Die Regierung hat das KRITIS-Dachgesetz beschlossen. Bis 17. Januar 2026 muss die Bundesregierung eine nationale Strategie zur Stärkung der Resilienz kritischer Infrastrukturen verabschieden. Das Gesetz dient der Umsetzung der EU-Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen („CER-Richtlinie“) und markiert einen weiteren Schritt zur Stärkung der physischen Resilienz kritischer Infrastrukturen in Deutschland. Das Gesetz schafft einen sektorübergreifenden nationalen Rahmen zum Schutz kritischer Anlagen jenseits der IT-Sicherheit und ergänzt bestehende Regelungen des BSI-Gesetzes, des NIS-2-Umsetzungsgesetzes und der DORA-Verordnung durch Vorgaben zum baulichen, organisatorischen und betrieblichen Schutz – also zur „physischen Sicherheit“ im Sinne eines All-Gefahren-Ansatzes.
Die EU-Richtlinie verpflichtet alle Mitgliedstaaten, Mindeststandards zur Resilienz in mindestens zehn Sektoren – darunter Energie, Gesundheit, Wasser, Telekommunikation und Finanzwesen – zu etablieren. Sie entstand vor dem Hintergrund einer zunehmenden Verwundbarkeit vernetzter Gesellschaften gegenüber hybriden Bedrohungen, Naturkatastrophen und Sabotage. Deutschland folgt mit dem KRITIS-Dachgesetz diesem europäischen Paradigmenwechsel: weg von einer rein technischen IT-Sicherheitsbetrachtung hin zu einem ganzheitlichen Schutzsystem für kritische Dienstleistungen. Damit rückt Deutschland in Einklang mit dem europäischen Ziel, den Binnenmarkt und die Versorgungssicherheit gegen Risiken zu stabilisieren.
Zentrales Element des Entwurfs ist die Pflicht zur Risikoanalyse, Registrierung und Erstellung von Resilienzplänen für Betreiber kritischer Anlagen. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) wird zur zentralen Anlaufstelle, die gemeinsam mit dem BSI eine digitale Plattform für Registrierung und Störungsmeldungen betreibt. Betreiber müssen erhebliche Vorfälle binnen 24 Stunden melden. Nationale Risikoanalysen werden regelmäßig unter Federführung des BMI erstellt und bilden die Grundlage für branchenspezifische Mindestanforderungen. Das Gesetz verknüpft die Resilienzpflichten der Betreiber mit staatlicher Aufsicht und europäischer Koordination – insbesondere bei Anlagen von „besonderer Bedeutung für Europa“, die in mehreren Mitgliedstaaten tätig sind.
In den europäischen Kontext eingeordnet, folgt Deutschland mit dem KRITIS-Dachgesetz dem Modell eines kooperativen Resilienzregimes, wie es die EU mit der CER-Richtlinie und der NIS-2-Richtlinie anstrebt. Beide Rechtsakte schaffen ein zweigliedriges Schutzsystem: digitale Resilienz (NIS-2) und physische Resilienz (CER). Deutschland bündelt diese Stränge, um Doppelstrukturen zu vermeiden und Synergien zu nutzen. Das stärkt die europäische Handlungsfähigkeit im Krisenfall, verbessert den Informationsaustausch und fördert die Kohärenz mit Nachbarstaaten, insbesondere bei Energie, Transport und Kommunikation.
Für die Sicherheitslage Deutschlands hat das Gesetz erhebliche strategische Bedeutung. Vor dem Hintergrund wachsender Bedrohungen wird die Resilienz kritischer Anlagen als Teil der gesamtstaatlichen Sicherheitsvorsorge verstanden. Das KRITIS-Dachgesetz unterstützt damit direkt die Umsetzung des Operationsplans „Gesamtverteidigung“ (OPLAN GesV) und die vom Bundeskabinett 2024 beschlossene Nationale Sicherheitsstrategie. Es stärkt die zivilen Grundlagen der Verteidigungsfähigkeit, indem es Versorgungssicherheit, Notfallvorsorge und staatliche Koordinationsmechanismen neu ordnet. Der systematische Einbezug von Betreibern, Branchenverbänden und Ländern schafft ein Netzwerk aus Staat, Wirtschaft und Gesellschaft – zentral für die gesamtgesellschaftliche Resilienz im Krisen- oder Verteidigungsfall.
Gesamtgesellschaftlich fügt sich das KRITIS-Dachgesetz in den Wandel von einer reaktiven Gefahrenabwehr hin zu einer präventiven Resilienzpolitik ein. Es operationalisiert die Idee der „resilienten Demokratie“: Der Schutz kritischer Infrastrukturen wird als Teil der Daseinsvorsorge, der wirtschaftlichen Stabilität und der Verteidigungsfähigkeit betrachtet. Damit wird das Gesetz zu einem Schlüsselbaustein moderner gesamtgesellschaftlicher Verteidigung, der staatliche, wirtschaftliche und gesellschaftliche Akteure unter einem europäischen Dach integriert.
Über den Autor
Tom Vogt ist Senior Information Security Architect KRITIS & cyber GmbH
Quellangaben
Beitrag von Tom Vogt im aktuellen Report des Zukunftsinstituts
Titelbild von thanarak – stock.adobe.com (geniert mit KI)
