KRITIS-Dachgesetz: Physische Resilienz kritischer Anlagen — Pflichten, Fristen und Personalbedarf

Ja. Nach einem langen Verfahren — der erste Regierungsentwurf von 2024 verfiel der Diskontinuität — hat der Bundestag das KRITIS-Dachgesetz am 29. Januar 2026 beschlossen, der Bundesrat stimmte am 6. März 2026 zu. Das Gesetz vom 11. März 2026 wurde am 16. März 2026 im Bundesgesetzblatt verkündet (BGBl. 2026 I Nr. 66) und ist seit dem 17. März 2026 in Kraft. Praktisch wichtig: Die Rechtsverordnung, die über Schwellenwerte konkret bestimmt, welche Anlagen kritisch sind, stand im Juni 2026 noch aus. Betreiber, die nach der 500.000er-Logik absehbar betroffen sind, sollten die Wartezeit nutzen, um Verantwortlichkeiten, Risikoanalyse-Methodik und Meldeprozesse vorzubereiten — die Fristen laufen ab der Registrierung.

Das Gesetz erfasst Betreiber kritischer Anlagen in zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Kritisch ist eine Anlage grundsätzlich, wenn sie für die Versorgung von 500.000 oder mehr Einwohnern erheblich ist; die genauen Schwellenwerte legt eine Rechtsverordnung fest, die noch aussteht. Fachanalysen erwarten rund 1.300 betroffene Betreiber — also die größten Kraftwerke, Netze, Kliniken, Wasserwerke und Logistikknoten des Landes. Für Teilbereiche wie das Finanzwesen gelten Ausnahmen, weil speziellere EU-Regelwerke wie DORA vorgehen. Wer unsicher ist, sollte die eigene Versorgungsrelevanz früh prüfen und die Rechtsverordnung im Blick behalten.

Der Pflichtenkatalog folgt einer klaren Kette: Betreiber müssen sich registrieren, sobald ihre Anlage die Kriterien erfüllt. Innerhalb von neun Monaten nach der Registrierung ist die erste eigene Risikoanalyse fällig, danach mindestens alle vier Jahre — nach einem Allgefahrenansatz, der Naturgefahren, technisches Versagen, Sabotage und hybride Bedrohungen einschließt. Auf dieser Basis sind verhältnismäßige Resilienzmaßnahmen umzusetzen und in einem Resilienzplan zu dokumentieren, von Objektschutz und Zutrittskontrolle bis zu Notfall- und Krisenmanagement. Vorfälle, die die kritische Dienstleistung erheblich stören oder stören könnten, sind unverzüglich, spätestens 24 Stunden nach Kenntnis, zu melden. Die Geschäftsleitung trägt die Verantwortung für die Umsetzung; Verstöße können mit gestaffelten Bußgeldern bis zu 1 Mio. Euro geahndet werden.

Beide Regelwerke schützen kritische Infrastrukturen, aber aus unterschiedlichen Richtungen: NIS2 — in Deutschland umgesetzt im BSI-Gesetz — adressiert die Cybersicherheit von rund 30.000 Einrichtungen, das KRITIS-Dachgesetz die physische Resilienz einer deutlich kleineren Gruppe von Betreibern kritischer Anlagen. Zuständig sind entsprechend zwei Behörden: das BSI für Cyber, das BBK für die physische Seite, mit der Möglichkeit einer gemeinsamen Registrierung. Betreiber kritischer Anlagen sind in der Regel doppelt betroffen, weil sie nach dem BSI-Gesetz zugleich als besonders wichtige Einrichtungen gelten. In der Praxis bewährt sich daher ein integriertes Resilienz-Management, das Risikoanalysen, Notfallplanung und Meldewege für beide Regime gemeinsam aufsetzt — und Personal, das beide Welten versteht.

Das Gesetz schreibt keine Stellenprofile vor, aber die Pflichten definieren den Bedarf: einen Resilienz- oder Sicherheitsmanager als Gesamtverantwortlichen für Risikoanalysen und Resilienzplan, Business-Continuity- und Krisenmanager für Ausfallszenarien und Übungen, Physical-Security-Experten für Objektschutz und Detektion sowie klar benannte Meldeverantwortliche für die 24-Stunden-Frist gegenüber dem BBK. Wer zugleich NIS2-pflichtig ist, profitiert von Schnittstellenrollen — etwa einem CISO oder GRC-Manager, der physische und Cyber-Resilienz in einem Managementsystem zusammenführt. Erfahrene Resilienz-Fachkräfte sind rar, weil etablierte Ausbildungspfade fehlen. NOBA Experts besetzt Sicherheits-, GRC- und Resilienz-Positionen in Festanstellung und kennt die Verfügbarkeiten und Gehaltsbänder in diesem jungen Marktsegment.