Aufrechterhaltung des Betriebs KRITIS-Dachgesetz stärkt Anlagenresilienz

Anbieter zum Thema

G DATA CyberDefense AG

Der Bundestag hat mit Beschluss vom 29. Januar 2026 das KRITIS-Dachgesetz verabschiedet. Für Betreiber stellt sich damit die Frage, inwieweit das Gesetz neben zusätzlicher Dokumentation bestehende Sicherheits- und Governance-Strukturen substanziell berührt.

In der regulatorischen Entwicklung dominierte in jüngerer Zeit vor allem die Umsetzung der NIS2-Richtlinie, die eine große Bandbreite von Unternehmen mit Blick auf eine erhöhte Cybersicherheit betrifft. Vom KRITIS-Dachgesetz betroffen sind hingegen vor allem Betreiber in Sektoren wie Energie, Gesundheit, IT und Telekommunikation, Transport oder Wasser. Ob eine Anlage als kritisch gilt, bestimmt sich nach sektorspezifischen Schwellenwerten, die an ihre konkrete Versorgungsrelevanz anknüpfen. Maßgeblich ist nicht allein die Größe des Unternehmens, sondern die Bedeutung der jeweiligen Anlage für die Aufrechterhaltung zentraler gesellschaftlicher Funktionen. Ein Unternehmen kann daher nur hinsichtlich einzelner Standorte oder Anlagen in den Anwendungsbereich des Gesetzes fallen, während andere Unternehmensbereiche unberührt bleiben.

Einordnung im Verhältnis zu NIS2

Das KRITIS-Dachgesetz, dem der Bundesrat noch zustimmen muss, und das bereits am 6. Dezember 2025 in Kraft getretene NIS2-Umsetzungsgesetz ergänzen sich. Sie verfolgen jedoch unterschiedliche Ziele. NIS2 adressiert die Organisation regulierter Einrichtungen als Ganzes und fokussiert auf Cybersicherheit. Das KRITIS-Dachgesetz setzt demgegenüber bei einzelnen Anlagen an. Ziel von NIS2 ist eine belastbare Cyberresilienz der gesamten regulierten Einrichtung. Dazu verpflichtet NIS2 Unternehmen zu einem strukturierten Risikomanagement, klaren Verantwortlichkeiten auf Leitungsebene, definierten Meldeprozessen und Sicherheitsmaßnahmen entlang der Lieferkette.

Das KRITIS-Dachgesetz zielt auf die Aufrechterhaltung des Anlagenbetriebs unter realen Störbedingungen ab. Neben digitalen Angriffen sind insbesondere physische Risiken einzubeziehen, etwa länger andauernde Stromausfälle, der Ausfall externer Versorger, unbefugter Zutritt zu Anlagen oder Naturereignisse. Maßgeblich ist die tatsächliche Betriebsfähigkeit der einzelnen Anlage, nicht allein die IT-Sicherheitslage des Unternehmens.

Auch die Aufsichtsstrukturen unterscheiden sich: Während NIS2 primär durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) beaufsichtigt wird, liegt die Zuständigkeit für das KRITIS-Dachgesetz beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Betreiber, die von beiden Regelwerken erfasst sind, müssen ihre Melde- und Kommunikationsprozesse entsprechend differenziert ausgestalten.

KRITIS-Dachgesetz: Was ist zu tun?

Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen zur Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe. Sie müssen zudem eine jederzeit erreichbare Kontaktstelle benennen. Der Gesetzestext sieht die Registrierung bis zum 17. Juli 2026 vor. Eine der Kernanforderungen des KRITIS-Dachgesetzes sind anlagenspezifische Risikoanalysen, die die Unternehmen durchführen und anschließend regelmäßig aktualisieren müssen. Auf Grundlage dieser Analysen müssen die Anlagenbetreiber Resilienzpläne erstellen, die nach dem Stand der Technik geeignete und verhältnismäßige Maßnahmen vorsehen. Der Prüfungsmaßstab ist dabei anlagen-, nicht unternehmensbezogen.

Die im KRITIS-Dachgesetz vorgesehenen Risiko- und Notfallkonzepte beschränken sich nicht auf IT-Ausfälle. Erfasst werden vielmehr auch Energieversorgung, bauliche Sicherung, Zugangskontrolle, Redundanzstrukturen und Wiederanlaufprozesse. Regulierte Betreiber müssen diese Aspekte für die von ihnen betriebene Anlage bewerten und nachvollziehbar dokumentieren.

Bei erheblichen Störungen der Funktionsfähigkeit sieht das KRITIS-Dachgesetz abgestufte Meldepflichten vor. Anlagenbetreiber müssen dazu entsprechende Prozesse in ihrer Organisation verankern und geeignete Verantwortlichkeiten zuordnen. Spätestens zum Ablauf der vorgesehenen Registrierungsfrist müssen Betreiber Klarheit darüber haben, welche ihrer Anlagen von der Regulierung erfasst sind, wie bestehende Risikoanalysen gegebenenfalls angepasst werden müssen und ob vorhandene Business-Continuity-Strukturen den neuen gesetzlichen Anforderungen entsprechen. Die Umsetzung der neuen Vorgaben setzt insoweit auch eine enge Zusammenarbeit zwischen IT-Sicherheit, Betrieb, Gebäudemanagement und Krisenmanagement voraus.

Wo die Praxis nachjustieren muss

In der Praxis zeigt sich der Unterschied zu NIS2 in der bestehenden Organisation des betroffenen Unternehmens. Viele vom KRITIS-Dachgesetz regulierte Betreiber verfügen bereits über ein Informationssicherheitsmanagementsystem. Dieses bildet Cyberrisiken im Idealfall strukturiert ab, erfasst dabei jedoch häufig nicht auch die physische Resilienz einzelner Anlagen.

Das KRITIS-Dachgesetz zwingt nun dazu, die Perspektive zu erweitern. Denn die erforderlichen Risikoanalysen müssen jetzt anlagenspezifisch erfolgen. Es rücken also Fragen in den Fokus, die derzeit häufig außerhalb der IT-Sicherheitsorganisation des Unternehmens verortet sind. Für betroffene Betreiber kann dies auch bedeuten, dass sie die internen Zuständigkeiten nachjustieren müssen. Die Resilienz einer Anlage lässt sich weder allein technisch noch isoliert organisatorisch abbilden, sondern setzt eine abgestimmte und verzahnte Betrachtung von IT-Sicherheit, Betrieb und physischer Infrastruktur voraus.

KRITIS-Dachgesetz fordert ganzheitliche Sicherheit

Warum IT-Sicherheit nicht mehr genügt und physische Sicherheit Pflicht wird

Fazit

Das KRITIS-Dachgesetz ergänzt die NIS2-Umsetzung um eine anlagenbezogene Resilienzperspektive. Für Betreiber kritischer Infrastrukturen erweitert sich der bestehende Sicherheits- und Governance-Rahmen. Eine ganzheitliche Umsetzung erfordert eine strukturierte Verzahnung beider Regelwerke unter Berücksichtigung ihrer unterschiedlichen Ansatzpunkte.

Über den Autor

Der Autor, Dr. Daniel Meßmer, ist Rechtsanwalt und Fachanwalt für IT-Recht. Er leitet den Fachbereich IT & Digital Business bei der unabhängigen Rechtsanwaltskanzlei SKW Schwarz.

(ID:50714051)