherheitsanforderungen, etwa im Kontext von NIS2 vermieden werden.“

(ID:50695019)