Diebstahlschutz

Das KRITIS-Dachgesetz (KRITIS-DachG) ist am 17.03.2026 in Kraft getreten und verpflichtet Betreiber kritischer Infrastruktur in den Sektoren Energie, Wasser, Ernährung, Transport und Verkehr, Gesundheit, Finanz- und Versicherungswesen, Siedlungsabfallentsorgung sowie Weltraum zu physischen Resilienzmaßnahmen. Ob Ihr Unternehmen betroffen ist, hängt von zwei Faktoren ab: der Zugehörigkeit zu einem der genannten Sektoren und dem Erreichen der branchenspezifischen Schwellenwerte aus der BSI-KritisV (z. B. versorgte Personenzahl, Produktionsmenge, Umsatz). Anders als bei NIS2 orientiert sich das KRITIS-DachG dabei nicht an der Unternehmensgröße, sondern an der tatsächlichen Versorgungsrelevanz.

Wichtig für die Praxis: Auch Unternehmen unterhalb der KRITIS-Schwelle können über NIS2 als „wichtige“ oder „besonders wichtige“ Einrichtung erfasst sein und ähnliche organisatorische Pflichten haben, wenn auch mit stärkerem Fokus auf IT-Sicherheit statt physischer Resilienz. CIBORIUS unterstützt bei der Einordnung: Wir prüfen gemeinsam mit Ihnen anhand von Sektor, Schwellenwerten und Versorgungsfunktion, welches Regelwerk greift, und leiten daraus die konkret nötigen Sicherheitsmaßnahmen ab.

KRITIS-DachG und NIS2-Umsetzungsgesetz sind zwei getrennte, aber eng verwandte Regelwerke, die beide auf EU-Recht zurückgehen: KRITIS-DachG setzt die CER-Richtlinie (Critical Entities Resilience, EU-Richtlinie vom 14.12.2022) um und ist seit 17.03.2026 in Kraft, das NIS2-Umsetzungsgesetz setzt die NIS2-Richtlinie um und gilt seit 06.12.2025. Der zentrale Unterschied liegt im Schutzgegenstand: Das KRITIS-DachG regelt die physische Resilienz kritischer Anlagen – also Perimeterschutz, Zutrittskontrolle, Redundanzen, Notfallpläne. NIS2 regelt dagegen die Cybersicherheit von Netz- und Informationssystemen.

In der Praxis betreffen beide Gesetze häufig dieselben Unternehmen, da physische und digitale Resilienz zusammenhängen: Ein Zutrittskontrollsystem etwa ist zugleich physische Schutzmaßnahme und IT-System. NIS2 hat zudem einen deutlich größeren Anwendungsbereich als das KRITIS-DachG, da es nahezu alle Rechenzentrums-Dienstleister und viele weitere Sektoren als benannte Kategorie erfasst, unabhängig von den höheren KRITIS-Schwellenwerten. CIBORIUS berät Betreiber, welche Anforderungen aus welchem Regelwerk konkret greifen, und wie sich physische und organisatorische Maßnahmen sinnvoll kombinieren lassen.

Ja – auch wenn Ihr eigenes Unternehmen die KRITIS-Schwellenwerte nicht erreicht, können Sie mittelbar in die Pflicht genommen werden, wenn Sie Leistungen für einen KRITIS-Betreiber erbringen. Das KRITIS-DachG verpflichtet Betreiber, die Resilienz ihrer gesamten Lieferkette zu bewerten und abzusichern – dazu gehören Zulieferer von Sicherheitsdienstleistungen, Wartung, IT-Services oder anderen betriebskritischen Leistungen. In der Praxis heißt das: Betreiber geben Sicherheitsanforderungen vertraglich an ihre Dienstleister weiter, etwa zu Personalüberprüfung, Zutrittsregelungen, Dokumentationspflichten oder Meldewegen bei Sicherheitsvorfällen.

Wer als Zulieferer eines KRITIS-Betreibers tätig ist oder werden will, sollte diese Anforderungen frühzeitig kennen, statt sie erst bei der Ausschreibung zu erfahren. CIBORIUS ist selbst als Sicherheitsdienstleister für KRITIS-Betreiber tätig und kennt die üblichen Vertrags- und Nachweispflichten aus erster Hand – sowohl als Betreiber-Partner als auch bei der Beratung eigener Zulieferer und Subunternehmer.

Die Risikoanalyse für eine KRITIS-Anlage ist gesetzlich Aufgabe des Betreibers – er trägt die Verantwortung gegenüber dem BSI und muss die Analyse dokumentieren und auf Anforderung vorlegen. In der praktischen Umsetzung wird die Analyse jedoch häufig gemeinsam mit spezialisierten Partnern durchgeführt, da sie physische Sicherheitsexpertise (Perimeterschutz, Zutrittssysteme, Bedrohungsszenarien), IT-Sicherheitswissen und Kenntnis der branchenspezifischen Schwellenwerte aus der BSI-KritisV verbindet – ein Aufwand, den viele Betreiber nicht allein mit internen Ressourcen leisten können.

CIBORIUS unterstützt Betreiber bei der physischen Risikoanalyse: von der Begehung und Bedrohungsbewertung vor Ort über die Identifikation von Schutzlücken bis zur Ableitung konkreter Maßnahmen (Perimeterschutz, Zutrittskontrolle, Alarmierung, NSL-Anbindung). Für die IT-seitige Risikoanalyse nach NIS2 empfehlen wir die Zusammenarbeit mit spezialisierten IT-Sicherheitsdienstleistern – CIBORIUS bringt bei Bedarf die physische und die digitale Perspektive zusammen, damit am Ende ein konsistentes Gesamtbild entsteht.

Zwei Fristen sind bereits verstrichen, eine dritte wurde inzwischen geändert. Das KRITIS-DachG ist am 17.03.2026 in Kraft getreten, das NIS2-Umsetzungsgesetz gilt seit dem 06.12.2025. Die BSIG-Registrierungspflicht (Cybersicherheit, beim BSI) hatte eine Frist bis zum 06.03.2026, die ebenfalls bereits abgelaufen ist.

Anders bei der physischen KRITIS-DachG-Registrierung beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK): Der ursprünglich feste Stichtag 17.07.2026 wurde am 12.06.2026 vom Bundestag per Gesetzesänderung aufgehoben. An seine Stelle tritt eine Frist, die erst drei Monate nach Inkrafttreten der noch ausstehenden KRITIS-Verordnung beginnt – ein konkretes Datum steht damit aktuell noch nicht fest. Betreiber sollten die Registrierung dennoch vorbereiten, um bei Inkrafttreten der Verordnung sofort reagieren zu können.

Nach der Registrierung folgt die erste Risikoanalyse, die anschließend in regelmäßigen Abständen (typischerweise alle vier Jahre) zu aktualisieren ist. Bei verspäteter oder unvollständiger Registrierung drohen Bußgelder bis 100.000 €, bei fehlenden Prüfnachweisen bis 500.000 € (§ 24 KRITIS-DachG).

Da sich Melde- und Umsetzungsfristen je nach Sektor unterscheiden können und sich die Rechtslage weiterentwickelt, empfehlen wir, den eigenen Status frühzeitig prüfen zu lassen, statt auf ein festes Datum zu warten. CIBORIUS unterstützt Betreiber dabei, einen eigenen Fristenkalender zu erstellen und Sicherheitskonzepte so rechtzeitig zu planen, dass Auditnachweise und Umsetzungstermine zuverlässig eingehalten werden.