Der schwächste Zulieferer öffnet die kritische Anlage
Ein Wartungstechniker mit Werksausweis und Fernzugang ist für ein Umspannwerk oder eine Kläranlage kein Gast. Er ist Teil der Angriffsfläche. Seit dem 17. März 2026 macht das KRITIS-Dachgesetz diese Sicht zur Pflicht: Wer eine kritische Anlage betreibt, verantwortet die Zuverlässigkeit seiner Zulieferer wie die eigene.
Das Wichtigste in Kürze
- Neuer Rahmen für die physische Seite. Das KRITIS-Dachgesetz setzt die EU-CER-Richtlinie um und regelt erstmals bundeseinheitlich die Resilienz kritischer Anlagen. Es ergänzt die IT-Pflichten aus NIS2, ohne sie zu ersetzen.
- Der Zulieferer steht im Geltungsbereich. Lieferanten und Servicetechniker mit physischem oder digitalem Zugang unterliegen denselben Integritäts- und Zuverlässigkeitsanforderungen wie eigene Mitarbeitende.
- Die Frist beginnt im Juli. Ab dem 17. Juli 2026 registrieren sich Betreiber auf der gemeinsamen Plattform von BBK und BSI, spätestens drei Monate nach ihrer Einstufung als kritische Anlage.
- Steuerung statt Momentaufnahme. Eine einmalige Lieferantenprüfung schließt den Vektor nicht. Zutritt, Zugriff, Verträge und Wiederanlauf müssen die Lieferkette dauerhaft einschließen.
Verwandt: Der Cyber Resilience Act trifft auch Ihren Bestand · Fünf Kennzahlen, die der Aufsichtsrat wirklich versteht
Was das Dachgesetz an der Lieferkette verändert
Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Das Kabinett hatte es am 29. Januar beschlossen, der Bundesrat stimmte zu. Rechtlich setzt es die EU-Richtlinie 2022/2557 über die Resilienz kritischer Einrichtungen um, kurz CER-Richtlinie. Damit entsteht zum ersten Mal ein bundeseinheitlicher, sektorübergreifender Rahmen für den physischen Schutz und die Widerstandsfähigkeit kritischer Anlagen.
Wichtig für die Einordnung: Das Gesetz ist die physische Ergänzung zur IT-Seite, die NIS2 und das BSIG abdecken. Rund 1.300 Betreiber fallen nach der CER-Logik in den Geltungsbereich. Sie müssen künftig Meldepflichten erfüllen, ein Business Continuity Management vorhalten, physische Sicherheit und Personalzuverlässigkeit nachweisen und ein belastbares Krisenmanagement betreiben. Die Lieferkette ist in jedem dieser Felder mitgemeint, nicht als Anhang, sondern als Teil der Anlage.
Die CER-Richtlinie denkt Resilienz bewusst breit. Sie meint nicht nur den Cyberangriff, sondern den Ausfall an sich: durch Sabotage, durch ein Naturereignis, durch den Wegfall eines Vorlieferanten oder durch eine Kombination daraus. An dieser Stelle trifft die physische Welt auf die digitale. Ein manipulierter Fernwartungszugang ist ein Cybervorfall mit physischer Wirkung, ein durchtrenntes Kabel ein physischer Vorfall mit digitaler Wirkung. Der Betreiber muss beide Ketten kennen. Beide führen früher oder später zu einem Zulieferer.
Start der Registrierung auf der Plattform von BBK und BSI (2026)
Betreiber im Geltungsbereich der CER-Umsetzung
Frist zur Registrierung nach der Einstufung als kritische Anlage
Der Zulieferer steht plötzlich im Geltungsbereich
Der Satz, der die Beschaffung von der Sicherheit trennt, fällt mit dem Dachgesetz weg. Lieferanten und Servicetechniker mit physischem oder digitalem Zugang zu einer kritischen Anlage unterliegen denselben Integritäts- und Zuverlässigkeitsanforderungen wie interne Beschäftigte. Der Fernwartungszugang eines Herstellers, der Techniker im Leitstand, der Cloud-Dienst hinter dem Prozessleitsystem: alle drei sind aus Anlagensicht Innentäter-nah, nicht extern.
Für Betreiber verschiebt das eine Zuständigkeit. Bisher war der Dienstleister ein Einkaufsthema mit einem Rahmenvertrag. Jetzt ist er ein Sicherheitsthema mit Zutrittssteuerung, Zugriffsrechten, Hintergrundprüfung und einem klaren Bild davon, wer wann in welchem System war. Wer diese Verantwortung an den Lieferanten delegiert und dort belässt, hat sie nicht erfüllt.
Definition · Kritische Anlage
Eine Einrichtung, deren Ausfall die Versorgung der Bevölkerung erheblich stören würde, etwa in Energie, Wasser, Gesundheit oder Verkehr. Das Dachgesetz macht ihre Resilienz zur Betreiberpflicht und zieht ihre Zulieferer in dieselbe Pflicht.
Warum eine Audit-Liste den Vektor nicht schließt
Ein Lieferant kann einmal geprüft, freigegeben und abgehakt sein und die Anlage trotzdem offen lassen. Der Fernwartungskanal bleibt bestehen, der Laptop des Technikers wandert von Kunde zu Kunde, der Sub-Dienstleister taucht im Vertrag gar nicht auf. Eine Momentaufnahme im Beschaffungsprozess erfasst keinen dieser Zustände. Sie erzeugt ein gutes Gefühl und einen Haken in der Tabelle.
Resilienz entsteht erst, wenn der Zugang dauerhaft verwaltet wird. Least Privilege für Externe, zeitlich befristete Zugänge, protokollierte Fernwartung und eine Meldekette, die auch dann greift, wenn der Vorfall beim Dienstleister beginnt. Das ist kein einmaliges Projekt. Es ist ein Betriebsmodus.
Und der Kanal endet beim direkten Lieferanten nicht. Dessen eigener Cloud-Anbieter, dessen Fernwartungsplattform, dessen Subunternehmer verlängern die Kette um Glieder, die im Vertrag oft gar nicht auftauchen. Wer nur den Vertragspartner prüft, sieht das Risiko eine Ebene zu früh enden. Für kritische Anlagen ist gerade diese verdeckte Tiefe der Lieferkette der Punkt, an dem Zuverlässigkeit auf dem Papier und Zuverlässigkeit im Betrieb auseinanderlaufen.
Die Verantwortung bleibt oben
Das Dachgesetz adressiert die Betreiber, nicht ihre Dienstleister. Diese Richtung ist Absicht. Die Verantwortung für die Resilienz einer kritischen Anlage liegt bei ihrer Leitung und lässt sich nicht per Vertrag abwälzen. Ein Betreiber kann Leistungen einkaufen. Die Haftung für ihre Sicherheit kauft er nicht mit.
Für die Geschäftsleitung bedeutet das eine Nachweispflicht. Sie muss belegen können, dass die Zulieferer-Risiken erfasst, bewertet und gesteuert werden. Ein Register, das diese Prüfung dokumentiert, ist im Ernstfall der Unterschied zwischen nachgewiesener Sorgfalt und einem offenen Vorwurf. Die Aufsicht wird nicht fragen, ob ein Dienstleister versagt hat. Sie wird fragen, ob der Betreiber ihn im Griff hatte.
Was Betreiber jetzt in der Lieferkette regeln
Der erste Schritt ist unspektakulär: eine ehrliche Karte, wer von außen physischen oder digitalen Zugang zur Anlage hat. Daraus ergeben sich fünf Stellhebel, die das Gesetz einfordert.
- Zugang kartieren. Jeder Externe mit Zutritt oder Systemzugriff gehört in ein aktuelles Verzeichnis, inklusive Sub-Dienstleister.
- Pflichten vertraglich weitergeben. Zuverlässigkeit, Meldewege und Prüfrechte gehören in den Vertrag, nicht in eine Absichtserklärung.
- Zutritt und Zugriff steuern. Befristete Rechte, Hintergrundprüfung für sicherheitsrelevante Rollen, protokollierte Fernwartung.
- Wiederanlauf einschließen. Notfall- und BCM-Pläne müssen den Ausfall eines Zulieferers durchspielen, nicht nur den eigenen.
- Meldeketten schließen. Die Frist von 72 Stunden an das BSI läuft auch, wenn ein Vorfall über einen Dienstleister hereinkommt.
Die Frist ist keine Formalie.
Die drei Monate klingen nach Puffer. In der Praxis vergeht die Zeit mit dem, was vorher fehlt: einem vollständigen Bild der eigenen Zulieferer. Wer diese Karte heute nicht hat, sollte sie vor der Frist zeichnen, nicht danach.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Was regelt das KRITIS-Dachgesetz?
Es setzt die EU-CER-Richtlinie um und schafft einen bundeseinheitlichen Rahmen für die physische Resilienz kritischer Anlagen: Meldepflichten, Business Continuity Management, physische Sicherheit, Personalzuverlässigkeit und Krisenmanagement. Die IT-Pflichten aus NIS2 bleiben davon unberührt.
Ab wann müssen sich Betreiber registrieren?
Die Registrierung auf der gemeinsamen Plattform von BBK und BSI ist ab dem 17. Juli 2026 möglich. Verpflichtend wird sie spätestens drei Monate nach der Einstufung als kritische Anlage.
Fallen Zulieferer wirklich unter dieselben Anforderungen?
Lieferanten und Servicetechniker mit physischem oder digitalem Zugang zur Anlage unterliegen denselben Integritäts- und Zuverlässigkeitsanforderungen wie interne Beschäftigte. Der Betreiber bleibt dafür verantwortlich, auch wenn er die Leistung eingekauft hat.
Wie verhält sich das Dachgesetz zu NIS2?
NIS2 und das BSIG decken die IT-Sicherheit ab, das Dachgesetz die physische Seite und die organisatorische Resilienz. Für viele Betreiber greifen beide Regime parallel. Sie sollten als ein Governance-System gedacht werden, nicht als zwei getrennte Projekte.
Was ist der erste konkrete Schritt?
Ein vollständiges Verzeichnis aller Externen mit Zugang zur Anlage, inklusive Sub-Dienstleister. Ohne diese Karte lassen sich weder Verträge nachschärfen noch Zutritt und Zugriff sauber steuern.
Lesetipps der Redaktion
LesetippLieferkettenrisiko ist ein Programm, keine Audit-ListeLesetippWas die Geschäftsführung unter NIS2 dokumentieren mussLesetippWelche Entscheidungsrechte des CISO schriftlich geregelt sein müssen
Mehr aus dem MBF Media Netzwerk
Digital ChiefsGeopolitik trifft die Datacenter-Roadmap: Was CIOs jetzt absichernMyBusinessFutureEU AI Act: Was der Mittelstand kennzeichnen musscloudmagazinXFS4IoT trifft Cloud: Der Geldautomat wird Plattform
Bildquelle: KI-generiert (Juli 2026), C2PA-Zertifikat im Bild hinterlegt
