Das KRITIS-Dachgesetz: wenn physischer Schutz auf Cybersicherheit trifft

Problem

Wenn von kritischer Infrastruktur (KRITIS - Einrichtungen, deren Ausfall die Versorgung der Bevölkerung gefährdet, etwa Strom, Wasser, Gesundheit) und Sicherheit die Rede ist, denken die meisten zuerst an Hackerangriffe. Verschlüsselungstrojaner, Datenlecks, Ausfälle durch Cyberattacken - das ist das Bild im Kopf. Die gesamte öffentliche Aufmerksamkeit der letzten Jahre lag auf der digitalen Seite.

Aber ein Umspannwerk fällt nicht nur aus, wenn jemand die Steuerungssoftware kapert. Es fällt auch aus, wenn jemand über den Zaun klettert und ein Kabel durchtrennt, wenn ein Hochwasser die Anlage flutet, wenn ein Brand die Technik zerstört oder wenn eine Schlüsselperson ausfällt und niemand sonst die Anlage bedienen kann. Diese physischen Gefahren waren in Deutschland lange nicht annähernd so streng und einheitlich reguliert wie die Cyber-Gefahren.

Genau diese Lücke schließt das KRITIS-Dachgesetz. Und das führt zu einer praktischen Frage, die viele Unternehmen derzeit umtreibt: Wir haben doch schon einiges für NIS-2 (die EU-Richtlinie zur Cybersicherheit) getan - reicht das nicht? Die kurze Antwort lautet: nein, denn hier geht es um etwas anderes.

Für wen ist das? Für Betreiber kritischer Infrastruktur und ihre Sicherheitsverantwortlichen.

Kurze Antwort

Das KRITIS-Dachgesetz ist die geplante deutsche Umsetzung der europäischen CER-Richtlinie (Critical Entities Resilience, Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen). Es verpflichtet als kritisch eingestufte Einrichtungen erstmals umfassend und verbindlich zum physischen Schutz - parallel zur Cyber-Seite, die NIS-2 abdeckt.

• Es regelt physische und organisatorische Resilienz: Zutrittsschutz, Sabotage, Naturgefahren, technischer Ausfall, Personalrisiken.
• Kern ist der All-Gefahren-Ansatz: betrachtet wird das gesamte Spektrum möglicher Störungen, nicht nur Cyber.
• Es steht neben dem NIS2UmsuCG (dem Gesetz, das NIS-2 in Deutschland umsetzt), ersetzt es aber nicht; viele große Betreiber fallen unter beide.
• Kernpflichten: Registrierung, Risikobewertung, Resilienzplan, Meldungen erheblicher Vorfälle, ggf. Personenüberprüfungen.
• Stand der Gesetzgebung schwankt - kein konkretes Datum hier; vor Planungen direkt bei den zuständigen Stellen prüfen.

Tiefgang

Der All-Gefahren-Ansatz - der eigentliche Paradigmenwechsel

Der englische Fachbegriff lautet "all-hazards approach". Gemeint ist: Eine kritische Einrichtung soll nicht einzelne Bedrohungen isoliert abarbeiten, sondern ihre Widerstandsfähigkeit (Resilienz) gegen das gesamte Spektrum möglicher Störungen betrachten. Dazu gehören unter anderem:

• Vorsätzliche menschliche Handlungen - Sabotage, Anschläge, Einbruch, Diebstahl, auch Bedrohungen durch Innentäter.
• Naturgefahren - Hochwasser, Sturm, extreme Hitze, Erdbeben, zunehmend auch Folgen des Klimawandels.
• Technisches und menschliches Versagen - Ausfall zentraler Komponenten, Bedienfehler, Wegfall von Zulieferern.
• Abhängigkeiten - etwa von Strom, Telekommunikation oder einzelnen Schlüsselpersonen.

Der Perspektivwechsel: Es zählt nicht nur, einen Angriff abzuwehren, sondern den Betrieb auch dann möglichst aufrechtzuerhalten oder schnell wiederherzustellen, wenn etwas passiert ist. Resilienz heißt also nicht nur "Mauer hochziehen", sondern auch "weiterlaufen können, wenn die Mauer fällt".

Wer ist betroffen - Sektoren und Schwellenwerte

Die CER-Richtlinie benennt Sektoren, in denen kritische Einrichtungen identifiziert werden. Dazu zählen unter anderem Energie, Verkehr, Bankwesen und Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie - im Vergleich zu früheren KRITIS-Regelungen ausgeweitet - die Produktion, Verarbeitung und Verteilung von Lebensmitteln.

Ob ein einzelnes Unternehmen tatsächlich als kritische Einrichtung gilt, hängt von zwei Dingen ab: davon, ob es einen Dienst erbringt, der für die Aufrechterhaltung gesellschaftlich wichtiger Funktionen wesentlich ist, und von Schwellenwerten. Schwellenwerte sind messbare Größen - zum Beispiel wie viele Menschen versorgt werden oder welche Versorgungsmenge erreicht wird -, ab denen eine Einrichtung als so bedeutend gilt, dass die Pflichten greifen. Die genaue Festlegung dieser Schwellen erfolgt in Deutschland über das Gesetz und nachgelagerte Verordnungen. Praktisch bedeutet das: Nicht jeder Betrieb in einem genannten Sektor ist automatisch betroffen, aber die großen Versorger mit hoher Bedeutung für die Allgemeinheit sind es regelmäßig.

Ein Detail, das in der Praxis wichtig ist: Wer als kritische Einrichtung im Sinne der physischen Resilienz-Regulierung gilt, gilt nach der Systematik der EU-Gesetzgebung in der Regel auch als "wesentliche Einrichtung" auf der Cyber-Seite (NIS-2). Die beiden Welten sind also bewusst miteinander verzahnt.

Welche Pflichten kommen

Die zu erwartenden Kernpflichten orientieren sich an der CER-Richtlinie. Im Wesentlichen sind das:

Registrierung und Meldung an den Staat. Betroffene Einrichtungen müssen sich bei der zuständigen Behörde registrieren beziehungsweise werden erfasst. Auf Bundesebene ist hierfür das BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) eine zentrale Stelle - während auf der Cyber-Seite das BSI (Bundesamt für Sicherheit in der Informationstechnik) zuständig ist.

Risikobewertung und Resilienzplan. Jede Einrichtung muss systematisch bewerten, welchen Gefahren sie ausgesetzt ist (Risikobewertung), und daraus konkrete Maßnahmen ableiten. Diese Maßnahmen werden in einem Resilienzplan dokumentiert - einem Konzept, das physische Schutzmaßnahmen, organisatorische Vorkehrungen und Pläne zur Aufrechterhaltung und Wiederherstellung des Betriebs zusammenführt. Dazu gehören typischerweise Zutrittskontrollen, Überwachung, Notstromversorgung, Redundanzen und Notfall- beziehungsweise Wiederanlaufpläne.

Meldepflichten bei Störungen. Erhebliche Vorfälle, die den Betrieb stören oder stören können, müssen an die zuständige Behörde gemeldet werden - auch hier wieder mit Blick auf alle Gefahren, nicht nur Cybervorfälle.

Hintergrundüberprüfungen. Für bestimmte sensible Funktionen können Überprüfungen von Personen vorgesehen sein (im Englischen "background checks"). Damit soll das Risiko durch Innentäter an besonders sensiblen Stellen verringert werden. Wie weit das reicht, ist an rechtliche Voraussetzungen gebunden, weil hier Sicherheitsinteressen und Persönlichkeitsrechte gegeneinander abgewogen werden müssen.

Aufsicht und Sanktionen. Wie bei vergleichbaren Regelwerken ist mit Aufsichtsbefugnissen der Behörden und Bußgeldern bei Verstößen zu rechnen.

Wie KRITIS-Dachgesetz und NIS-2 zusammenspielen

Am einfachsten ist das Bild von zwei Dächern über demselben Gebäude. Das eine Dach (NIS2UmsuCG, aus der NIS-2-Richtlinie) schützt vor digitalen Gefahren: Netzwerksicherheit, Patch-Management, Zugriffskontrolle auf IT-Systeme, Erkennung und Meldung von Cybervorfällen. Das andere Dach (KRITIS-Dachgesetz, aus der CER-Richtlinie) schützt vor physischen und organisatorischen Gefahren.

Diese Dächer überlappen sich bewusst. Beide verlangen Risikomanagement, beide verlangen Meldungen erheblicher Vorfälle, beide verlangen, dass die Leitung Verantwortung übernimmt. Der Unterschied liegt in der Stoßrichtung: Cyber versus physisch und betrieblich. Für Unternehmen, die unter beide fallen, ist die gute Nachricht, dass sich Strukturen teilen lassen - ein gemeinsames Risikomanagement, ein gemeinsamer Meldeprozess, eine gemeinsame Governance können beide Welten bedienen, statt zwei getrennte Silos aufzubauen. Wer das von Anfang an integriert denkt, spart Doppelarbeit.

Mehr zur Cyber-Seite finden Sie in unseren Beiträgen NIS-2 kompakt und NIS-2 operativ umgesetzt.

Abgelehnte Alternativen und Mythen

"Wir haben doch schon NIS-2 gemacht, damit ist das erledigt." Das ist der häufigste Irrtum. NIS-2 deckt die Cyber-Seite ab. Das KRITIS-Dachgesetz adressiert physischen Schutz, Naturgefahren, Sabotage, Ausfall und Personalsicherheit. Ein perfekt abgesichertes Rechenzentrum nützt wenig, wenn die Stromversorgung ungeschützt ist oder die Anlage im Überschwemmungsgebiet steht. Beide Regelwerke ergänzen sich, eines ersetzt das andere nicht.

"Physische Sicherheit ist doch Sache des Werkschutzes, kein Compliance-Thema." Bisher war physischer Schutz weitgehend Sache des einzelnen Betreibers und seiner Hausordnung. Der All-Gefahren-Ansatz hebt das auf eine regulierte, dokumentations- und nachweispflichtige Ebene mit behördlicher Aufsicht. Das ist ein qualitativer Unterschied.

"Das betrifft nur ein paar große Konzerne." Der Kreis der Sektoren wurde gegenüber früheren KRITIS-Regelungen erweitert, unter anderem um den Lebensmittelbereich. Ob ein Unternehmen betroffen ist, entscheidet sich an den Schwellenwerten - und die sollte man prüfen, statt es pauschal zu verneinen.

"Solange das Gesetz nicht final in Kraft ist, muss ich nichts tun." Die zugrunde liegende CER-Richtlinie ist auf europäischer Ebene bereits beschlossen, und die geforderten Maßnahmen - Risikobewertung, Notfallplanung, Zutrittsschutz - sind ohnehin gute Praxis. Der inhaltliche Vorlauf lässt sich unabhängig vom genauen Inkrafttretensdatum nutzen.

Was Sie jetzt tun sollten

• Selbsteinschätzung anstoßen: Prüfen Sie, ob Ihr Unternehmen in einen der CER-Sektoren fällt und ob die Schwellenwerte erreicht werden. Im Zweifel ziehen Sie spezialisierte Beratung hinzu, statt es pauschal zu verneinen.
• Den aktuellen Rechtsstand verlässlich klären: Holen Sie das Inkrafttreten und die finalen Details direkt bei den zuständigen Bundesbehörden ein, nicht aus älteren Quellen.
• Bestandsaufnahme der physischen Risiken: Erfassen Sie systematisch Gefahren wie Zutritt, Naturgefahren, Ausfall zentraler Komponenten und Abhängigkeiten von Schlüsselpersonen.
• Cyber- und physische Compliance gemeinsam denken: Wenn Sie ohnehin unter NIS-2 fallen, planen Sie Risikomanagement, Meldeprozess und Governance so, dass beide Regelwerke davon profitieren.
• Verantwortung in der Leitung verankern: Beide Regelwerke nehmen die Geschäftsleitung in die Pflicht - klären Sie früh, wer das Thema verantwortet.

Wie Dernium hier hilft

Dernium ist kein Betreiber kritischer Infrastruktur und bietet keine Lösung für das KRITIS-Dachgesetz an - dieser Beitrag ist rein einordnend gemeint. Physische Resilienz, Zutrittsschutz und behördliche Resilienzpläne gehören in die Hände der jeweiligen Betreiber und ihrer spezialisierten Berater.

Was sich aus dem Cyber-Teil der Regulierung ableiten lässt - etwa Monitoring (kontinuierliche Überwachung von Systemen) und Härtung (das gezielte Reduzieren von Angriffsflächen) -, behandeln wir in anderen Dernium-Beiträgen sachlich und ohne Verkaufsabsicht. Für das physische Dach verweisen wir bewusst auf die zuständigen Stellen.

Offene Punkte

• Genauer Rechtsstand. Das deutsche Umsetzungsverfahren hat sich verzögert. Den aktuellen Stand, das Inkrafttreten und die finalen Details sollten Sie direkt bei den zuständigen Bundesbehörden prüfen, nicht aus älteren Quellen ableiten.
• Konkrete Schwellenwerte. Die genauen Schwellen je Sektor werden über Gesetz und Verordnungen festgelegt und können sich noch konkretisieren. Eine pauschale Selbsteinschätzung ersetzt die Prüfung im Einzelfall nicht.
• Reichweite der Hintergrundüberprüfungen. Wie weit Personenüberprüfungen gehen dürfen, ist eine rechtlich sensible Abwägung und im Detail noch zu beobachten.
• Keine Rechtsberatung. Dieser Beitrag erklärt Zusammenhänge und ersetzt keine juristische Prüfung des Einzelfalls.

Häufige Fragen

Reicht es nicht, wenn wir NIS-2 schon umgesetzt haben?

Nein. NIS-2 regelt die digitale Seite - Netzwerksicherheit, Zugriffskontrolle, Cybervorfälle. Das KRITIS-Dachgesetz deckt die physische und organisatorische Seite ab: Zutrittsschutz, Naturgefahren, Sabotage, technischer Ausfall und Personalrisiken. Viele große Betreiber fallen unter beide Regelwerke und müssen beide bedienen. Die Strukturen lassen sich aber teilen, etwa ein gemeinsames Risikomanagement.

Woran erkenne ich, ob mein Unternehmen überhaupt betroffen ist?

Zwei Bedingungen müssen zusammenkommen: Ihr Unternehmen erbringt einen Dienst, der für gesellschaftlich wichtige Funktionen wesentlich ist, und es erreicht die festgelegten Schwellenwerte (messbare Größen wie versorgte Personenzahl). Nicht jeder Betrieb in einem genannten Sektor ist automatisch betroffen, aber die großen Versorger regelmäßig. Die genauen Schwellen ergeben sich aus Gesetz und Verordnungen und sollten im Einzelfall geprüft werden.

Ab wann gilt das Gesetz?

Das lässt sich derzeit nicht seriös pauschal sagen. Das deutsche Umsetzungsverfahren hat sich verzögert, und ein konkretes Inkrafttretensdatum nennen wir bewusst nicht. Den aktuellen Stand sollten Sie direkt bei den zuständigen Bundesbehörden einholen. Inhaltlich können Sie aber unabhängig davon beginnen, weil die geforderten Maßnahmen ohnehin gute Praxis sind.

Was ist mit dem All-Gefahren-Ansatz gemeint?

Statt einzelne Bedrohungen isoliert abzuarbeiten, soll eine kritische Einrichtung ihre Widerstandsfähigkeit gegen das gesamte Spektrum möglicher Störungen betrachten - vorsätzliche Handlungen wie Sabotage, Naturgefahren wie Hochwasser, technisches und menschliches Versagen sowie Abhängigkeiten etwa von Strom oder Schlüsselpersonen. Ziel ist nicht nur Abwehr, sondern auch, den Betrieb bei einem Vorfall aufrechtzuerhalten oder schnell wiederherzustellen.

Bietet Dernium eine Lösung für das KRITIS-Dachgesetz?

Nein. Dernium ist kein Betreiber kritischer Infrastruktur und stellt keine Lösung für das physische Dach bereit. Dieser Beitrag ordnet das Thema nur ein. Physische Resilienz, Zutrittsschutz und Resilienzpläne gehören zu den Betreibern und ihren spezialisierten Beratern. Für die Cyber-Seite behandeln wir Themen wie Monitoring und Härtung in anderen Beiträgen.

Quellen

• Richtlinie (EU) 2022/2557 (CER-Richtlinie), EUR-Lex
• Bundesministerium des Innern (BMI)
• Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
• Bundesamt für Sicherheit in der Informationstechnik (BSI)