Physische Resilienz nach KRITIS-Dachgesetz – Fachplanung & Beratung

Kritische Anlagen sind Anlagen, die für die Erbringung einer kritischen Dienstleistung erheblich sind. Kritische Dienstleistungen sind Versorgungsleistungen in bestimmten Sektoren, deren Ausfall oder Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde.

Ja. Das KRITIS-Dachgesetz ist am 17. März 2026 vollständig in Kraft getreten (BGBl. 2026 I Nr. 66). Lediglich § 14 Abs. 3–5 treten erst am 1. Januar 2030 in Kraft. Das Gesetz ist damit unmittelbar anwendbar – Betreiberpflichten wirken allerdings schrittweise über Übergangsfristen (siehe nächste Frage).

Die Registrierungspflicht greift frühestens ab dem 17. Juli 2026. Innerhalb von drei Monaten nach Identifikation als kritische Anlage muss die Registrierung beim BBK erfolgen. Die Pflicht zur Risikoanalyse greift erstmals neun Monate, die Pflichten zu Resilienzmaßnahmen, Meldewesen und Geschäftsleitungsverantwortung erstmals zehn Monate nach der Registrierung. Behördliche Aufsicht und Sanktionen werden schrittweise ab 2027 wirksam. Einzelne Mindestanforderungen werden zudem durch nachgelagerte Rechtsverordnungen weiter konkretisiert.

Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum, Siedlungsabfallentsorgung sowie die öffentliche Verwaltung.

Der All‑Gefahren‑Ansatz betrachtet jedes denkbare Risiko – von Naturgefahren über technische Störungen bis zu Sabotage, Terroranschlägen oder menschlichem Versagen – und leitet daraus verhältnismäßige Maßnahmen ab.

Der Resilienzplan ist das zentrale Betreiberdokument. Er basiert auf Risikoanalyse und Risikobewertung und beschreibt geeignete, verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Zielerreichung.

Ja. Das Gesetz sieht die Identifizierung und Registrierung kritischer Anlagen und ihrer Betreiber vor. Details zu Kriterien und Verfahren werden per Verordnung konkretisiert.

Erhebliche Störungen sollen über eine gemeinsame digitale Plattform von BBK und BSI gemeldet werden. Ziel ist ein einheitlicher Einmeldepunkt. Die konkreten Meldeprozesse werden weiter konkretisiert.

Sektorenübergreifende Mindestanforderungen kann das BMI per Verordnung festlegen. Zusätzlich können von der Wirtschaft entwickelte branchenspezifische Resilienzstandards anerkannt werden. Solange es keine Standards gibt, können Bund und Länder Anforderungen per Rechtsverordnung konkretisieren.

Das KRITIS‑Dachgesetz ist ein Bundesgesetz und gilt bundesweit direkt. Landesgesetze zur Umsetzung sind nicht erforderlich. Die Länder wirken im Vollzug mit und können – solange Standards fehlen – per Rechtsverordnung konkretisieren.

Nutzungen im öffentlichen Raum (Veranstaltungen, temporäre Verkehrsführungen, Baustellen) sowie bauliche Vorhaben in Nähe kritischer Anlagen – überall dort, wo Zufahrten, Schutzbereiche, Rettungswege und Betriebsabläufe betroffen sind.

Der Prozess beginnt typischerweise mit einer standortbezogenen Erstanalyse – gemeinsam mit Betreiber oder Kommune. Darauf aufbauend unterstützen wir bei Risikoanalysen, Resilienzplänen, physischen Schutz- und Zufahrtskonzepten, Verkehrs- und Rettungsplanung sowie prüffähiger Dokumentation. Wo erforderlich, koordinieren wir auch die Abstimmung mit Behörden und weiteren Beteiligten.

Risikoanalyse und Risikobewertung, Resilienzplan, Lage‑/Sperr‑/Rettungs‑ und Verkehrspläne (CAD), Nachweis‑ und Meldeunterlagen, benannte Kontaktstelle und klare Meldewege.

Diese Inhalte fokussieren auf physische Resilienz und Fachplanung rund um Schutzbereiche, Zufahrten, Perimeter, Verkehrs‑ sowie Rettungswege. IT‑/Cybersicherheit ist ein separates Themenfeld und wird hier nicht behandelt.

Das KRITIS-Dachgesetz nimmt die Geschäftsleitung von Betreibern kritischer Anlagen ausdrücklich in die Pflicht: Sie muss Resilienzmaßnahmen nach § 13 KRITIS-DachG umsetzen und deren Umsetzung organisatorisch sicherstellen. Bei Pflichtverletzungen kann sie ihrer Einrichtung gegenüber persönlich haften – primär nach gesellschaftsrechtlichen Regeln (§ 43 GmbHG, § 93 AktG), hilfsweise nach § 20 KRITIS-DachG. Für den Sektor öffentliche Verwaltung gilt eine Ausnahme von der persönlichen Haftung. Ordnungswidrigkeiten nach § 24 KRITIS-DachG können mit Bußgeldern bis zu 1 Mio. Euro geahndet werden, insbesondere bei Verstößen gegen Registrierungs-, Auskunfts- und Kooperationspflichten; für Verstöße gegen Vorlagepflichten bei Audits sind bis zu 500.000 Euro vorgesehen. Bei gleichzeitigen Verstößen im Cybersicherheitsbereich (NIS-2, BSIG) können zusätzliche, deutlich höhere Bußgeldrahmen greifen. Die Aufsichts- und Sanktionspraxis wird schrittweise ab 2027 wirksam.

Die Betreiberverantwortung selbst lässt sich nicht auf Dritte übertragen – sie bleibt bei Einrichtung und Geschäftsleitung. Die sorgfältige Auswahl, Einbindung und Überwachung qualifizierter externer Fachplaner kann jedoch ein wesentlicher Baustein eines ordnungsgemäßen Organisations- und Überwachungssystems sein und im Haftungsfall als Sorgfaltsnachweis dienen. Entscheidend ist eine saubere, prüffähige Dokumentation der planerischen Grundlagen und Entscheidungen. excepto übernimmt als unabhängiges Planungsbüro die fachplanerische Konzeption und Dokumentation, nicht aber die Betreiberverantwortung im Sinne des KRITIS-Dachgesetzes. Die Ausführungen dienen der allgemeinen Information und ersetzen keine individuelle Rechtsberatung.