KRITIS-Dachgesetz: Was Unternehmen jetzt für die Umsetzung wissen müssen
Das KRITIS-Dachgesetz (KRITIS-DachG) schafft in Deutschland einen Rahmen, um kritische Infrastrukturen und kritische Anlagen widerstandsfähiger gegen Ausfälle, Angriffe und Krisen zu machen. Der Schwerpunkt liegt auf Resilienz, Business Continuity Management (BCM), Krisenorganisation und physischem Schutz – nicht nur auf Informationstechnik.
- Relevanz: Betreiber kritischer Anlagen in definierten Sektoren müssen Risiken bewerten und Resilienzmaßnahmen nachweisbar umsetzen.
- Pflichten: Risikoanalyse/Risikobewertung, Resilienzpläne, Meldepflicht für Sicherheitsvorfälle, Krisenmanagement und physische Sicherheit.
- Praxisnutzen: Wer sauber dokumentiert und Prozesse testet, senkt Ausfallrisiken, reduziert Folgekosten und wird audit- und meldefähig.
- Umsetzung: Mit einer Roadmap aus Scope, Risikoanalyse, Maßnahmenplan, Tests/Übungen und Nachweisführung.
Am Ende zählt, dass im Ereignisfall Entscheidungen, Kommunikation und Wiederanlauf funktionieren – und nicht, dass irgendwo ein PDF abgelegt ist.
Du sorgst dafür, dass M365 läuft. Wir sorgen dafür, dass niemand unbemerkt eindringt, heimlich mitliest und Schaden anrichtet.
Definition
Das KRITIS-Dachgesetz (KRITIS-DachG) ist ein deutscher Rechtsrahmen zur Stärkung der Resilienz kritischer Infrastrukturen und kritischer Anlagen. Es verpflichtet Betreiber zu Risikoanalyse, Resilienzmaßnahmen, Meldewegen und Krisenmanagement und ist kein reines IT- oder Informationstechnik-Gesetz.
Einleitung
Wenn du als Betreiber kritischer Anlagen eingestuft wirst, wird das KRITIS-Dachgesetz sehr schnell operativ: Zuständigkeiten, Meldewege, Nachweise, Übungen und physische Schutzmaßnahmen müssen funktionieren. Der wichtigste Perspektivwechsel ist: Es geht nicht um „Compliance als Dokument“, sondern um belastbare Abläufe im Ernstfall.
Geltungsbereich: Wer betroffen ist
Betroffen sind Betreiber kritischer Anlagen in Deutschland, die in bestimmten Sektoren tätig sind und definierte Kriterien bzw. Schwellenwerte erfüllen. Typisch genannt werden unter anderem Sektor Energie, Sektor Transport und Verkehr, Sektor Gesundheitswesen, Sektor Finanz- und Versicherungswesen, Sektor Ernährung (Lebensmittelversorgung) sowie Sektor Informationstechnik und Telekommunikation; je nach Ausgestaltung können auch Trinkwasser/Abwasser und Sektor Öffentliche Verwaltung relevant sein.
Praktisch heißt das: Erst die Abgrenzung der „kritischen Einrichtungen“ und „kritischen Anlagen“ klären (Scope), dann die Pflichten daran ausrichten. Das spart Zeit und verhindert, dass du Maßnahmen am falschen Ort übererfüllst.
Kernpflichten: Was Betreiber nachweisbar können müssen
Im KRITIS-Dachgesetz stehen Resilienz und ein All-Gefahren-Ansatz im Vordergrund: Ausfälle, Sabotage, Naturereignisse, Lieferkettenstörungen und hybride Lagen. Typische Pflichtbausteine sind Risikoanalyse/Risikobewertung, Resilienzplan/Resilienzpläne, Krisenmanagement, BCM sowie physische Sicherheit (Objektschutz, Zutritt, Schutz vor Manipulation).
Risikoanalyse / Risikobewertung: Risiken strukturiert erfassen, priorisieren und regelmäßig aktualisieren.
Meldepflicht für Sicherheitsvorfälle: Vorfälle sauber klassifizieren, schnell melden und später nachvollziehbar nachberichten.
Resilienz & BCM: Rollen, Notfallteams, Wiederanlauf, Kommunikationswege und Übungen als Betriebsstandard.
Der Nutzen ist direkt messbar: weniger ungeplante Stillstände, schnellere Entscheidung im Incident, geringere Folgekosten (Produktionsausfall, Vertragsstrafen, Reputationsschaden) und weniger Chaos bei Audits und Vor-Ort-Kontrollen.
Umsetzungslage und Fristen: Was du jetzt einplanen solltest
Die Umsetzung hängt an Gesetzgebungsverfahren, Ausführungsregeln und zuständigen Behörden. Im Kontext der europäischen CER-Richtlinie (EU 2022/2557) werden häufig zentrale Meilensteine genannt, darunter Inkrafttreten und nachgelagerte Umsetzungsfristen für Maßnahmen.
Für die Planung im Unternehmen ist weniger das Datum entscheidend als der Vorlauf: Scope klären, Verantwortlichkeiten festziehen, Risikoanalyse durchführen, Maßnahmen priorisieren, Tests/Übungen planen und Nachweise erstellen. Wer damit erst kurz vor einem Stichtag beginnt, bezahlt typischerweise mit Parallelstress und teuren Ad-hoc-Projekten.
Roadmap: Konkrete Umsetzungsschritte im Unternehmen
Eine funktionierende Roadmap ist kurz, prüfbar und wiederholbar. Ziel ist, dass du jederzeit zeigen kannst, was kritisch ist, wer entscheidet und wie der Betrieb weitergeht.
1) Scope & Betreiberrolle klären: Kritische Anlagen/Einrichtungen, Abhängigkeiten, Dienstleister, Schnittstellen zur Verwaltung und zur Bundesverwaltung dokumentieren.
2) Risikoanalyse und Maßnahmenplan: Risiken nach Eintritt/Wirkung priorisieren, Maßnahmen in „sofort / 90 Tage / 12 Monate“ staffeln, Nachweise definieren.
3) Betrieb verankern: Krisenorganisation, Meldeverfahren, Übungen, Lessons Learned, regelmäßige Aktualisierung (z. B. zyklische Risikobewertung).
Mini-Story aus der Praxis: Ein Betreiber hatte BCM-Dokumente, aber keine getesteten Meldewege. Im ersten sicherheitsrelevanten Vorfall dauerte es Stunden, bis klar war, wer melden darf und welche Informationen nötig sind. Nach einem einfachen Melde-Runbook und zwei Übungen war der Prozess stabil, schneller und für Geschäftsführung und Prüfer nachvollziehbar.
Verhältnis zu CER-Richtlinie, NIS-2 und weiterer Regulierung
Das KRITIS-Dachgesetz steht in enger Beziehung zur CER-Richtlinie (EU 2022/2557) und ergänzt die digitale Perspektive der NIS‑2‑Richtlinie / NIS-2. Vereinfacht: CER/KRITIS-DachG fokussiert stärker die physische Resilienz und Betriebsfähigkeit, NIS-2 stärker die Sicherheit der Informationstechnik und organisatorische Cyber-Pflichten; zusammen ergibt sich ein End-to-End-Nachweis über „Betrieb bleibt handlungsfähig“.
Wichtig für die Umsetzung: Doppelarbeit vermeiden, indem du eine gemeinsame Nachweislogik nutzt (Risiken → Kontrollen → Tests → Nachweise). Wo weitere Vorgaben gelten (z. B. DORA im Finanzumfeld), solltest du die Kontrollen so mappen, dass ein Audit-Artefakt mehrere Anforderungen bedient.
Checkliste, Download-Materialien und Ressourcen
Checkliste (kompakt)
Scope der kritischen Anlagen, Betreiberrolle, Ansprechpartner, Notfallteams und Vertretungen festgelegt
Risikoanalyse/Risikobewertung, Resilienzplan, BCM- und Krisenprozesse inklusive Übungen dokumentiert
Meldepflicht für Sicherheitsvorfälle: Kriterien, Ablauf, Kommunikationsplan, Protokollierung und Nachweisführung
Download-Ideen (für euer internes Projekt)
Template: Risikoanalyse & Maßnahmenpriorisierung (All-Gefahren-Ansatz)
Template: Resilienzplan/BCM-Runbook inkl. Rollen, Eskalation, Wiederanlauf
Template: Melde-Runbook inkl. Erstmeldung, Nachbericht, Lagebild-Rückkanal
Weiterführende Informationen
Für Orientierung und Terminologie sind insbesondere das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Bundesministerium des Innern (BMI) sowie das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) relevant. Zusätzlich liefern DIHK und Branchenverbände oft praxisnahe Übersichten für betroffene Betreiber.
Wann externe Unterstützung sinnvoll wird
Externe Unterstützung lohnt sich, wenn der Engpass nicht „Wissen“, sondern „Betriebsfähigkeit“ ist: zu wenig Zeit, zu viele Stakeholder, unklare Zuständigkeiten, oder fehlende Messbarkeit. Gute Hilfe liefert dann keine Folien, sondern eine umsetzbare Roadmap, getestete Prozesse und belastbare Nachweise – inklusive Blick auf Bußgelder und Sanktionen als echtes Geschäftsrisiko.
Wenn die digitale Nachweisführung Teil deines Projekts ist, hilft eine zentrale Protokollierung (SIEM) wie Microsoft Sentinel: weniger manuelle Suche, schnellere Einordnung von Vorfällen und bessere Dokumentation für interne Revision und Behörden – das senkt Aufwand im Betrieb und reduziert das Risiko teurer Eskalationen.
Fazit
Das KRITIS-Dachgesetz macht Resilienz für Betreiber kritischer Anlagen zu einer Pflicht mit Nachweischarakter. Wer Scope, Risikoanalyse, Resilienzplan, Meldeverfahren und Übungen früh strukturiert aufsetzt, reduziert Ausfallrisiken und schafft Klarheit für Geschäftsführung, Betrieb und Prüfer.
Häufige Fragen
Ist das KRITIS-Dachgesetz nur ein IT- oder Informationstechnik-Thema?
Nein. Informationstechnik spielt eine Rolle, aber der Fokus liegt auf Resilienz kritischer Infrastrukturen insgesamt: physischer Schutz, BCM, Krisenmanagement, Meldeprozesse und Betriebsfähigkeit im All-Gefahren-Ansatz.
Wie finde ich heraus, ob wir betroffen sind?
Starte mit einer Scope-Prüfung: Welche Anlagen/Einrichtungen sind kritisch, welcher Sektor gilt (z. B. Energie, Transport und Verkehr, Gesundheitswesen) und ob Schwellenwerte/Kriterien erfüllt sind. Danach lohnt sich eine kurze Gap-Analyse, damit du Aufwand und Prioritäten realistisch planen kannst.
Was sind typische Fehler in der Umsetzung?
Häufig sind es drei Dinge: zu breiter Scope (alles ist KRITIS), fehlende Verantwortlichkeit (niemand „besitzt“ den Prozess) und ungeübte Melde- und Krisenabläufe. Dokumente ohne Tests helfen im Vorfall kaum.
Wie kann ich den Erfolg messbar machen, ohne ein Riesenprojekt zu starten?
Definiere wenige, harte Kennzahlen: Zeit bis zur Entscheidung im Incident, Zeit bis zur Erstmeldung, Zeit bis zum Wiederanlauf kritischer Prozesse und Erfüllungsgrad der priorisierten Maßnahmen. Ergänze das durch regelmäßige Übungen und einen Nachweisordner, der Audit-Fragen direkt beantwortet.
