Das KRITIS-Dachgesetz erklärt. Was Betreiber jetzt wissen müssen.

Wasser, Strom, Lebensmittel, Nahverkehr: Versorgung fällt im Alltag nicht auf, solange sie läuft. Die Anlagen, die sie tragen, heißen kritische Infrastrukturen, kurz KRITIS.

Am 17. März 2026 ist das KRITIS-Dachgesetz in Kraft getreten. Zum ersten Mal verpflichtet ein Gesetz Betreiber kritischer Anlagen über alle Sektoren hinweg, ihre Standorte physisch zu schützen. Es setzt die europäische CER-Richtlinie (Richtlinie (EU) 2022/2557) um, deren Umsetzungsfrist im Oktober 2024 ablief. Das Gesetz gilt. Die Verordnung, die es konkretisiert, fehlt noch.

NIS2 regelt Cyber, das Dachgesetz das Physische

Beide Gesetze werden oft in einem Atemzug genannt, sie meinen aber verschiedene Dinge. Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und betrifft die IT-Sicherheit: Netze, Systeme, Angriffserkennung. Das KRITIS-Dachgesetz betrifft die physische Resilienz: Gebäude, Zäune, Zutritt, Überwachung, Notfallpläne, Wiederanlauf. Viele Betreiber fallen unter beide Gesetze und müssen beides organisieren. Dieser Beitrag behandelt das Dachgesetz.

Wer betroffen ist

Das Gesetz reicht weit über Strom und Wasser hinaus. § 4 Abs. 1 nennt zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Für das Finanzwesen (dort gilt DORA), für IT und Telekommunikation sowie weitgehend für Siedlungsabfallentsorgung und Sozialversicherung gelten Ausnahmen; für sie greift im Kern nur die Pflicht zur Risikoanalyse. Dazu kommen Einrichtungen der Bundesverwaltung, die das Gesetz in § 7 gesondert erfasst. Die zugrunde liegende EU-Richtlinie zählt elf Sektoren, darunter die öffentliche Verwaltung; die Bundesregierung hat im Bundesrat zugesagt, in der Nationalen KRITIS-Resilienzstrategie eine Definition zu erarbeiten, die auch Staat und Verwaltung, Medien und Kultur sowie Sozialwesen berücksichtigt.

Als kritisch gilt eine Anlage, wenn sie in der Regel mindestens 500.000 Einwohner versorgt (§ 5 Abs. 2). Welche Anlagentypen im Einzelnen gemeint sind und wo die Schwellen je Sektor genau liegen, legt eine Rechtsverordnung fest. Ein Referentenentwurf vom Mai 2026 liegt vor, in Kraft ist die Verordnung noch nicht.

Wer heute unter der Schwelle liegt, sollte trotzdem zwei Dinge wissen. Die Länder dürfen künftig auch Anlagen unterhalb des Regelschwellenwerts als kritisch einstufen, wenn eine Landesbehörde für die Dienstleistung zuständig ist; Kriterien und Verfahren dafür legt das Bundesinnenministerium per Verordnung fest (§ 5 Abs. 7). Und der Bundesrat hat bei seiner Zustimmung am 6. März 2026 kritisiert, dass der Schwellenwert nicht auf 150.000 versorgte Einwohner gesenkt wurde: Damit blieben „zahlreiche essentielle Infrastrukturen, insbesondere in den ländlichen Räumen, weiterhin nicht erfasst“. Die Diskussion um die Schwelle ist offen.

Was das Gesetz verlangt

Die Pflichten beginnen mit der Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Danach laufen Fristen: neun Monate für eine Risikoanalyse und Risikobewertung (§ 12), zehn Monate für die Umsetzung von Resilienzmaßnahmen und einen dokumentierten Resilienzplan (§ 13), zehn Monate bis zur Meldepflicht für Vorfälle (§ 18). Die Risikoanalyse ist danach mindestens alle vier Jahre zu wiederholen.

§ 13 Abs. 1 nennt vier Ziele: Vorfälle verhindern, die Anlagen angemessen physisch schützen, auf Vorfälle reagieren und sie abwehren, die kritische Dienstleistung danach zügig wiederherstellen. Zum physischen Schutz zählt das Gesetz in § 13 Abs. 3 „Maßnahmen der baulichen und technischen Sicherung und des organisatorischen Schutzes (Objektschutz) wie Liegenschaftsabgrenzungen und hemmende Fassadenelemente“, „Instrumente und Verfahren für die Überwachung der Umgebung“, „den Einsatz von Detektionsgeräten“ und „Zugangskontrollen“. Mehr sagt das Gesetz zur Technik nicht, und es formuliert die Liste als Beispiele, nicht als Pflichtkatalog. Was ein Detektionsgerät leisten muss, wer die Überwachung durchführt und was passiert, wenn etwas detektiert wird, steht dort nicht.

Die Meldepflicht ist dagegen präzise. Nach § 18 muss ein Betreiber einen Vorfall, der die kritische Dienstleistung erheblich stört, spätestens 24 Stunden nach Kenntnis an das BBK melden. Spätestens einen Monat nach Kenntnis folgt ein ausführlicher Bericht mit Art, Ursache und Folgen des Vorfalls, der Anzahl und dem Anteil der Betroffenen, der Dauer der Störung und dem betroffenen Gebiet. Wer diese Angaben in 24 Stunden liefern will, braucht Alarmdaten, die schon vor dem Vorfall strukturiert erfasst wurden.

Was „angemessener physischer Schutz“ konkret heißt

Die Lücke im Gesetz füllt seit Juli 2026 die EU-Kommission. Ihre Leitlinien für die Anwendung von Artikel 13 Absatz 5 der CER-Richtlinie (C/2026/3712 vom 13. Juli 2026) umfassen 94 nummerierte Absätze in sieben Bereichen. Sie sind ausdrücklich nicht rechtsverbindlich, beschreiben aber als bisher einzige amtliche Quelle auf EU-Ebene, was „angemessen“ in der Praxis bedeuten kann — bis die deutschen Mindestanforderungen nach § 14 vorliegen. Bereich C, „Physische Schutzmaßnahmen“, ist für die Standortsicherheit der wichtigste.

Die Leitlinien empfehlen Alarm- und Einbruchmeldesysteme mit Innen- und Außensensoren, die überwacht und regelmäßig auf Funktion geprüft werden (Punkt 29). Videosysteme sollen die relevanten Bereiche in Echtzeit zeigen und aufzeichnen, mit regelmäßiger Prüfung der Aufnahmen (Punkt 30). Für Schlüssel und elektronische Zugangsmedien soll es ein einziges, verbindliches Register mit Ausgabe- und Rückgabedaten geben (Punkt 38). Für die Reaktion auf Vorfälle nennen die Leitlinien Alarmierungssysteme über mehrere Kanäle, klare Befehlsketten und geübte Abläufe (Punkt 65) sowie eine formalisierte Zusammenarbeit mit Polizei, Rettungsdiensten und Behörden (Punkt 61). Und sie nennen eine Vorfalldatenbank, in der Ereignisse systematisch erfasst werden (Punkt 20).

Drohnen kommen im Dachgesetz nicht vor. Die Leitlinien widmen ihnen fünf Punkte: Erkennung und Verfolgung unbemannter Systeme über Radar, Kameras und Sensoren, Sichtschutz für sensible Bereiche, bauliche Abwehr wie Netze und Überdachungen, geografische Zonen und perspektivisch Geofencing sowie Partnerschaften mit Polizei und Verteidigungsbehörden (Punkte 46 bis 50). Nach dem Drohnenvorfall am Flughafen Leipzig/Halle im August 2026 dürfte dieses Thema in Deutschland nicht lange unverbindlich bleiben.

Was das für eine konkrete Anlage heißt, lässt sich an einem Umspannwerk zeigen. Das Gesetz verlangt Überwachung der Umgebung und Detektionsgeräte. Die Leitlinien konkretisieren: Außensensoren am Zaun, Video mit Aufzeichnung, jemand, der die Alarme sieht und prüft, ein Alarmplan mit Befehlskette und eine Datenbank, in der jeder Alarm mit Uhrzeit, Ursache und Reaktion steht. Für ein Wasserwerk oder eine Klinik mit vielen Zugängen kommt das Zutrittsmanagement mit Schlüsselregister dazu.

Folgen bei Pflichtverstößen

Das Gesetz setzt auf drei Hebel. Erstens auf Bußgelder nach § 24: bis 100.000 Euro bei fehlender oder fehlerhafter Registrierung und bei verweigerter Mitwirkung an Prüfungen, bis 200.000 Euro, wenn Nachweise oder ein Mängelbeseitigungsplan nicht vorgelegt werden, bis 500.000 Euro bei nicht übermittelten Prüfergebnissen und bis eine Million Euro, wenn ein Betreiber die Unterlagen verweigert, mit denen das BBK prüft, ob eine Anlage überhaupt kritisch ist. Im Vergleich zu NIS2 sind das niedrige Beträge, und schon im Gesetzgebungsverfahren wurde kritisiert, die Strafe sei in vielen Fällen günstiger als die Schutzmaßnahme; der Innenausschuss hat die Bußgelder daraufhin verdoppelt.

Zweitens auf die Geschäftsleitung. Nach § 20 muss sie die Resilienzmaßnahmen umsetzen und die Umsetzung durch geeignete Organisation sicherstellen. Verletzt sie diese Pflicht schuldhaft, haftet sie ihrem Unternehmen gegenüber. Das verlagert das Thema aus der Fachabteilung in den Vorstand.

Drittens auf die Aufsicht. Die jeweils zuständige Behörde kann die Umsetzung prüfen, dazu Geschäftsräume betreten und Unterlagen einsehen, und sie kann einen Mängelbeseitigungsplan mit Fristen anordnen (§ 16). Registriert sich ein Betreiber nicht selbst, kann das BBK die Registrierung von Amts wegen vornehmen (§ 8 Abs. 3). Eine Besonderheit gilt für die Strom-, Erdgas- und Wasserstoffversorgung: Dort läuft der Nachweis nicht über das Dachgesetz, sondern über das Energiewirtschaftsgesetz und die Bundesnetzagentur.

Wo die Umsetzung heute steht

Das Gesetz gilt, aber die Pflichten haben noch nicht begonnen. Das BBK schreibt in seinen FAQ zum KRITIS-Dachgesetz: „Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG, da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet.“ Eine Untergrenze für die Registrierung — frühestens der 17. Juli 2026 — stand ursprünglich im Gesetz und wurde Ende Juli 2026 gestrichen.

Sobald die Verordnung in Kraft ist, veröffentlicht das BBK innerhalb von vier Wochen das Registrierungsverfahren. Betreiber haben dann drei Monate nach Feststellung ihrer Kritikalität Zeit für die Registrierung; von da an laufen die Fristen von neun und zehn Monaten. Das Gesetz wird außerdem zwei Jahre nach Inkrafttreten evaluiert (§ 25), der Schwellenwert ausdrücklich mit.

Wer den Schutz leistet

Die Debatte um das Dachgesetz dreht sich um Schwellenwerte, Zuständigkeiten und Fristen. Wer die Anlagen überwacht, kommt darin selten vor. Sensoren am Zaun und Kameras am Tor sind Hardware. Die Leitlinien der Kommission erwarten, dass diese Systeme überwacht und getestet werden, dass jemand Alarme prüft, Interventionen auslöst und mit Behörden spricht — rund um die Uhr.

Wir beantworten die Signale selbst. Kritische Anlagen werden zu uns aufgeschaltet: Einbruch-, Perimeter-, Video- und Störmeldungen laufen dort zusammen, werden rund um die Uhr geprüft, und im Alarmfall greift eine vorher festgelegte Interventionskette. Die Punkte 29, 30 und 65 der Leitlinien beschreiben genau diesen Teil der Arbeit, und jeder Schritt davon ist dokumentiert.

Trident, unser Leitstellen-Betriebssystem, ist nach VdS 3534 anerkannt. Weil wir es selbst entwickeln, passen wir Alarmabläufe an die Prozesse eines Betreibers an, statt den Betreiber an die Software. Jeder Alarm wird mit Zeitstempel, Ursache und Reaktion dokumentiert. Diese Daten sind die Grundlage für die 24-Stunden-Meldung nach § 18 und für die Vorfalldatenbank aus Punkt 20. Für neue Sensorik, etwa Drohnendetektion oder Robotik, gilt: Wer heute eine Leitstelle wählt, sollte fragen, wie sie neue Sensoren anbindet, ohne die Abläufe neu aufzusetzen.

Compliance verkaufen wir nicht — die Pflicht bleibt beim Betreiber. Was wir übernehmen, ist der Teil, der jede Nacht stattfinden muss. Sprechen Sie mit uns darüber, wie eine Aufschaltung in der Praxis aussieht.