Das KRITIS-Dachgesetz kommt 2026: Geschäftsführer müssen physische Resilienz und operationelle Sicherheit kritischer Infrastrukturen nach dem All-Gefahren-Ansatz gewährleisten.
Mal ehrlich: bist du noch mit der Umsetzung von NIS2 (Directive 2022/2555) beschäftigt?
Ab Juli 2026 gelten neue Anforderungen für Betreiber kritischer Anlagen. Die nächste regulatorische Welle kommt mit der Critical Entities Resilience (CER)-Richtlinie. Dabei handelt es sich um das EU-Directive 2022/2557 und die noch folgende nationale Umsetzung, das KRITIS-Dachgesetz (KRITIS-DachG).
TL;DR
Stell dir vor: Montagmorgen Team-Meeting und das Thema macht mal wieder keinen Spaß. Anstatt, dass über neue Projekte geredet wird geht es darum, dass die Produktionshalle stillsteht, weil 35 Km weiter jemand eine Leitung beschädigt hat.
Früher war das einfach höhere Gewalt oder es wurde als unerfreuliches Ereignis im ISMS aufgezeichnet. Demnächst ist es aber ein vorhersehbares Risiko, dass berücksichtigt werden muss. Für dieses Ereignis hat es dann einen dokumentierten und belastbaren Notfallplan zu geben.
Und genau das ist der Kern der Veränderung. Regulatorisch, primär durch die EU getrieben, wird Resilienz von Best Practice zur harten gesetzlich verankerten Verpflichtung der Geschäftsführung. Es geht nicht mehr nur darum Daten zu schützen, es geht darum die Erbringung von kritischen Dienstleistungen zu garantieren. Die Gewährleistung der funktionierenden Versorgung der Gemeinschaft wird absolut essenziell gemacht.
Sieh diesen Artikel als das Briefing, dass der überarbeitete Kollege aus der Compliance normalerweise liefern sollte. Hier ist mein Versuch das KRTIS-DachG und die CER-Richtlinie einfach zu erklären.
Das „Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen“, kurz KRITIS-Dachgesetz, ist die deutsche Antwort auf eine neue europäische Sicherheitsarchitektur. Es legt erstmals bundesweit einheitliche und sektorübergreifende Mindeststandards für den physischen Schutz fest.
Das oberste Ziel: die Funktionsfähigkeit und Widerstandsfähigkeit der kritischen Versorgungsleistung in Deutschland (und Europa) sicherzustellen.
Das soll mit dem „All-Gefahren-Ansatz“ bewerkstelligt werden. Das bedeutet eure Risikoanalysen müssen künftig (wenn sie es nicht schon tun) folgende Bereiche explizit abdecken:
Sofern ihr es nicht bereits so handhabt, werden sich nun einige eigentlich getrennte Abteilungen an einen Tisch setzen müssen. Die erforderliche Konformität beginnt mit einer Abteilungsübergreifenden Risikosprache und einer integrierten Strategie.
Frag dich: „Haben CISO, COO und mein Einkaufleiter eigentlich ein gemeinsames Verständnis für die Top 10 Risiken?!“.
Von der CER-Richtlinie sind Betreiber sogenannter „kritischer Anlagen“ in elf Sektoren betroffen:
Energie, darunter:
Verkehr, darunter:
Bankwesen: Die Stabilität des Finanzsystems wird durch die Einbeziehung von Kreditinstituten gewährleistet
Finanzmarktinfrastrukturen: Hierzu zählen Betreiber von Handelsplätzen und zentrale Gegenparteien, die für die Abwicklung von Finanztransaktionen unerlässlich sind.
Gesundheitswesen, darunter:
Trinkwasser: Die Versorgung mit qualitativ hochwertigem Trinkwasser wird durch die Regulierung von Wasserversorgungsunternehmen sichergestellt.
Abwasser: Die Entsorgung und Behandlung von Abwasser ist aus hygienischen und ökologischen Gründen kritisch.
Digitale Infrastruktur, darunter:
Verwaltung von IKT-Diensten (Business-to-Business): Anbieter von Diensten, die für die Aufrechterhaltung kritischer Abläufe in anderen Unternehmen notwendig sind.
Öffentliche Verwaltung: Bestimmte zentrale und regionale Verwaltungsstellen, deren Ausfall erhebliche Auswirkungen auf die öffentliche Sicherheit und Ordnung hätte.
Weltraum: Die Bereitstellung weltraumgestützter Dienste, beispielsweise für Kommunikation oder Navigation, wird durch die Einbeziehung von Betreibern von Bodeninfrastrukturen abgedeckt.
Die Faustregel zur CER-Richtlinie: Erbringt ihr eine kritische Dienstleistung für mehr als 500.000 Menschen, dann werdet ihr in Gang kommen müssen.
VORSICHT: Das Ziel liegt in der Vermeidung systemischer Störungen. Vielleicht bedient ihr nur eine Handvoll Industriekunden. Wenn ihr nun aber der einzige Lieferant für eine kritische Komponente für einen Stromnetzbetreiber seid, der wiederum Millionen versorgt, wird der Ausfall deines Betriebs systemrelevant!
Die Selbsteinschätzung durch Unternehmen MUSS betriebliche Abhängigkeiten und Kaskadeneffekte berücksichtigen. Die Frage ist weniger: „Wie viele Kunden habe ich?“, sondern: „Welche gesellschaftlichen Folgen hat es, wenn wir mal ausfallen?“
Der Zeitplan steht bereits… auch wenn sich das parlamentarische Spiel noch zieht:
Die Staffelung (besonders die Bußgeldvorschriften) erzeugen potenziell eine trügerische Sicherheit bzw. Gelassenheit. Eine ernsthaft durchgeführte und umfassende Risikoanalyse, das Entwickeln eines Resilienzplans, Budgetabstimmungen und die Umsetzung von notwendigen Maßnahmen sind ein großes Projekt. Das dauert schnell mal 18 bis 24 Monate. Der beste Tag zum Starten ist Gestern, der zweitbeste ist heute.
Vorweg: Das KRITIS-Dachgesetz ist keine deutsche Erfindung. Es ist lediglich die nationale Umsetzung der EU-Richtlinie über die Resilienz kritischer Einrichtungen, kurz CER-Richtlinie (EU) 2022/2557. Die beiden werden sich aber wohl kaum großartig unterscheiden.
Die Kernanforderungen der CER sind relativ klar:
Auch wenn eine nationale Umsetzung von EU-Richtlinien noch fehlt, heißt es nicht, dass nicht bereits etwas getan werden kann. Ja, manchmal muss man die Spezifika nationaler Rechtsprechung abwarten, aber die Blaupause hat die EU bereits geliefert.
Artikel 13 der Richtlinie listet bereits detailliert auf, welche Art von Resilienzmaßnahmen erwartet werden. Hier reichen die Vorgaben von physischem Objektschutz über Personalüberprüfungen bis hin zur Absicherung der Lieferkette. Vieles sollte euer ISMS bereits abbilden, aber ein proaktives Herangehen wird dauerhaft wertvoll sein. Orientiere dich an der CER-Richtlinie, wer abwartet bis in Berlin die Tinte trocknet, der ist und bleibt reaktiv und verliert unnötig Zeit.
Neue regulatorische Anforderungen existieren nie in einem luftleeren Raum. Das Verstehen bisheriger Vorgaben nimmt dir Arbeit in Bezug auf die Zukunft ab.
Physisch vs. Cyber: KRITIS-DachG und NIS2 sind Zwillinge, keine Klone:
Der Zusammenhand machts. Jeder Betreiber einer kritischen Anlage nach dem KRITIS-DachG wird automatisch eine „besonders wichtige Einrichtung“ unter der NIS2. Gesetzgeber sind schlauer als manche ihnen zugestehen. Damit unterliegt dein Unternehmen direkt den strengsten Cybersicherheitsauflagen: den höchsten Bußgeldern (bis 10 Mio. Euro oder 2% des weltweiten Jahresumsatzes.), den engsten Meldefristen (24 Stunden) und der expliziten persönlichen Haftung der Geschäftsführung. CER und NIS2 sind nicht getrennt, sie gehören zusammen.
Einige wiegen sich kontinuierlich in Sicherheit mit Äußerungen wie: „Wie sind ISO 27001 zertifiziert, wir sind schon sicher.“
Selbstsicher falsch liegen, ist 2025 der beliebteste Fehler von allen. Ein funktionierendes Informationssicherheits-Managementssystem (ISMS) ist ein guter Anfang, reicht aber nicht aus (in Bezug auf CER/KRITIS-DachG).
Um das Zusammenspiel zu verdeutlichen und zu zeigen, warum ein Managementsystem für Geschäftskontinuität (BCMS) nach ISO 22301 eine ebenso wichtige Säule wie ISO 27001 wird, hier ein Vergleich der wichtigsten Regelwerke:
Die Neuerungen werden eine ernste Veränderung für deine Governance, Budgetplanung und persönliche Verantwortung bedeuten.
Resilienz ist unmissverständlich Chefsache. Das Gesetz erfordert, dass die Geschäftsführung Resilienzmaßnahmen formell genehmigt und ihr Umsetzung kontinuierlich überwacht. Keine Abstreitbarkeit, direkte nachweisbare Verantwortung.
Das aus allgemeinen Gesetzen, wie dem §43 GmbHG, resultierende Haftungsrisiko wird durch diese neuen spezifischen auditierbaren Pflichten massiv verschärft. Das NIS2-Umsetzungsgesetz, der Zwilling des Dachgesetzes, macht es transparent:
Verstöße können nicht nur zu Bußgeldern führen, sondern auch zu einem (temporären) Verbot, eine Geschäftsführerposition auszuüben.
Was gern übersehen wird: Die Schulungspflicht für die Geschäftsführung. Der NIS2-Entwurf schreibt regelmäßige Schulungen zu Cyber- und Resilienzrisiken für die Leitungsebene vor. Auch wenn der Outlook-Kalender bereits dicht ist.
Es handelt sich hier um einen juristischen Hebel. Ein Geschäftsführer, der kein adäquates Schulungsniveau nachweisen kann, kann sich im Schadensfall nicht mehr auf Unwissenheit berufen. Jemand böswilliges könnte das als grob fahrlässig deuten. Directors & Officers-Versicherungen schließen grobe Fahrlässigkeit häufig aus. Fortbildung wird damit zur persönlichen Risikovorsorge.
Kosten für Resilienzmaßnahmen wie Zäune, Kameras und Notstrom sind überschaubar. Die „Hidden Costs“ verbergen sich anderswo:
Worauf mache ich mich gefasst:
Handlungsempfehlungen ohne eine vorherige Analyse sind immer schwer, aber hier zumindest meine Idee für den Anfang:
Insgesamt wird es nicht einfach, aber wenn man ehrlich mit sich und seinem Team ist, können dumme Fehler vermieden werden.
Stell dir selbst diese Frage: „Hast du deine kritischsten Lieferanten schon gefragt, wie resilient sie sind? Und was ist dein Plan B, wenn die Antwort ein Achselzucken ist?“ Das Gesetz macht dich für das Management dieser Drittparteien-Risiken verantwortlich. Das ist wohl der komplexeste und teuerste Teil der neuen Regulierung.
Und die nächste harte Frage: „Woher nimmst du die Leute, um das alles umzusetzen und zu betreiben?“ Der extreme Mangel an Fachkräften ist eine massive operative Bremse. Mögliche Antworten: aggressiv in die Weiterbildung eigener Mitarbeiter investieren, strategische Partnerschaften mit Spezialisten eingehen und Automatisierung nutzen.
Das Problem der noch ausstehenden Detailverordnungen ist real. Der Rat ist trotzdem klar und umsetzbar: Handle so, als würden die Anforderungen der EU-CER-Richtlinie 1:1 in deutsches Recht übersetzt. Wenn du im Nachhinein nur 90% richtig liegst, dann ist es besser als gewartet zu haben.
Das KRITIS-Dachgesetz ist und wird mehr als nur noch ein weiteres Gesetz. Es handelt sich einen staatlich angeordneten Stresstest für die Widerstandsfähigkeit deines gesamten Geschäftsmodells.
Diese Art von Vorgaben als lästige Pflicht zu sehen ist zu kurz gedacht. Ein resilientes Unternehmen zu sein und als verlässlicher Partner zu gelten, sollte Teil eines nachhaltigen Leitbildes sein. Diese Bemühungen zu dokumentieren und nachweisbar zu machen ist dann ein leichtes.
Die Frage ist nicht, ob du dich damit befassen musst, sondern wann. Die Uhr tickt. Wer jetzt proaktiv handelt, gestaltet die Zukunft seines Unternehmens. Wer wartet, wird von Audits, Vorfällen und den Behörden getrieben werden.
Fang halt einfach ein.