Die Anforderungen an Betreiber kritischer Infrastrukturen verändern sich grundlegend. Neben der Cybersicherheit rückt zunehmend auch der physische Schutz von Anlagen, Einrichtungen und Versorgungsstrukturen in den Fokus des Gesetzgebers. Mit dem im März 2026 in Kraft getretenen KRITIS-Dachgesetz soll die Resilienz kritischer Infrastrukturen gegenüber Naturgefahren, Sabotage, Terrorismus und anderen physischen Bedrohungen nachhaltig gestärkt werden.
Der nachfolgende Beitrag basiert auf einem Fachvortrag von Daniel Rekowski, Risikomanager und Geschäftsführer der Perito GmbH, den er im Rahmen der KRIFA Münster – Fachkongress und Ausstellung Sicherheit und Krisenvorsorge am 15. und 16. Juli 2026 gehalten hat. Darin erläuterte Rekowski den aktuellen Stand der gesetzlichen Umsetzung, die praktischen Auswirkungen des KRITIS-Dachgesetzes sowie die Herausforderungen, denen Betreiber kritischer Infrastrukturen bei der Umsetzung der neuen Anforderungen gegenüberstehen.

Die sicherheitspolitische Lage in Europa hat sich in den vergangenen Jahren grundlegend verändert. Sabotageakte, hybride Bedrohungen, Cyberangriffe und gezielte Störungen kritischer Versorgungssysteme zeigen, dass sich die Risiken für Betreiber kritischer Infrastrukturen längst nicht mehr ausschließlich auf den digitalen Raum beschränken. Mit dem Inkrafttreten des KRITIS-Dachgesetzes erhält deshalb erstmals auch der physische Schutz kritischer Einrichtungen einen verbindlichen gesetzlichen Rahmen.
Für viele Unternehmen bedeutet dies einen Paradigmenwechsel. Während Informationssicherheit bereits seit Jahren regulatorisch verankert ist, rückt nun die Widerstandsfähigkeit der gesamten Organisation in den Mittelpunkt – von der Perimetersicherung über organisatorische Abläufe bis hin zu baulichen Schutzmaßnahmen und regelmäßigen Risikoanalysen.
„Die physische Sicherheit wurde lange Zeit gegenüber der Cybersicherheit etwas stiefmütterlich behandelt. Jetzt werden beide Bereiche gemeinsam betrachtet – und genau darin liegt die eigentliche Stärke des KRITIS-Dachgesetzes“, erläutert Daniel Rekowski.

Zwei Gesetze – zwei unterschiedliche Zielrichtungen

Ein wesentlicher Grund für die derzeitige Unsicherheit vieler Betreiber liegt in der häufigen Vermischung zweier verschiedener Regelwerke: der europäischen NIS2-Richtlinie und der CER-Richtlinie (Critical Entities Resilience), die in Deutschland durch das KRITIS-Dachgesetz umgesetzt wurde.
Beide verfolgen zwar das gemeinsame Ziel, die Resilienz kritischer Infrastrukturen zu stärken, setzen jedoch unterschiedliche Schwerpunkte. Während NIS2 vor allem Anforderungen an die Informations- und Cybersicherheit definiert und vom Bundesamt für Sicherheit in der Informationstechnik (BSI) begleitet wird, richtet sich das KRITIS-Dachgesetz auf den physischen Schutz kritischer Einrichtungen. Zuständig ist hierfür das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
In der öffentlichen Diskussion werden beide Regelwerke häufig miteinander verwechselt. Tatsächlich ergänzen sie sich jedoch. Erst das Zusammenspiel aus digitaler und physischer Sicherheit schafft ein ganzheitliches Sicherheitsniveau.
„Viele Betreiber beschäftigen sich seit Jahren intensiv mit Cybersecurity. Jetzt geht es darum, dieselbe Professionalität auch auf den physischen Schutz ihrer Anlagen zu übertragen“, erklärt Rekowski.

Ein langer Weg bis zum Gesetz

Der Weg zum KRITIS-Dachgesetz war lang und von intensiven politischen Diskussionen begleitet. Bereits 2022 begannen die Arbeiten an einem ersten Referentenentwurf. Es folgten zahlreiche Stellungnahmen von Verbänden, Industrieorganisationen, Kammern und kommunalen Spitzenverbänden. Dabei wurde vor allem kritisiert, dass das Gesetz in vielen Punkten zu abstrakt formuliert sei und konkrete Handlungsvorgaben fehlten.
Nach dem Regierungswechsel verzögerte sich das Verfahren zusätzlich. Erst im März 2026 trat das KRITIS-Dachgesetz schließlich in Kraft. Für Betreiber bedeutet dies jedoch nicht automatisch Klarheit. Zahlreiche praktische Fragen sollen erst durch eine neue KRITIS-Verordnung beantwortet werden, die derzeit erarbeitet wird. Sie wird unter anderem konkretisieren, welche Unternehmen tatsächlich betroffen sind und welche Anforderungen an Registrierung, Risikoanalysen und Resilienzmaßnahmen gelten.

Registrierung startet erst mit der neuen KRITIS-Verordnung

Obwohl das KRITIS-Dachgesetz bereits in Kraft ist, warten viele Betreiber weiterhin auf den Start der eigentlichen Umsetzung. Hintergrund ist die derzeit in Überarbeitung befindliche KRITIS-Verordnung, die zahlreiche Detailregelungen konkretisieren soll.
„Die bisherige KRITIS-Verordnung ist ausgelaufen. Jetzt wird sie neu geschrieben. Erst wenn diese neue Verordnung veröffentlicht ist, beginnt die eigentliche Umsetzungsfrist“, erläutert Rekowski.
Mit Veröffentlichung der neuen Verordnung beginnt für betroffene Betreiber ein verbindlicher Zeitplan. Innerhalb von drei Monaten müssen sie ihre Einrichtung registrieren. Anschließend bleiben neun Monate Zeit, die erste Risikoanalyse durchzuführen. Spätestens zehn Monate nach Abschluss dieser Analyse müssen erste nachweisbare Resilienzmaßnahmen umgesetzt sein. Dabei kann es sich um bauliche, technische oder organisatorische Maßnahmen handeln, die geeignet sind, die Widerstandsfähigkeit der Einrichtung nachhaltig zu erhöhen.
Auch danach endet die Verpflichtung nicht. Risikoanalysen müssen mindestens alle vier Jahre aktualisiert werden. Zudem sind Betreiber verpflichtet, meldepflichtige Sicherheitsvorfälle über das zentrale Meldeportal zu dokumentieren und die daraus gewonnenen Erkenntnisse in die nächste Risikoanalyse einfließen zu lassen.

Kritische Infrastruktur umfasst heute deutlich mehr Bereiche

Der Begriff der kritischen Infrastruktur reicht heute weit über Stromversorgung oder Wasserwerke hinaus.
Neben Energie, Verkehr, Telekommunikation und Gesundheitswesen gehören mittlerweile unter anderem auch große Logistikzentren, Teile der Ernährungswirtschaft, Einrichtungen der Sozialversicherung, die Siedlungsabfallentsorgung sowie der Weltraumsektor zu den relevanten Bereichen.
Diese Entwicklung trägt der Tatsache Rechnung, dass moderne Gesellschaften von zahlreichen miteinander vernetzten Versorgungssystemen abhängig sind. Bereits längere Ausfälle in einzelnen Bereichen können erhebliche wirtschaftliche und gesellschaftliche Folgen nach sich ziehen.
Entscheidend ist dabei nicht allein die Größe eines Unternehmens, sondern seine systemische Bedeutung für die Versorgung der Bevölkerung. Das KRITIS-Dachgesetz orientiert sich grundsätzlich daran, ob Leistungen für rund 500.000 Menschen unmittelbar oder mittelbar von einer Einrichtung abhängen.

Risikoanalysen werden zur zentralen Managementaufgabe

Im Mittelpunkt des neuen Gesetzes steht die systematische Risikoanalyse. Unternehmen müssen künftig sämtliche relevanten Gefährdungen identifizieren, bewerten und geeignete Schutzmaßnahmen ableiten. Dabei geht es ausdrücklich nicht nur um Cyberangriffe, sondern ebenso um physische Risiken wie Sabotage, Einbruch, Vandalismus oder gezielte Störungen kritischer Betriebsabläufe.
„Viele Betreiber haben bereits sehr gute IT-Sicherheitskonzepte. Beim physischen Schutz stehen sie dagegen häufig noch am Anfang“, beobachtet Rekowski aus seiner Beratungspraxis.
Dabei gehe es nicht darum, einzelne Sicherheitsmaßnahmen isoliert zu betrachten. Vielmehr müsse die gesamte Einrichtung als zusammenhängendes Schutzsystem verstanden werden – von der Grundstücksgrenze über Zutrittskontrollen bis hin zu organisatorischen Notfallprozessen. Ebenso seien Branchenverbände gefordert, ihren Mitgliedsunternehmen konkrete Empfehlungen und Mindeststandards für den physischen Schutz an die Hand zu geben.

Auch kleinere Sicherheitsvorfälle werden relevant

Mit dem KRITIS-Dachgesetz verändert sich auch der Umgang mit physischen Sicherheitsvorfällen.
Bereits das unbefugte Eindringen einer Person auf ein Betriebsgelände kann künftig meldepflichtig sein. Solche Ereignisse müssen über das zentrale Meldeportal dokumentiert werden und fließen in die weitere Bewertung der Sicherheitslage ein.
Darüber hinaus kann das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Betreiber auch außerhalb des regulären Vierjahresrhythmus zu einer erneuten Risikoanalyse verpflichten.
„Wenn sich Vorfälle häufen oder wiederholt Sicherheitslücken auftreten, kann das BBK eine anlassbezogene Risikoanalyse verlangen. Dann reicht es nicht aus, auf den nächsten regulären Prüfzyklus zu warten“, erläutert Rekowski.

Verstöße können teuer werden

Die Einhaltung der gesetzlichen Vorgaben ist keine freiwillige Aufgabe. Das KRITIS-Dachgesetz sieht Bußgelder von bis zu 500.000 Euro vor – etwa bei versäumten Fristen, falschen Angaben oder unterlassenen Meldungen sicherheitsrelevanter Ereignisse.
Aus seiner Beratungspraxis kennt Rekowski entsprechende Problemfälle bereits.
„Ich betreue derzeit mehrere Rechenzentren. Zwei davon haben sich gegenüber den Behörden kleiner dargestellt, als sie tatsächlich sind, um Meldepflichten zu vermeiden“, berichtet er. Langfristig sei eine solche Strategie jedoch mit erheblichen Risiken verbunden, da die Behörden ihre Prüfmechanismen kontinuierlich weiterentwickeln.

Zwischen Neubau und Bestandsimmobilie liegen Welten

Wie unterschiedlich die Ausgangssituationen der Betreiber sind, zeigt sich besonders deutlich bei Rechenzentren.
Während neu errichtete Datacenter bereits auf Grundlage moderner Sicherheitskonzepte geplant werden können, arbeiten viele Betreiber in angemieteten Bestandsimmobilien.
„Ein neu gebautes Datacenter auf der grünen Wiese lässt sich von Beginn an nach den Ergebnissen einer Risikoanalyse planen. Ganz anders sieht es aus, wenn Betreiber lediglich Flächen in bestehenden Gebäuden angemietet haben. Dort grenzen häufig öffentliche Bereiche direkt an sicherheitskritische Anlagen“, erklärt Rekowski.
In solchen Fällen lassen sich klassische Schutzmaßnahmen wie Sicherheitszäune oder Fahrzeugsperren oftmals nicht nachträglich realisieren. Stattdessen müssen Sicherheitszonen innerhalb des Gebäudes geschaffen werden – etwa durch mehrstufige Schleusensysteme, zusätzliche Zutrittskontrollen oder besonders geschützte Technikbereiche. Rekowski verweist auf Rechenzentren in innerstädtischen Mietobjekten, bei denen Kühlanlagen unmittelbar an öffentlich zugängende Bereiche angrenzen. Hier gelte es, die eigentlichen Hochsicherheitsbereiche konsequent ins Gebäudeinnere zu verlagern und durch mehrere Schutzebenen voneinander abzuschirmen.

Bestehende Anlagen stellen Betreiber vor besondere Herausforderungen

Während sich neue Rechenzentren oder Industrieanlagen bereits in der Planungsphase an modernen Sicherheitsanforderungen ausrichten lassen, gestaltet sich die Situation bei Bestandsanlagen deutlich schwieriger. Viele kritische Infrastrukturen wurden vor Jahrzehnten unter völlig anderen Rahmenbedingungen errichtet – zu einer Zeit, als Aspekte wie Sabotageschutz oder mehrstufige Sicherheitszonen kaum eine Rolle spielten.
Ein Beispiel hierfür sind Kraftwerke. Rekowski berichtet von einer Risikoanalyse eines ehemaligen Kohlekraftwerks, dessen Infrastruktur ursprünglich ausschließlich auf einen möglichst effizienten Betriebsablauf ausgelegt war.
„Früher stand die Logistik im Vordergrund. Die Kohlezüge und Lkw sollten möglichst schnell an die Blöcke gelangen. Das Ergebnis sind heute teilweise mehrere hundert Meter potenzielle Angriffsfläche mit geraden Zufahrten und nur einer einfachen Schrankenanlage“, erläutert er.
Die Herausforderung bestehe deshalb nicht darin, bestehende Anlagen vollständig neu zu errichten, sondern vorhandene Strukturen schrittweise an die heutige Bedrohungslage anzupassen. Dazu gehören beispielsweise Maßnahmen zur Geschwindigkeitsreduzierung von Fahrzeugen, zusätzliche Zufahrtssicherungen, räumlich gestaffelte Sicherheitszonen oder der gezielte Ausbau von Perimeterschutz und Zutrittskontrollen.

Risikoanalysen schaffen Transparenz statt Unsicherheit

In seiner täglichen Beratungspraxis begegnet Rekowski häufig einer gewissen Skepsis gegenüber den gesetzlich geforderten Risikoanalysen. Viele Betreiber befürchten, dass dabei erhebliche Investitionsdefizite sichtbar werden oder umfangreiche Sofortmaßnahmen erforderlich seien.
Diese Sorge hält er jedoch für unbegründet.
„Natürlich haben manche Betreiber zunächst Respekt vor einer Risikoanalyse. Schließlich wird dabei deutlich, an welchen Stellen über viele Jahre Investitionen unterblieben sind. Aber genau darum geht es nicht. Niemand erwartet, dass jahrzehntelang entstandene Defizite innerhalb eines Jahres beseitigt werden.“
Vielmehr verstehe sich die Risikoanalyse als strategisches Instrument. Sie zeige transparent auf, wo die größten Risiken bestehen und welche Maßnahmen priorisiert werden sollten. Dadurch entstehe eine belastbare Grundlage für Investitionsentscheidungen und eine nachvollziehbare Planung gegenüber Aufsichtsbehörden.
Gerade bei älteren Anlagen lasse sich die Umsetzung häufig nur schrittweise realisieren. Entscheidend sei daher weniger die sofortige Perfektion als vielmehr eine nachvollziehbare Strategie zur kontinuierlichen Verbesserung der Resilienz.

Branchenverbände übernehmen eine Schlüsselrolle

Neben den Betreibern selbst sieht Rekowski insbesondere die Branchenverbände in der Verantwortung. Sie könnten ihren Mitgliedsunternehmen praxisnahe Orientierung bieten und dabei helfen, die teilweise noch abstrakten gesetzlichen Anforderungen in konkrete technische Empfehlungen zu übersetzen.
„Die Verbände sind jetzt gefragt, ihren Mitgliedsunternehmen Empfehlungen an die Hand zu geben – beispielsweise für den physischen Schutz von Liegenschaften oder für Mindeststandards bei Risikoanalysen.“
Einheitliche Empfehlungen könnten nicht nur die Umsetzung erleichtern, sondern auch dazu beitragen, innerhalb einzelner Branchen vergleichbare Sicherheitsstandards zu etablieren.

Physische und digitale Sicherheit wachsen zusammen

Das KRITIS-Dachgesetz macht deutlich, dass Resilienz künftig ganzheitlich gedacht werden muss. Physische Sicherheit und Cybersicherheit lassen sich nicht länger voneinander trennen.
Ein wirksamer Schutz kritischer Infrastrukturen entsteht erst durch das Zusammenspiel verschiedener Maßnahmen – von organisatorischen Prozessen über bauliche Sicherungen bis hin zu modernen Informations- und Kommunikationstechnologien.
Gleichzeitig gewinnt die regelmäßige Überprüfung der Wirksamkeit dieser Maßnahmen an Bedeutung. Risikoanalysen sind künftig kein einmaliges Projekt mehr, sondern Bestandteil eines kontinuierlichen Verbesserungsprozesses. Neue Bedrohungen, technische Entwicklungen oder sicherheitsrelevante Vorfälle müssen fortlaufend bewertet und in bestehende Sicherheitskonzepte integriert werden.

Jetzt die Grundlagen für mehr Resilienz schaffen

Mit dem KRITIS-Dachgesetz beginnt für Betreiber kritischer Infrastrukturen eine neue Phase des Sicherheitsmanagements. Erstmals werden physische Resilienz, organisatorische Vorsorge und Cybersicherheit in einem übergreifenden regulatorischen Rahmen zusammengeführt.
Auch wenn zahlreiche Detailregelungen erst mit der neuen KRITIS-Verordnung konkretisiert werden, sollten Unternehmen die verbleibende Zeit nutzen, um ihre Sicherheitsstrukturen kritisch zu überprüfen. Wer frühzeitig mit Risikoanalysen beginnt, vorhandene Schwachstellen identifiziert und geeignete Maßnahmen priorisiert, wird nicht nur die gesetzlichen Anforderungen besser erfüllen, sondern auch seine Widerstandsfähigkeit gegenüber künftigen Bedrohungen nachhaltig stärken.

Für Rekowski steht dabei vor allem eines im Vordergrund: „Wichtig ist erst einmal überhaupt damit anzufangen. Genau das ist in vielen Bereichen bislang noch nicht erfolgt.“

Dieser pragmatische Ansatz bringt die Zielsetzung des KRITIS-Dachgesetzes auf den Punkt. Es geht nicht darum, innerhalb kürzester Zeit eine perfekte Sicherheitsarchitektur zu schaffen. Entscheidend ist vielmehr, einen systematischen Prozess in Gang zu setzen, Risiken transparent zu bewerten, Schutzmaßnahmen kontinuierlich weiterzuentwickeln und Resilienz dauerhaft als Bestandteil der Unternehmensstrategie zu verankern. [DCM]