KRITIS-Dachgesetz: Anforderungen und Pflichten für Betreiber kritischer Anlagen

Gesetzlicher Kontext: CER-Richtlinie und KRITIS-Dachgesetz

Mit der CER-Richtlinie (EU) 2022/2557 (Critical Entities Resilience Directive) hat die Europäische Union einen einheitlichen Rahmen geschaffen, um die Resilienz kritischer Einrichtungen gegenüber physischen Bedrohungen zu stärken. Ziel ist es, die Funktionsfähigkeit kritischer Dienstleistungen auch bei Naturkatastrophen, Sabotage, Terrorismus, hybriden Bedrohungen oder anderen schwerwiegenden Störungen sicherzustellen. Europäische Richtlinien sind ihrer Bestimmung nach durch nationale Gesetzgebung in nationale Gesetze zu „übersetzen“.

Deutschland hat diese europäischen Vorgaben mit dem KRITIS-Dachgesetz (KRITIS-DachG) in nationales Recht umgesetzt. Das Gesetz ist Anfang 2026 in Kraft getreten und schafft erstmals einen sektorübergreifenden Rechtsrahmen für den physischen Schutz und die organisatorische Resilienz kritischer Anlagen.

Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen unter anderem dazu,

• Risiken systematisch zu identifizieren und zu bewerten,
• angemessene Resilienzmaßnahmen umzusetzen,
• Sicherheits- und Krisenvorsorge organisatorisch zu verankern,
• erhebliche Sicherheitsvorfälle an die zuständigen Behörden zu melden sowie
• die Wirksamkeit ihrer Resilienzmaßnahmen regelmäßig zu überprüfen.

Dabei verfolgt das Gesetz einen Allgefahrenansatz. Unternehmen müssen ihre Widerstandsfähigkeit gegenüber sämtlichen relevanten Gefährdungen sicherstellen – unabhängig davon, ob diese durch Naturereignisse, technische Ausfälle, Sabotage, Terrorismus oder andere Ursachen entstehen. Dies spiegelt eine Denkweise wieder, die in PREVISEC schon lange effektiv umgesetzt und von Kunden erfolgreich implementiert und genutzt wird.

Während die (ebenfalls neu erarbeitete) NIS2-Richtlinie Anforderungen an die Cybersicherheit definiert, richtet sich das KRITIS-Dachgesetz auf die physische Resilienz und organisatorische Krisenvorsorge kritischer Anlagen. Beide Regelwerke ergänzen sich und bilden gemeinsam die Grundlage für einen ganzheitlichen Schutz kritischer Infrastrukturen in Deutschland.

Ziele des KRITIS-Dachgesetzes und betroffene Unternehmen

Welche Ziele verfolgt das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz schafft einen bundesweit einheitlichen und sektorübergreifenden Rechtsrahmen zur Stärkung der Resilienz kritischer Infrastrukturen. Es ergänzt bestehende sektorspezifische Vorschriften ( wie zum Beispiel bestehenden Vorgaben des Energiewirtschaftsgesetzes) und verpflichtet Betreiber kritischer Anlagen dazu, relevante Risiken systematisch zu bewerten, angemessene Resilienzmaßnahmen umzusetzen und ihre Handlungsfähigkeit bei erheblichen Störungen sicherzustellen.

Ziel ist es, die Erbringung kritischer Dienstleistungen auch unter erschwerten Bedingungen aufrechtzuerhalten oder nach einem Vorfall schnell wiederherzustellen. Das Gesetz verfolgt dafür einen umfassenden Allgefahrenansatz. Berücksichtigt werden unter anderem Naturgefahren, Extremwetterereignisse, Unfälle, technisches oder menschliches Versagen, Sabotage, Terrorismus und weitere hybride Bedrohungen. Auch Abhängigkeiten von anderen Betreibern, Sektoren, Lieferketten und grenzüberschreitenden Dienstleistungen müssen in die Risikobetrachtung einbezogen werden.

Im Mittelpunkt des KRITIS-Dachgesetzes stehen insbesondere die folgenden Anforderungen:

Registrierung kritischer Anlagen

Betreiber müssen ihre kritischen Anlagen beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren. Dabei sind unter anderem Angaben zum Betreiber, zum zuständigen Sektor, zur erbrachten kritischen Dienstleistung sowie zu den betroffenen Anlagen zu übermitteln. Die Registrierung schafft eine einheitliche Grundlage für die behördliche Koordination und Aufsicht.

Nationale und betriebliche Risikoanalysen

Die zuständigen staatlichen Stellen erstellen nationale Risikoanalysen und Risikobewertungen. Betreiber kritischer Anlagen müssen darauf aufbauend eigene Risikoanalysen durchführen – bei Bedarf, mindestens jedoch alle vier Jahre. Dabei sind sowohl unmittelbare Gefahren als auch sektorübergreifende Abhängigkeiten und mögliche Auswirkungen auf die Verfügbarkeit kritischer Dienstleistungen zu berücksichtigen.

Verbindliche Resilienzmaßnahmen und Resilienzpläne

Betreiber sind verpflichtet, verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zur Stärkung ihrer Resilienz zu ergreifen. Diese sollen Vorfälle verhindern, den physischen Schutz kritischer Anlagen gewährleisten, eine wirksame Reaktion ermöglichen und die schnelle Wiederherstellung kritischer Dienstleistungen unterstützen.

Die getroffenen Maßnahmen müssen in einem Resilienzplan dokumentiert, angewendet und bei Bedarf aktualisiert werden. Dazu gehören beispielsweise Risiko- und Krisenmanagementverfahren, festgelegte Abläufe im Alarmfall, Maßnahmen zur Aufrechterhaltung des Betriebs, alternative Lieferketten, personelle Sicherheitsmaßnahmen sowie Schulungen und Übungen.

Meldung und Auswertung von Vorfällen

Vorfälle, die die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnten, sind dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnis zu melden. Bei andauernden Vorfällen muss die Erstmeldung aktualisiert werden. Innerhalb eines Monats ist grundsätzlich ein ausführlicher Bericht einzureichen.
Insbesondere bei der zuverlässigen internen Bewertung aller Ereignisse hinsichtlich der potentiellen Meldepflicht sowie die fristgerechte Übermittlung der relevanten Informationen ist eine wohl etablierte Single Source of Truth wie PREVISEC extrem hilfreich. Sie vereinfacht Überblick, Bewertung, Dokumentation und die Überwachung der zeitgerechten Aktivitäten (Erstmeldung, Aktualisierungen, Bericht).

Die eingehenden Meldungen dienen unter anderem der Erstellung regelmäßiger und anlassbezogener Lagebilder. Dadurch sollen Entwicklungen frühzeitig erkannt, Betreiber gezielter unterstützt und sektorübergreifende Risiken besser bewertet werden.

Verantwortung der Geschäftsleitung

Die Umsetzung und Überwachung der gesetzlichen Pflichten ist auch eine Aufgabe der Geschäftsleitung. Für Vorstände und Geschäftsführungen bedeutet dies, dass Resilienz nicht ausschließlich an Corporate Security, Business Continuity Management oder Krisenmanagement delegiert werden kann. Erforderlich sind klare Zuständigkeiten, nachvollziehbare Entscheidungswege und eine wirksame Kontrolle der umgesetzten Maßnahmen.

Welche Unternehmen fallen unter das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz gilt nicht pauschal für alle Unternehmen, die gesellschaftlich oder wirtschaftlich wichtig sind. Entscheidend ist, ob ein Betreiber eine Anlage kontrolliert, die für die Erbringung einer gesetzlich bestimmten kritischen Dienstleistung erheblich ist.

Der gesetzliche Geltungsbereich umfasst folgende Sektoren:

• Energie

• Transport und Verkehr

• Finanzwesen

• Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende

• Gesundheitswesen

• Wasser

• Ernährung

• Informationstechnik und Telekommunikation

• Weltraum

• Siedlungsabfallentsorgung

Ob eine konkrete Anlage als kritisch gilt, richtet sich insbesondere nach den durch Rechtsverordnung festgelegten Anlagenkategorien und Schwellenwerten zum Versorgungsgrad. Maßgeblich ist damit vor allem die Bedeutung einer Anlage für die Versorgung mit einer kritischen Dienstleistung – nicht allein die Größe oder Mitarbeiterzahl des betreibenden Unternehmens.

Betroffen sein können beispielsweise Energie- und Wasserversorger, Verkehrs- und Logistikunternehmen, Krankenhäuser und andere Einrichtungen des Gesundheitswesens, Lebensmittelunternehmen, Rechenzentren, Telekommunikationsanbieter, Finanzunternehmen sowie Betreiber von Anlagen der Abfallentsorgung oder Weltrauminfrastruktur.

Für einzelne Sektoren und Betreiber gelten allerdings besondere Abgrenzungen und Ausnahmen. So greifen teilweise vorrangige europäische oder nationale Spezialregelungen, beispielsweise im Finanzwesen oder im Bereich der Informations- und Kommunikationstechnik. Unternehmen sollten ihren Anwendungsbereich deshalb nicht allein anhand ihrer Branchenzugehörigkeit beurteilen, sondern die konkret erbrachte Dienstleistung, die jeweilige Anlage und die maßgeblichen Schwellenwerte prüfen.

Kritische Anlagen nach KRITIS-Dachgesetz

Was sind kritische Anlagen?

Das KRITIS-Dachgesetz definiert eine kritische Anlage als eine Anlage, die für die Erbringung einer kritischen Dienstleistung von erheblicher Bedeutung ist. Entscheidend ist damit nicht allein, ob ein Unternehmen in einem KRITIS-Sektor tätig ist, sondern welche konkrete Funktion eine Anlage für die Versorgung der Allgemeinheit erfüllt.

Als kritische Dienstleistungen gelten Leistungen in den Bereichen:

• Energie
• Transport und Verkehr
• Finanzwesen
• Sozialversicherung und Grundsicherung für Arbeitsuchende
• Gesundheitswesen
• Wasser
• Ernährung
• Informationstechnik und Telekommunikation
• Weltraum
• Siedlungsabfallentsorgung

Eine Dienstleistung ist insbesondere dann kritisch, wenn ihr Ausfall oder ihre Beeinträchtigung zu erheblichen Versorgungsengpässen, Gefährdungen der öffentlichen Sicherheit oder vergleichbaren schwerwiegenden Folgen führen kann. Für Unternehmen bedeutet das: Nicht jede Anlage eines Betreibers fällt automatisch unter das KRITIS-Dachgesetz. Maßgeblich ist, ob die jeweilige Anlage für eine kritische Dienstleistung erforderlich ist und die gesetzlich beziehungsweise durch Rechtsverordnung festgelegten Kriterien und Schwellenwerte erfüllt.

Typische Beispiele für kritische Anlagen sind etwa Energieerzeugungs- und Verteilanlagen, Wasserwerke, Krankenhäuser, Rechenzentren, Telekommunikationsinfrastrukturen, Verkehrsleitstellen oder zentrale Einrichtungen der Lebensmittelversorgung. Für Geschäftsleitungen sowie Verantwortliche aus Corporate Security, BCM, Risiko- und Krisenmanagement ist daher eine anlagenbezogene Prüfung erforderlich: Welche kritischen Dienstleistungen erbringt das Unternehmen, welche Anlagen sind hierfür unverzichtbar und welche Auswirkungen hätte deren Ausfall auf die Versorgung der Allgemeinheit?

Wer muss sich wie genau registrieren?

Registrierungspflichtig sind die Betreiber von Anlagen unter Angabe von klar vorgegebenen Informationen zur Anlage. Ob eine Anlage als kritisch gilt, richtet sich nach ihrer Anlagenkategorie und ihrem Versorgungsgrad. Die konkreten Schwellenwerte können je nach Sektor, Branche, Dienstleistung und Anlagenart unterschiedlich ausfallen. Als gesetzlicher Regelwert gelten grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Bestimmte Anlagen können jedoch unabhängig von einem solchen Schwellenwert als kritisch eingestuft werden. Zudem ist im Einzelfall eine behördliche Feststellung möglich, wenn die tatsächliche Bedeutung einer Anlage von den festgelegten Kriterien abweicht.

Sobald eine Anlage als kritische Anlage gilt, muss der Betreiber sie grundsätzlich innerhalb von drei Monaten beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren. Das bedeutet auch, dass eine regelmäßige Überprüfung der Kritikalität der Anlagen zu erfolgen hat: Eine Änderung des Status führt sofort zu einer Meldepflicht, die binnen 3 Monaten zu erfüllen ist.
Für die erstmalige Registrierung galt als frühester Stichtag der 17. Juli 2026. Die Registrierung erfolgt über eine gemeinsame Registrierungsmöglichkeit von BBK und BSI.

Anzugeben sind bei der Meldung unter anderem:

• Name, Rechtsform und Kontaktdaten des Betreibers,
• Sektor, Branche und kritische Dienstleistung,
• Kategorie und Standort der kritischen Anlage,
• Versorgungsgrad und Versorgungsgebiet,
• eine zuständige Kontaktstelle sowie
• gegebenenfalls weitere Angaben zu kritischen Komponenten und grenzüberschreitend erbrachten Dienstleistungen

Änderungen der allgemeinen Registrierungsdaten müssen unverzüglich, spätestens innerhalb von zwei Wochen nach Kenntnis, gemeldet werden. Geänderte Werte zum Versorgungsgrad sind einmal jährlich zu übermitteln. Erfüllt ein Betreiber seine Registrierungspflicht nicht, kann das BBK Auskünfte und Unterlagen anfordern und die Registrierung nach Anhörung des Betreibers selbst vornehmen.

Für Unternehmen bedeutet das: Nicht allein die Branche entscheidet über die Betroffenheit. Corporate Security, BCM, Risikomanagement und Geschäftsleitung sollten konkret prüfen, welche Dienstleistungen erbracht werden, welche Anlagen dafür erheblich sind und ob die jeweils geltenden Schwellenwerte erreicht oder überschritten werden.

Pflichten für Unternehmen unter dem KRITIS-Dachgesetz

Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen dazu, ihre Widerstandsfähigkeit gegenüber einem breiten Spektrum möglicher Gefahren systematisch zu stärken. Für Vorstände, Geschäftsführungen sowie Verantwortliche aus Corporate Security, Business Continuity Management, Risiko- und Krisenmanagement bedeutet das: Resilienz muss nicht nur konzeptionell geplant, sondern in belastbare Strukturen, dokumentierte Abläufe und tatsächlich anwendbare Maßnahmen übersetzt werden.

Die konkreten Maßnahmen müssen sich am individuellen Risikoprofil der kritischen Anlage orientieren. Sie müssen verhältnismäßig sein, sollen dem Stand der Technik entsprechen und sowohl das Risiko eines Ausfalls als auch die Leistungsfähigkeit des Betreibers berücksichtigen.

Risikoanalyse und Risikobewertung

Betreiber kritischer Anlagen müssen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine eigene Risikoanalyse und Risikobewertung durchführen. Dabei sind nicht nur direkte Gefahren für den eigenen Betrieb zu betrachten. Auch Abhängigkeiten von anderen Betreibern, Sektoren, Lieferketten und grenzüberschreitenden Dienstleistungen müssen berücksichtigt werden.

Für Unternehmenssicherheit, BCM und Krisenmanagement entsteht daraus die Aufgabe, Risiken nicht isoliert nach Fachbereichen zu bewerten. Entscheidend ist vielmehr, welche Auswirkungen ein Ereignis auf die Verfügbarkeit der kritischen Dienstleistung haben kann.

Angemessene Resilienzmaßnahmen umsetzen

Auf Grundlage der Risikoanalyse müssen Betreiber technische, sicherheitsbezogene und organisatorische Resilienzmaßnahmen treffen. Diese verfolgen vier zentrale Ziele:

• Vorfälle möglichst verhindern,
• Liegenschaften und kritische Anlagen angemessen schützen,
• auf Vorfälle reagieren und deren Auswirkungen begrenzen,
• die kritische Dienstleistung nach einem Vorfall zügig wiederherstellen.

Welche Maßnahmen erforderlich sind, hängt von den festgestellten Risiken ab. Das Gesetz nennt unter anderem Notfallvorsorge, Objekt- und Zugangsschutz, Verfahren zur Überwachung der Umgebung, Risiko- und Krisenmanagement, definierte Alarmabläufe, Notstromversorgung, alternative Lieferketten sowie Sicherheitsmaßnahmen für eigene Mitarbeitende und externe Dienstleister.

Damit schreibt das KRITIS-Dachgesetz keine identische Sicherheitsarchitektur für alle Betreiber vor. Gefordert ist eine nachvollziehbare, risikobasierte und für die jeweilige Anlage geeignete Lösung.

Resilienzplan erstellen und anwenden

Die getroffenen Maßnahmen müssen in einem Resilienzplan dargestellt und im operativen Betrieb angewendet werden. Aus dem Plan muss hervorgehen, aus welchen Erwägungen die einzelnen Maßnahmen gewählt wurden und wie sie mit der Risikoanalyse und Risikobewertung zusammenhängen.

Der Resilienzplan ist bei Bedarf sowie nach einer erneuten Risikoanalyse und Risikobewertung zu aktualisieren. Er ist damit kein statisches Compliance-Dokument, sondern die verbindende Grundlage zwischen Risikobewertung, Vorsorge, Alarmierung, Krisenreaktion und Wiederherstellung.

Vorfälle erkennen, bewerten und melden

Betreiber müssen Vorfälle, die eine kritische Dienstleistung erheblich beeinträchtigen oder beeinträchtigen könnten, unverzüglich an die gemeinsame Meldestelle von BBK und BSI melden. Die Erstmeldung muss spätestens innerhalb von 24 Stunden nach Kenntnis erfolgen. Bei einem andauernden Vorfall ist sie zu aktualisieren; spätestens nach einem Monat ist grundsätzlich ein ausführlicher Bericht zu übermitteln.

Für die betroffenen Organisationen ist deshalb ein durchgängiger Prozess erforderlich: von der Ereigniserfassung und Erstbewertung über die interne Eskalation bis zur fristgerechten Meldung und nachvollziehbaren Dokumentation. Genau an dieser Schnittstelle müssen Operations, Corporate Security, IT, BCM, Kommunikation und Geschäftsleitung verlässlich zusammenarbeiten. Insbesondere die bereichsübergreifende Zusammenarbeit, Abstimmung und der zuverlässige Informationsaustausch laufen besser mit PREVISEC.

Beschäftigte vorbereiten und Übungen durchführen

Das Gesetz nennt Informationsmaterialien, Schulungen und Übungen ausdrücklich als mögliche Maßnahmen, um Beschäftigte mit den vorgesehenen Sicherheits-, Notfall- und Krisenprozessen vertraut zu machen. Daraus folgt jedoch keine pauschale Vorgabe, sämtliche Mitarbeitenden in festen gesetzlichen Intervallen zu schulen.

Um im Ereignisfall wirksam zu sein, sollten Betreiber die relevanten Rollen zielgerichtet vorbereiten und ihre Alarm-, Eskalations- und Krisenprozesse regelmäßig praktisch erproben. Dies betrifft insbesondere Mitglieder von Notfall- und Krisenteams, Betriebsverantwortliche, Sicherheitsfunktionen sowie eingebundene externe Dienstleister. Dazu bindet die Plattform PREVISEC Simulationstool ein: So können realistische Szenarien direkt in der Umgebung für die gemeinsame Bewältigung geprobt werden.

Nachweise und behördliche Kontrollen

Die zuständige Behörde kann Informationen und geeignete Nachweise zur Umsetzung der Resilienzpflichten verlangen. Dazu kann insbesondere der Resilienzplan gehören. Nachweise können auch durch Audits erbracht werden.

Im Rahmen einer Prüfung können Betreiber verpflichtet sein, Zugang zu relevanten Geschäftsräumen, Anlagen, Systemen, Informationen und Unterlagen zu ermöglichen. Werden Mängel festgestellt, kann die Behörde einen Mängelbeseitigungsplan sowie geeignete Korrekturmaßnahmen und Nachweise verlangen. Die Auswahl der zu kontrollierenden Betreiber erfolgt risikobasiert.

Bereits vorhandene Risikoanalysen, Zertifikate, Dokumente und Resilienzmaßnahmen können unter bestimmten Voraussetzungen als Nachweis verwendet werden. Das soll Doppelarbeit reduzieren und bestehende Managementsysteme nutzbar machen.

Verantwortung der Geschäftsleitung

Die Umsetzung der Resilienzpflichten ist ausdrücklich eine Aufgabe der Geschäftsleitung. Vorstände und Geschäftsführungen müssen sicherstellen, dass die erforderlichen Maßnahmen umgesetzt und durch geeignete Organisationsstrukturen abgesichert werden.

Bei einer schuldhaften Pflichtverletzung kann eine Haftung gegenüber der eigenen Einrichtung nach den jeweils anwendbaren gesellschaftsrechtlichen Regeln entstehen. Die Aussage, Verstöße führten generell zu einer persönlichen Haftung, wäre jedoch zu pauschal. Entscheidend sind die konkrete Pflichtverletzung, das Verschulden, ein entstandener Schaden und die anwendbaren gesellschaftsrechtlichen Vorschriften.

Registrierung kritischer Anlagen

Betreiber müssen ihre kritischen Anlagen grundsätzlich spätestens drei Monate, nachdem diese als kritisch gelten, über die gemeinsame Registrierungsmöglichkeit von BBK und BSI registrieren. Ob eine Anlage erfasst ist, richtet sich insbesondere nach Sektor, Anlagenkategorie, kritischer Dienstleistung und den maßgeblichen Schwellenwerten.

Was Unternehmen jetzt organisatorisch sicherstellen sollten

Für betroffene Betreiber reicht es nicht aus, bestehende Notfallpläne lediglich redaktionell zu ergänzen. Benötigt wird ein durchgängiges Betriebsmodell, das Risikoanalyse, Ereigniserkennung, Bewertung, Alarmierung, Maßnahmensteuerung, Krisenkommunikation, Wiederherstellung und Nachweisführung miteinander verbindet.

Für Verantwortliche aus Corporate Security, BCM und Krisenmanagement steht damit eine zentrale Frage im Raum: Sind die festgelegten Prozesse im realen Vorfall ausführbar, fachbereichsübergreifend steuerbar und gegenüber Geschäftsleitung und Behörden nachvollziehbar dokumentiert?

PREVISEC setzt genau an dieser operativen Ebene an: von der strukturierten Erfassung eines Ereignisses über Alarmierung, Lagebild und Maßnahmensteuerung bis zur dokumentierten Nachbereitung. Die Plattform ersetzt weder die rechtliche Einordnung noch bauliche oder technische Schutzmaßnahmen, unterstützt jedoch dabei, die organisatorischen Prozesse des Incident- und Krisenmanagements konsistent, handlungsfähig und nachweisbar umzusetzen.

Was muss mein Resilienzplan enthalten?

Eine feste Gliederung, Seitenzahl oder ein bestimmtes Dateiformat schreibt das KRITIS-Dachgesetz nicht vor. Inhaltlich bestehen jedoch klare Mindestanforderungen.

Nach § 13 Absatz 4 muss der Resilienzplan:

• die umgesetzten Resilienzmaßnahmen darstellen,
• die diesen Maßnahmen zugrunde liegenden Erwägungen erläutern,
• auf die betriebliche Risikoanalyse und Risikobewertung Bezug nehmen,
• tatsächlich angewendet werden und
• bei Bedarf sowie nach jeder neuen Risikoanalyse und Risikobewertung aktualisiert werden.

Damit muss der Plan insbesondere die Maßnahmen abbilden, mit denen der Betreiber Vorfälle verhindert, Anlagen schützt, auf Ereignisse reagiert, Auswirkungen begrenzt und kritische Dienstleistungen schnell wiederherstellt. Dazu können unter anderem Alarmabläufe, Risiko- und Krisenmanagementverfahren, Notstromversorgung, alternative Lieferketten, Personalsicherheit, Schulungen und Übungen gehören.

Struktur und Umfang ergeben sich daher aus dem konkreten Risikoprofil der Anlage. Ein komplexer Betreiber mit mehreren Standorten und starken Lieferkettenabhängigkeiten benötigt regelmäßig einen umfangreicheren Plan als eine einzelne, klar abgrenzbare Anlage. Das Gesetz folgt insoweit einem risikobasierten und verhältnismäßigen Ansatz. Zusätzliche Konkretisierungen können durch sektorübergreifende Mindestanforderungen, Rechtsverordnungen oder anerkannte branchenspezifische Resilienzstandards erfolgen. Außerdem sieht das Gesetz Vorlagen und Muster des BBK für die Erstellung vor.

Themenseite: Kritische Infrastrukturen – BBK

Mit PREVISEC Anforderungen des KRITIS-Dachgesetzes wirksam umsetzen

Das KRITIS-Dachgesetz schafft einen einheitlichen, sektorübergreifenden Rahmen für die Resilienz kritischer Anlagen. Für betroffene Betreiber ergibt sich daraus ein klarer organisatorischer Auftrag: Risiken müssen systematisch bewertet, Resilienzmaßnahmen nachvollziehbar geplant und Vorfälle wirksam bewältigt werden. Verantwortlichkeiten, Alarmierungswege, Krisenprozesse und getroffene Entscheidungen müssen dabei nicht nur definiert, sondern im Ereignisfall tatsächlich anwendbar und gegenüber Geschäftsleitung und Behörden nachvollziehbar sein.

Angesichts wachsender Risiken durch Extremwetter, technische Ausfälle, Sabotage, hybride Bedrohungen und komplexe Abhängigkeiten wird ein leistungsfähiges digitales Incident- und Krisenmanagement zu einem zentralen Baustein der organisatorischen Resilienz. Die gesetzlichen Anforderungen sollten deshalb nicht ausschließlich als Compliance-Aufgabe verstanden werden. Richtig umgesetzt, stärken sie die Reaktionsfähigkeit, reduzieren Ausfallrisiken und verbessern die Zusammenarbeit über Fachbereiche und Standorte hinweg.

Genau hier unterstützt PREVISEC als spezialisierte Plattform für digitales Incident- und Krisenmanagement:

Zentrale Informations- und Lageführung:
Bündeln Sie Meldungen, Lageinformationen, Zuständigkeiten und relevante Dokumente in einer zentralen Arbeitsumgebung. So erhalten alle berechtigten Beteiligten ein aktuelles und einheitliches Lagebild.

Strukturierte Alarmierung und Eskalation:
Aktivieren Sie definierte Meldeketten und informieren Sie die zuständigen internen und externen Stellen gezielt. Rollen, Verantwortlichkeiten und Eskalationswege bleiben auch unter Zeitdruck transparent.

Digitale Maßnahmensteuerung:
Weisen Sie Aufgaben eindeutig zu, verfolgen Sie Bearbeitungsstände und koordinieren Sie die Zusammenarbeit zwischen Corporate Security, BCM, Krisenmanagement, IT, Betrieb und Geschäftsleitung.

Nachvollziehbare Dokumentation und Reporting:
Erfassen Sie Ereignisse, Bewertungen, Entscheidungen und Maßnahmen fortlaufend. Dadurch entsteht eine belastbare Grundlage für Nachbereitung, interne Kontrollen, Audits und behördliche Nachweise.

Praxisnahe Vorlagen und standardisierte Abläufe:
Nutzen Sie vorbereitete Checklisten, Prozesse und Szenarien für Incident-, Notfall- und Krisenmanagement. Bestehende Strukturen lassen sich digital abbilden und organisationsspezifisch weiterentwickeln.

PREVISEC ersetzt keine Risikoanalyse, Rechtsberatung oder bauliche und technische Schutzmaßnahme. Die Plattform unterstützt Betreiber jedoch dabei, die organisatorischen Anforderungen des KRITIS-Dachgesetzes in belastbare, ausführbare und nachvollziehbar dokumentierte Prozesse zu überführen.

Unternehmen profitieren damit nicht nur bei der Erfüllung regulatorischer Pflichten. Klare Abläufe, aktuelle Lageinformationen und eine koordinierte Maßnahmensteuerung erhöhen die Reaktionsgeschwindigkeit, verkürzen potenzielle Ausfallzeiten und stärken die Handlungsfähigkeit gegenüber Behörden, Auditoren, Kunden und weiteren Stakeholdern.

Resilienzprozesse jetzt digital stärken

Prüfen Sie, wie sich Ihre bestehenden Risiko-, Notfall- und Krisenprozesse mit PREVISEC strukturiert abbilden, wirksam steuern und nachvollziehbar dokumentieren lassen.

👉 Jetzt unverbindlichen Beratungstermin mit PREVISEC buchen