Analyse · Sicherheit

KRITIS: Wer schützt Deutschlands kritische Infrastruktur wirklich?

Faktenbasierte Einordnung · Lesezeit ca. 12 Minuten

KRITIS steht für kritische Infrastrukturen – und die Frage, wer sie schützt, ist seit 2026 neu geregelt. Ein flächendeckender Stromausfall, ein lahmgelegtes Klinikum, ein sabotiertes Umspannwerk: Szenarien, die früher nach Thriller klangen, sind heute Teil der Bedrohungslage. „Deutschland befindet sich nicht im Krieg, aber wir sind Ziel einer hybriden Kriegsführung“, brachte es Bundesinnenminister Dobrindt auf den Punkt. Doch wer schützt die lebenswichtige Infrastruktur eigentlich – und reichen die neuen Gesetze?

Was zählt überhaupt als kritische Infrastruktur?

KRITIS sind Einrichtungen, deren Ausfall die Versorgung der Bevölkerung erheblich stören würde. Das neue KRITIS-Dachgesetz fasst erstmals bundesweit zehn Sektoren: Energie; Transport und Verkehr; Finanzwesen; Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende; Gesundheitswesen; Wasser; Ernährung; Informationstechnik und Telekommunikation; Weltraum – erfasst sind die Bodeninfrastrukturen weltraumgestützter Dienste; Siedlungsabfallentsorgung zusammen. Die öffentliche Verwaltung ist kein Sektor nach § 4; Einrichtungen der Bundesverwaltung werden aber separat über § 7 erfasst, mit besonderen Ausnahmen.

Der gesetzliche Regelwert für die Festlegung von Schwellenwerten beträgt grundsätzlich 500.000 zu versorgende Einwohner. Welche Anlagen tatsächlich erfasst werden, wird durch die noch ausstehende Identifizierungsverordnung mit Anlagenkategorien, Schwellenwerten und Stichtagen konkretisiert. Maßgeblich ist dabei die Anlage, nicht das Unternehmen. Entscheidend ist dabei die gegenseitige Abhängigkeit: Fällt der Strom, stehen schnell auch Wasser, Kommunikation und Verkehr still. Ein Dominoeffekt, der kleine Vorfälle zu großen Krisen macht.

Genau diese Verkettung wird unterschätzt. Ein Rechenzentrum ist kein Wasserwerk – aber wenn die Leitstelle des Wasserwerks über dieses Rechenzentrum läuft, hängt die Trinkwasserversorgung an einer IT-Anlage. Wer seine eigene Kritikalität einschätzen will, muss deshalb nicht nur die eigene Anlage betrachten, sondern auch die Frage: Wer hängt an mir, und woran hänge ich?

Zwei Gesetze, zwei Welten: Cyber und physisch

Lange war KRITIS-Schutz vor allem eine IT-Frage. Seit 2026 steht das Thema auf zwei Beinen:

Die Grenze verschwimmt zunehmend. Industrielle Steuerungssysteme (OT), einst von der IT getrennt, sind heute vernetzt – und damit angreifbar. Genau deshalb gehören moderne Schutzkonzepte wie Zero Trust und Systeme zur Angriffserkennung längst zum Pflichtprogramm der Betreiber.

← Tabelle seitlich scrollen →

Viele Betreiber fallen unter beide Regelwerke. Das bedeutet nicht zwei getrennte Projekte, sondern zwei Blickwinkel auf dieselbe Anlage – und genau daran scheitert die Umsetzung häufig, weil IT-Abteilung und Werkschutz traditionell getrennt arbeiten.

Das KRITIS-Dachgesetz: physische Resilienz wird Pflicht

Der Bundestag beschloss das KRITIS-Dachgesetz am 29. Januar 2026, der Bundesrat billigte es am 13. Februar 2026. Es ist am Tag nach der Verkündung im Bundesgesetzblatt in Kraft getreten; maßgeblich ist das Datum der Verkündung. Neu ist vor allem die Zuständigkeit: Das BBK ist zentrale Anlaufstelle und übernimmt zentrale Aufgaben des KRITIS-Dachgesetzes; die fachliche Aufsicht verteilt sich je nach kritischer Dienstleistung auf verschiedene Bundes- und Landesbehörden. Bevölkerungsschutz und IT-Sicherheit rücken damit zusammen.

Für Betreiber bedeutet das konkrete Pflichten: Selbstidentifikation, Registrierung, regelmäßige Risikoanalysen, dokumentierte Resilienzpläne und Meldepflichten. Aktuell besteht noch keine Registrierungspflicht nach dem KRITIS-Dachgesetz. Sie beginnt für einen Betreiber, sobald die Identifizierungsverordnung in Kraft ist und seine Anlage danach als kritisch gilt; ab diesem Zeitpunkt bleiben grundsätzlich drei Monate für die Registrierung. Risikoanalyse erstmals neun Monate nach Registrierung; Resilienzpflichten einschließlich Resilienzplan, Vorfallmeldepflicht und Geschäftsleitungsverantwortung erstmals zehn Monate nach Registrierung. Der physische Teil reicht von Zutrittskontrolle und Objektsicherung über Notstromversorgung bis zu Notfallübungen. Hier trifft klassische Sicherheitstechnik auf moderne Lösungen – etwa KI-gestützte Zutritts- und Videosysteme.

Bin ich betroffen? So läuft die Selbstidentifikation

Betreiber müssen ihre Betroffenheit grundsätzlich selbst prüfen. Das BMI kann Anlagen im Einzelfall als kritisch oder nicht kritisch feststellen; das BBK informiert anschließend den Betreiber und fordert gegebenenfalls zur Registrierung auf. Genau die Selbstprüfung überrascht viele. Diese Reihenfolge hilft bei der Einschätzung:

1. Sektor bestimmen. Fällt die eigene Tätigkeit unter einen der zehn Sektoren nach § 4 KRITISDachG? Das ist die erste und einfachste Weiche.
2. Anlagen erfassen. Welche konkreten Anlagen erbringen die kritische Dienstleistung? Nicht das Unternehmen ist kritisch, sondern die Anlage.
3. Versorgungsumfang ermitteln. Wie viele Menschen hängen an dieser Anlage? Der gesetzliche Regelwert für die Festlegung von Schwellenwerten beträgt grundsätzlich 500.000 zu versorgende Einwohner. Welche Anlagen tatsächlich erfasst werden, wird durch die noch ausstehende Identifizierungsverordnung mit Anlagenkategorien, Schwellenwerten und Stichtagen konkretisiert.
4. Abhängigkeiten prüfen. Auch ein kleinerer Betreiber kann erfasst sein, etwa als alleiniger Versorger einer Region.
5. Ergebnis dokumentieren. Auch ein negatives Ergebnis gehört schriftlich festgehalten – mit Datum und Begründung.
6. Bei Betroffenheit registrieren. Aktuell besteht noch keine Registrierungspflicht nach dem KRITIS-Dachgesetz. Sie beginnt für einen Betreiber, sobald die Identifizierungsverordnung in Kraft ist und seine Anlage danach als kritisch gilt; ab diesem Zeitpunkt bleiben grundsätzlich drei Monate für die Registrierung.

Die Pflichten im Überblick

Was nach der Registrierung folgt, lässt sich in vier Blöcke gliedern:

Risikoanalyse. Systematische Erfassung der Gefahren für die eigenen Anlagen – von Sabotage über Naturereignisse bis zum technischen Ausfall. Sie ist mindestens alle vier Jahre zu wiederholen, nicht einmalig zu erstellen.

Resilienzplan. Die dokumentierte Antwort auf die Risikoanalyse: welche technischen und organisatorischen Maßnahmen greifen, wer ist zuständig, was passiert im Ereignisfall. Ein Plan, den niemand kennt, ist keiner.

Technische und organisatorische Maßnahmen. Zutrittskontrolle, Objektsicherung, Notstromversorgung, Redundanzen, Personalsicherheit und Notfallübungen. Der Aufwand hängt von Anlage und Risikolage ab.

Meldepflichten. Meldepflichtige Vorfälle sind unverzüglich, spätestens binnen 24 Stunden nach Kenntnis zu melden; ein ausführlicher Bericht folgt spätestens einen Monat nach Kenntnis. Wer die Meldewege erst im Ereignisfall sucht, verliert genau die Zeit, auf die es dann ankommt.

Die eigentliche Bedrohung: hybrid, nicht hypothetisch

Die Gefahr ist real und vielschichtig. Ransomware legt Kliniken und Kommunen lahm. Sabotage zielt auf Energie- und Bahnnetze. Und über kritischen Anlagen tauchen immer häufiger Drohnen auf. Das KRITIS-Dachgesetz schreibt keine spezielle Drohnenabwehrtechnik vor. Drohnen können jedoch in der Risikoanalyse berücksichtigt werden; Detektion und aktive Abwehr richten sich zusätzlich nach dem Luftsicherheits- und Gefahrenabwehrrecht – seit März 2026 gilt dazu das geänderte Luftsicherheitsgesetz mit § 15a LuftSiG. Die Abwehr solcher Überflüge ist zu einem eigenen Wirtschaftszweig geworden, wie unsere Beiträge zur Drohnenabwehr und zu autonomen Drohnenschwärmen zeigen.

Was hybride Bedrohung im Alltag bedeutet, wird oft missverstanden. Es geht selten um den einen großen Schlag, sondern um viele kleine Vorfälle, die einzeln unauffällig wirken: ein durchtrenntes Kabel, ein Drohnenüberflug, eine Phishing-Welle, ein auffälliger Besucher. Erst in der Summe ergibt sich ein Bild – und genau deshalb ist die Meldepflicht mehr als Bürokratie: Sie erzeugt die Datenlage, aus der Muster überhaupt erkennbar werden.

Wer schützt wirklich? Die ehrliche Antwort

Schutz kritischer Infrastruktur ist geteilte Verantwortung – und genau darin liegt die Schwäche. In erster Linie sind es die Betreiber selbst, die ihre Anlagen absichern müssen. Das BSI wacht über die Cyberseite. Das BBK ist zentrale Anlaufstelle und übernimmt zentrale Aufgaben des KRITIS-Dachgesetzes; die fachliche Aufsicht verteilt sich je nach kritischer Dienstleistung auf verschiedene Bundes- und Landesbehörden. Genannt werden dort unter anderem Bundesnetzagentur, BaFin und BSI; die Länder bleiben insbesondere für Katastrophenschutz und Gefahrenabwehr zuständig – und schon entstehen Schnittstellen und Doppelstrukturen.

Häufige Missverständnisse zu KRITIS

Fünf Annahmen begegnen einem in der Praxis immer wieder – und jede davon kostet im Zweifel Zeit oder Geld:

• „Die Behörde meldet sich schon, wenn ich betroffen bin.“ Darauf sollte man sich nicht verlassen. Betreiber müssen ihre Betroffenheit grundsätzlich selbst prüfen. Das BMI kann Anlagen im Einzelfall als kritisch oder nicht kritisch feststellen; das BBK informiert anschließend den Betreiber und fordert gegebenenfalls zur Registrierung auf.
• „Wir haben NIS-2 umgesetzt, damit ist KRITIS erledigt.“ Beide Regelwerke stehen nebeneinander. Das eine deckt die digitale, das andere die physische Seite ab.
• „Physische Sicherheit ist Sache des Werkschutzes.“ Externe Spezialisten dürfen unterstützen; die gesetzliche Umsetzungs- und Überwachungsverantwortung verbleibt jedoch bei der Geschäftsleitung.
• „Für uns ist das zu teuer, also lassen wir es.“ Hohe Kosten beseitigen die gesetzlichen Pflichten nicht. Die Maßnahmen müssen jedoch verhältnismäßig und risikobasiert sein; dabei dürfen auch Aufwand und wirtschaftliche Leistungsfähigkeit des Betreibers berücksichtigt werden.
• „Wir sind zu klein.“ Größe allein entscheidet nicht. Wer alleiniger Versorger einer Region ist, kann trotz geringer Mitarbeiterzahl erfasst sein.

Was das für Bürger und kleine Betriebe bedeutet

Für die Allgemeinheit geht es um Versorgungssicherheit: Strom, Wasser und Kommunikation sollen auch in der Krise funktionieren. Für Unternehmen lohnt der frühe Blick auf die eigene Betroffenheit – auch kleinere Betreiber können erfasst sein, etwa als alleinige Versorger.

Das Grundprinzip lässt sich verkleinern: Sicherheit braucht beide Ebenen – die physische und die digitale. Wer sein Objekt mit Zaun und Kamera sichert, aber die vernetzte Steuerung offen ins Internet hängt, hat nur die halbe Arbeit gemacht. Genau diese Verbindung aus physischer Sicherheitstechnik und digitaler Härtung ist die eigentliche Lehre aus der KRITIS-Debatte – und sie gilt im Großen wie im Kleinen.

Für Privathaushalte lässt sich derselbe Gedanke auf ein einfaches Maß herunterbrechen: Wie lange kommst du ohne Strom, Wasser und Mobilfunk zurecht? Wer darauf eine Antwort hat, ist der Idee von Resilienz näher als mancher Betreiber mit vollständigem Aktenordner.

Fazit: Mehr Rahmen als Schutz – noch

Mit NIS-2 und dem KRITIS-Dachgesetz hat Deutschland erstmals einen zusammenhängenden Rahmen für den Schutz seiner Lebensadern geschaffen. Das ist ein wichtiger Schritt weg von Freiwilligkeit und Insellösungen. Aber ein Rahmen ist noch kein Schutz: Solange konkrete Schutzziele und die Finanzierung offen bleiben, bleibt vieles Theorie. Eine Evaluierung ist erstmals zwei Jahre nach Inkrafttreten und danach regelmäßig alle fünf Jahre vorgesehen. Wer Deutschlands kritische Infrastruktur wirklich schützt, entscheidet sich nicht im Gesetzblatt, sondern in der Umsetzung vor Ort. Und wenn es doch zum Vorfall kommt, entscheidet die Spurenlage über die Aufklärung – wie das gelingt, zeigt unser Beitrag zu Digital Forensics.

Glossar: die Begriffe aus der KRITIS-Debatte

Was in Gesetzestexten und Fachartikeln immer wieder auftaucht, in je einem Satz:

Häufige Fragen zu KRITIS

Quellen und Stand: Die Angaben beruhen auf dem KRITIS-Dachgesetz vom 11. März 2026, geändert am 21. Juli 2026, insbesondere §§ 3 bis 5, 7 und 8, 12 und 13, 18, 20 sowie 25, auf der aktuellen BBK-FAQ zur noch ausstehenden Identifizierungsverordnung sowie auf Veröffentlichungen von Bundesregierung, BBK, BSI und Fachverbänden. Stand dieser Seite: 25. August 2026. Bebilderung KI-generiert, redaktionell geprüft. Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.