KRITIS-Dachgesetz: Wenn Resilienz zur CISO-Pflicht wird
Seit dem 17. März 2026 ist das KRITIS-Dachgesetz in Kraft. Erstmals gelten bundeseinheitliche Mindeststandards für den physischen Schutz kritischer Anlagen, parallel zum Cyberregime des BSI-Gesetzes. Für CISOs bedeutet das eine Verschiebung: Resilienz lässt sich nicht mehr in eine IT-Spalte und eine Gebäude-Spalte aufteilen.
Das Wichtigste in Kürze
- Neuer Rechtsrahmen seit März 2026: Das KRITIS-Dachgesetz setzt die EU-Richtlinie 2022/2557 (CER) um und verpflichtet Betreiber in zehn Sektoren zu physischer Resilienz, von der Risikoanalyse bis zur Vorfallmeldung.
- Zwei Säulen, ein Risikomodell: Cybersicherheit nach dem BSI-Gesetz und physischer Schutz nach dem Dachgesetz greifen ineinander. Wer beides getrennt steuert, übersieht die Angriffe, die genau an der Naht ansetzen.
- Die Schwelle ist umstritten: Der Regelschwellenwert von 500.000 versorgten Einwohnern je Anlage gilt vielen Ländern als zu hoch. Wer knapp darunter liegt, prüft die eigene Kritikalität trotzdem, denn sie kann auch unabhängig vom Schwellenwert festgestellt werden.
Verwandt:Zero Trust beim Energieversorger / DORA und NIS2 im Doppel-Audit
Was das KRITIS-Dachgesetz von Betreibern verlangt
Was ist das KRITIS-Dachgesetz? Das KRITIS-Dachgesetz ist der erste bundeseinheitliche Rechtsrahmen für den physischen Schutz kritischer Infrastrukturen in Deutschland. Es setzt die europäische CER-Richtlinie 2022/2557 um und verpflichtet Betreiber in zehn Sektoren, darunter Energie, Wasser, Gesundheit, Lebensmittelversorgung und Verkehr, zu einheitlichen Mindeststandards für die Widerstandsfähigkeit ihrer Anlagen.
Konkret heißt das: Betroffene Betreiber müssen sich bei der zuständigen Behörde registrieren, regelmäßig eine Risikoanalyse und eine Risikobewertung vornehmen, technische und organisatorische Resilienzmaßnahmen umsetzen und erhebliche Störungen melden. Die genaue Ausgestaltung einzelner Verfahren wird über nachgelagerte Rechtsverordnungen konkretisiert. Maßgeblich für die Einstufung ist ein Regelschwellenwert von 500.000 versorgten Einwohnern je Anlage. Die Kritikalität kann allerdings auch unterhalb dieser Schwelle festgestellt werden, wenn der Ausfall eine kritische Dienstleistung gefährden würde.
Der parlamentarische Weg war kurz und dicht. Der Bundestag beschloss das Gesetz am 29. Januar 2026, der Bundesrat stimmte am 6. März zu, die Verkündung im Bundesgesetzblatt folgte am 16. März. Betreiber haben damit weniger Vorlauf, als die mehrjährige Diskussion vermuten ließ.
Zwei Säulen, die zusammengehören
Für Sicherheitsverantwortliche ist die eigentliche Neuerung nicht das physische Regelwerk an sich, sondern seine Kopplung an das bestehende Cyberregime. Deutschland baut als großes EU-Land beide Säulen parallel aus. Beide zielen auf dieselbe Anlage.
| Dimension | BSI-Gesetz (Cyber) | KRITIS-Dachgesetz (physisch) |
|---|---|---|
| Schutzgut | IT-Systeme und Netze | Gebäude, Anlagen und Betrieb |
| EU-Grundlage | NIS2-Richtlinie | CER-Richtlinie 2022/2557 |
| Kernpflicht | Cyber-Risikomanagement, Meldepflicht | Physische Resilienz, Risikoanalyse, Meldepflicht |
| Typische Federführung | BSI | BBK |
Ein Angreifer, der ein Umspannwerk lahmlegen will, fragt nicht, ob die Schwachstelle in der Firewall oder im Türschloss sitzt. Genau deshalb verlangt das neue Recht ein gemeinsames Lagebild. Die Risikoanalyse nach dem Dachgesetz und das Risikomanagement nach dem BSI-Gesetz sollten auf dieselbe Bedrohungsmodellierung zugreifen, statt in zwei Abteilungen getrennt geführt zu werden.
Wo das Gesetz angreifbar bleibt
Das Regelwerk verdient auch einen kritischen Blick. Der Schwellenwert von 500.000 versorgten Einwohnern stand im Verfahren in der Kritik, weil er die Einstufung kleinerer, aber regional unverzichtbarer Versorger im Unklaren lässt. Mehrere Länder hielten ihn für zu hoch. Da die Kritikalität auch unterhalb der Regelschwelle festgestellt werden kann, entsteht für manche kleinere Versorger eine Grauzone, in der sie ihre eigene Betroffenheit belastbar einschätzen und dokumentieren müssen.
Hinzu kommt die Frage der Zuständigkeit. Fachbeobachter und Stimmen aus dem parlamentarischen Verfahren bemängeln, dass die Aufgabenteilung zwischen BBK für den physischen Schutz, BSI für die Cybersicherheit und dem Bundesinnenministerium nicht überall trennscharf geregelt ist. Für Betreiber heißt das, sie sollten früh klären, welche Behörde im Vorfall ihr Ansprechpartner ist.
Was Sicherheitsverantwortliche in den nächsten 90 Tagen angehen
Aus der Logik des Gesetzes ergibt sich ein knapper Startpunkt, der ohne großes Budget auskommt und die richtigen Weichen stellt.
Dieser Zuschnitt hält den Aufwand beherrschbar und macht aus der Pflicht einen belastbaren Plan. Wer die beiden Regime jetzt verzahnt, hat beim ersten gemeldeten Vorfall einen klaren Meldeweg und ein gemeinsames Lagebild.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Was ist der Unterschied zwischen NIS2 und dem KRITIS-Dachgesetz?
NIS2 und seine deutsche Umsetzung im BSI-Gesetz regeln die Cybersicherheit kritischer Einrichtungen. Das KRITIS-Dachgesetz setzt die CER-Richtlinie um und regelt den physischen Schutz und die allgemeine Resilienz derselben Anlagen. Beide gelten parallel und greifen bei vielen Betreibern ineinander.
Seit wann gilt das KRITIS-Dachgesetz?
Das Gesetz wurde am 16. März 2026 im Bundesgesetzblatt verkündet und trat am 17. März 2026 in Kraft. Der Bundestag hatte es am 29. Januar 2026 beschlossen, der Bundesrat stimmte am 6. März 2026 zu.
Welche Sektoren sind betroffen?
Das Gesetz erfasst zehn Sektoren mit kritischen Infrastrukturen, darunter Energie, Wasser, Gesundheit, Lebensmittelversorgung, Transport und Verkehr. Maßgeblich ist, ob eine Anlage eine kritische Dienstleistung für die Versorgung der Bevölkerung erbringt.
Was bedeutet der Schwellenwert von 500.000 Einwohnern?
Als Regelschwelle gilt, dass eine Anlage rechnerisch mindestens 500.000 Menschen versorgt. Anlagen darüber fallen in der Regel unter das Gesetz. Die Kritikalität kann jedoch auch unterhalb dieser Schwelle festgestellt werden, weshalb auch kleinere Betreiber ihre Einstufung prüfen sollten.
Wer ist für die Umsetzung zuständig?
Für den physischen Schutz ist in der Regel das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe federführend, für die Cybersicherheit das BSI. Die genaue Abgrenzung zwischen den Behörden ist in der Fachöffentlichkeit umstritten, weshalb Betreiber ihren konkreten Ansprechpartner frühzeitig klären sollten.
Welche Strafen drohen bei Verstößen?
Das Gesetz sieht Bußgelder für Pflichtverletzungen vor, etwa bei fehlender Registrierung oder unterlassener Meldung. Die konkrete Höhe hängt vom Einzelfall und der Art des Verstoßes ab, weshalb Betreiber die Nachweispflichten von Anfang an ernst nehmen sollten.
Lesetipps der Redaktion
LesetippDer Notfallplan, den niemand geprobt hatLesetippRSA Conference 2026: PQC-Migration zwingt CISOs zur KehrtwendeLesetippOracle PeopleSoft: aktiv ausgenutzte Lücke, CISA warnt
Mehr aus dem MBF Media Netzwerk
cloudmagazinCADA: Wann Cloud-Souveränität zur Beschaffungspflicht wirdMyBusinessFutureSchatten-KI im Mittelstand: Was die heimliche Nutzung verrätDigital ChiefsSmart Factory: Warum Edge am Prozess hängt
