KRITIS-Dachgesetz

Pflichten, Fristen und Sektoren

Das KRITIS-Dachgesetz schafft erstmals bundeseinheitliche Mindeststandards für den physischen Schutz kritischer Infrastrukturen in Deutschland. Auf dieser Seite erfahren Sie, welche Sektoren betroffen sind, welche Pflichten und Fristen gelten – und wie Sie mit einer zeitgemäßen Zutrittskontrolle die gesetzlichen Anforderungen erfüllen.

Letzte Aktualisierung: 20.08.2026

Hintergrund und rechtlicher Rahmen des KRITIS-Dachgesetzes

Die KRITIS-Regulierung in Deutschland ist nicht neu – ihre Wurzeln reichen bis zum Gesetz zur Stärkung der Sicherheit in der Informationstechnik des Bundes aus dem Jahr 2009 zurück. Über die Jahre wurde diese Grundlage durch die IT-Sicherheitsgesetze 1.0 und 2.0 sowie mehrere Änderungsverordnungen zur KRITIS-Rechtsverordnung (BSI-KritisV) erweitert. Eine bundeseinheitliche Regelung für kritische Infrastrukturen gab es dabei bislang jedoch nicht.

Das ändert sich mit dem KRITIS-Dachgesetz, das im Januar 2026 vom Bundestag beschlossen und im März 2026 vom Bundesrat bestätigt wurde. Es ist die deutsche Umsetzung der europäischen CER-Richtlinie (Critical Entities Resilience Directive) und legt erstmals sektorübergreifend fest, welche Unternehmen und Einrichtungen verpflichtende Resilienzmaßnahmen zur Aufrechterhaltung der Versorgung ergreifen müssen.

Wichtig zur Abgrenzung: Anders als die NIS2-Richtlinie, deren Fokus auf der Sicherheit informationstechnischer Systeme liegt, steht beim KRITIS-Dachgesetz der physische Schutz im Mittelpunkt – also bauliche, technische und organisatorische Maßnahmen an Gebäuden, Anlagen und Zutrittswegen.

Der All-Gefahren-Ansatz

Maßgeblich für die Ausgestaltung der Schutzmaßnahmen ist der sogenannte All-Gefahren-Ansatz: Einrichtungen müssen ihre Schutzmaßnahmen so wählen, dass sie gegen alle Arten von Bedrohungen gewappnet sind. Neben Cyberangriffen zählen dazu auch:

• Naturkatastrophen und Pandemien
• menschliches Versagen
• vorsätzliche Terror- oder Sabotageakte
• Personalmangel
• unterbrochene Lieferketten

Betroffene Sektoren und Betreiber

Welche Sektoren und Betriebe fallen unter das KRITIS-Dachgesetz?

Ob eine Anlage in den Anwendungsbereich des Gesetzes fällt, ist zunächst eine Frage der Versorgungssicherheit: Würde ein Ausfall der erbrachten Dienstleistungen zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen, gilt die Einrichtung als kritisch im Sinne von § 2 KRITIS-DachG.

Gegenüber der bisherigen Regulierung steigt die Zahl der erfassten Bereiche von acht auf elf Sektoren:

• Energie:
  Strom- und Gasnetzbetreiber, Fernwärmeversorger, Betreiber von Heizöl- und Kraftstofflagern
   
• Transport und Verkehr:
  Flughäfen und Fluggesellschaften, Bahnbetreiber, Hafenbetriebe, Betreiber von Verkehrsleitsystemen
   
• Finanzwesen:
  Banken, Börsen, Betreiber von Zahlungsverkehrssystemen
   
• Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitssuchende:
  Krankenkassen, Rentenversicherungsträger, Jobcenter
   
• Gesundheitswesen:
  Krankenhäuser, Betreiber von Blutbanken, Pharmahersteller mit versorgungsrelevanter Produktion
   
• Wasser:
  Trinkwasserversorger, Abwasser- und Kläranlagenbetreiber
   
• Ernährung:
  Großhandel und Logistik für Lebensmittel, Betreiber kritischer Produktionsanlagen
   
• Informationstechnik und Telekommunikation:
  Rechenzentren, Cloud-Anbieter, Netzbetreiber, Internetknoten (IXPs)
   
• Weltraum:
  Betreiber von Bodeninfrastrukturen für Satellitenkommunikation und Navigation
   
• Siedlungsabfallentsorgung:
  Betreiber von Müllverbrennungsanlagen und zentralen Entsorgungseinrichtungen
   
• Bundesverwaltung:
  Bundesministerien und das Bundeskanzleramt

Der Schwellenwert von 500.000 versorgten Personen

Als quantitative Orientierungsgröße dient ein Schwellenwert von 500.000 versorgten Personen. Dieser Wert ist jedoch primär eine Richtgröße: Zuständige Behörden können im Einzelfall auch Anlagen unterhalb dieser Schwelle als kritisch einstufen.

Wie viele Unternehmen sind betroffen?

Das Bundesministerium des Innern und für Heimat (BMI) rechnet künftig mit rund 1.700 Betreibern kritischer Anlagen, die die gesamten Resilienzverpflichtungen umsetzen müssen. Zum Vergleich: Nach bisheriger Regulierung waren zum 31.12.2025 insgesamt 1.179 Betreiber mit 2.136 Anlagen registriert.

Kritische Einrichtungen von besonderer Bedeutung für Europa

Betreiber, die in mindestens sechs EU-Mitgliedstaaten wesentliche Dienstleistungen erbringen, gelten als kritische Einrichtungen von besonderer Bedeutung für Europa. Für sie gelten nach § 7 KRITIS-DachG zusätzliche Anforderungen.

Pflichten der KRITIS-Betreiber

Diese Pflichten gelten für Betreiber kritischer Infrastrukturen

Risikoanalyse Betreiber müssen detaillierte Risikoanalysen durchführen, bei denen der Schutzbedarf von Unternehmensdaten sowie der Sicherheitsstatus und mögliche Schwachstellen von Liegenschaften und gebäudetechnischen Anlagen erfasst werden.

Resilienzplan Auf Basis der Risikoanalyse sind geeignete Resilienzmaßnahmen zu treffen, die Sicherheitsvorfälle verhindern oder deren Auswirkungen begrenzen und eine zügige Wiederherstellung kritischer Dienstleistungen gewährleisten. Diese Maßnahmen müssen in einem Resilienzplan dokumentiert und bei Bedarf aktualisiert werden.

Registrierung KRITIS-Betreiber müssen sich bei der zuständigen Registerstelle anmelden. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) übernimmt dabei eine zentrale Rolle im Meldewesen und in der Resilienzaufsicht. Kommt ein Betreiber dieser Pflicht nicht nach, kann das BBK die Registrierung eigenständig vornehmen. Zusätzlich muss jeder Betreiber eine Kontaktstelle als direkten Ansprechpartner für das BBK benennen.

Meldepflicht bei Vorfällen Bei kritischen Vorfällen besteht eine unmittelbare Meldepflicht an die zuständigen Behörden. Die Erstmeldung hat in der Regel innerhalb von 24 Stunden zu erfolgen und muss konkrete Informationen enthalten – etwa die Zahl der betroffenen Nutzer, die erwartete Dauer der Störung sowie die betroffenen geografischen Regionen. Zusätzlich ist innerhalb eines festgelegten Zeitraums ein ausführlicher Folgebericht nachzureichen.

Diese Fristen sollten Sie kennen

Fristenübersicht nach der Registrierung

Zentrale Bedeutung hat die Registrierung, da sie den Startpunkt für die Umsetzungsfristen bildet:

Bereits innerhalb kurzer Zeit nach der Registrierung wird zudem die zuständige Aufsichtsbehörde festgelegt.

Unser Tipp: Nutzen Sie die laufende Umsetzungsphase, um systematisch zu prüfen, ob Sie in den Anwendungsbereich des KRITIS-Dachgesetzes fallen und welche konkreten technischen, organisatorischen und baulichen Maßnahmen erforderlich sind. Gerade bauliche Anpassungen an Ihrer Zutrittskontrolle benötigen oft mehr Vorlauf, als zunächst angenommen.

Welche Maßnahmen können Betreiber konkret ergreifen?

Von der Vorgabe zur Umsetzung

Ein höheres Sicherheitsniveau resultiert nicht allein aus dem Befolgen von Richtlinien, sondern vor allem aus der gründlichen Analyse potenzieller Bedrohungen und dem Ableiten wirksamer, individueller Schutzmaßnahmen. Welche Vorkehrungen zum physischen Schutz getroffen werden sollten, geben die in § 13 KRITIS-DachG festgelegten Resilienzpflichten in groben Zügen vor. Diese sollten aus ineinandergreifenden baulichen, technischen und organisatorischen Maßnahmen bestehen:

• Bauliche Maßnahmen: Liegenschaftsabgrenzungen und hemmende Fassadenelemente als äußere Barriere
• Technische Maßnahmen: Überwachungs- und Detektionsgeräte sowie Zugangskontrollen
• Organisatorische Maßnahmen: Notstromversorgung, alternative Lieferketten, Personalschulungen

Das Zonenkonzept nach dem Zwiebelschalenprinzip

Da es im Zweifelsfall darum geht, bestimmte Kernbereiche gegen unautorisierten Zugriff abzusichern, bietet sich ein Zonenkonzept an, wie es beispielsweise die europäische Normenreihe EN 50600 für Rechenzentren beschreibt. Unterschiedliche Schutzklassen bauen dabei aufeinander auf und steigern sich von außen nach innen:

Nicht öffentlich zugänglich: Nicht alle branchenspezifischen Informationen sind frei aufrufbar. Auf den Webseiten des BSI findet sich eine Zusammenstellung inklusive weiterführender Links für die Sektoren Energie, Wasser, Ernährung, IT und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen sowie Transport und Verkehr. Zudem können sich Unternehmen bei der Umsetzung an bereits existierenden branchenspezifischen Sicherheitsstandards (B3S) orientieren.

Ihre praktische Unterstützung: Von der Planung zur Umsetzung

Das Zonenkonzept ist bewährt – doch die konkrete Umsetzung erfordert Fachkompetenz. Wir unterstützen Sie bei der Planung individueller Zonenkonzepte, der Umsetzung technischer Maßnahmen wie elektronische Zutrittskontrolle und Echtzeit-Monitoring, sowie der Wartung und dem technischen Support. Starten Sie mit einer kostenlosen Bestandsaufnahme Ihrer Schließanlage.

Warum moderne Schließtechnik entscheidend ist

Der Stand der Technik als gesetzlicher Maßstab

Das KRITIS-Dachgesetz bleibt bei der Benennung konkreter Schutzmaßnahmen bewusst unspezifisch, besteht aber auf Einhaltung des „Stands der Technik", für dessen Einsatz zudem ein „Verhältnismäßigkeitsmaßstab" anzuwenden ist. Für Bestandsgebäude und -anlagen gilt es daher zu prüfen, ob vorhandene Systeme aufgrund ihres technischen Entwicklungsstands ausreichend Schutz bieten und wie groß der damit einhergehende wirtschaftliche Aufwand ist.

Warum veraltete Schließanlagen zum Risiko werden

Herkömmliche mechanische Schließanlagen können ein erhebliches Risiko darstellen. Je älter eine solche Anlage ist, desto schwieriger wird es, den Überblick über die Anzahl der im Umlauf befindlichen Schlüssel zu behalten und auf Verluste zeitnah zu reagieren. Besonders kritisch wird es, wenn der Patentschutz abgelaufen ist: Dann können Schlüsselkopien ohne Herstellerfreigabe von jedem Fachgeschäft angefertigt werden. Wird eine solche Schwachstelle ausgenutzt, müssen Betreiber die Folgekosten für etwaige Schadens- oder Versorgungsausfälle in der Regel selbst tragen.

Auch bei bereits elektronischen, kabelgebundenen Systemen muss sichergestellt werden, dass die Funktionalität bei Unterbrechungen der Stromzufuhr weiterbesteht.

Ist Ihre Schließanlage noch zeitgemäß?

Die ausführliche Checkliste mit Priorisierung Ihrer nächsten Schritte erhalten Sie kostenlos nach der Anmeldung zu unserem Newsletter Sicherheitstechnik.

Unsere Leistungen für KRITIS-Betreiber

Wir unterstützen Sie bei der Umsetzung

Als Fachhandelspartner mit über 140 Jahren Erfahrung in der Sicherheitstechnik begleiten wir Sie von der Bestandsaufnahme bis zum laufenden Betrieb:

• Beratung und Bestandsaufnahme Ihrer bestehenden Schließanlage
• Planung individueller Zutrittslösungen – mechanisch, mechatronisch, digital oder online
• Umsetzung abgestufter Zonenkonzepte
• Elektronische Zutrittskontrolle mit zentraler Rechteverwaltung und Echtzeit-Monitoring
• Intelligente Schlüsselverwaltung für lückenlose Revision
• Wartung, Service und Betreuung an unseren Standorten Gärtringen, Ehningen, Olpe, Ulm, Tübingen, Achern und Nürtingen

Häufig gestellte Fragen zum KRITIS-Dachgesetz

Wer muss sich registrieren? Betreiber, deren Anlagen in einem der elf KRITIS-Sektoren kritische Dienstleistungen erbringen und den Schwellenwert erreichen oder von Behörden als systemrelevant eingestuft wurden.

Was passiert, wenn ich mich nicht registriere? Das BBK kann die Registrierung in diesem Fall eigenständig vornehmen. Zudem drohen bei Nichteinhaltung der Pflichten Haftungsrisiken, insbesondere bei nachweisbar unzureichenden Schutzmaßnahmen.

Muss ich auch handeln, wenn mein Unternehmen unter dem Schwellenwert von 500.000 versorgten Personen liegt? Möglicherweise ja. Der Schwellenwert ist eine Richtgröße – zuständige Behörden können im Einzelfall auch kleinere Anlagen als kritisch einstufen, etwa wenn deren Ausfall regional erhebliche Auswirkungen hätte.

Was ist der Unterschied zwischen einer „kritischen" Einrichtung und einer „kritischen Einrichtung von besonderer Bedeutung für Europa"? Als besonders bedeutsam für Europa gelten Betreiber, die in mindestens sechs EU-Mitgliedstaaten wesentliche Dienstleistungen erbringen. Für sie gelten nach § 7 KRITIS-DachG zusätzliche, verschärfte Anforderungen.

Was muss ein Resilienzplan konkret enthalten? Er dokumentiert die aus der Risikoanalyse abgeleiteten Schutzmaßnahmen – bauliche, technische und organisatorische Maßnahmen, die Sicherheitsvorfälle verhindern, deren Auswirkungen begrenzen oder eine zügige Wiederherstellung der Dienstleistung ermöglichen. Der Plan muss bei Bedarf aktualisiert werden.

Welche Frist gilt für die erste Risikoanalyse? Ab dem Zeitpunkt Ihrer Registrierung haben Sie neun Monate Zeit, um die Risikoanalyse durchzuführen. Resilienzmaßnahmen, Meldeprozesse und Governance-Pflichten müssen innerhalb von zehn Monaten folgen.

Was bedeutet „Stand der Technik" konkret für meine Zutrittskontrolle? Das Gesetz schreibt keine bestimmte Technologie vor, verlangt aber, dass Ihre Schließ- und Zutrittslösung dem aktuellen technischen Entwicklungsstand entspricht und verhältnismäßig zum Schutzbedarf ist. Veraltete mechanische Anlagen mit abgelaufenem Patentschutz erfüllen diesen Maßstab in der Regel nicht mehr.

Reicht meine bestehende mechanische Schließanlage aus? Das hängt vom Einzelfall ab. Ist der Patentschutz abgelaufen oder die Anlage in die Jahre gekommen, gilt sie in der Regel als Sicherheits- und Haftungsrisiko. Wir prüfen das gerne gemeinsam mit Ihnen.