Analyse · Sicherheit
KRITIS: Wer schützt Deutschlands kritische Infrastruktur wirklich?
Stand: Juni 2026 · Lesezeit ca. 9 Min · Faktenbasierte Einordnung
Das Wichtigste in 30 Sekunden
- Was KRITIS ist: kritische Infrastrukturen – Strom, Wasser, Gesundheit, Transport, Telekommunikation und mehr –, deren Ausfall die Versorgung Deutschlands gefährden würde.
- Jetzt zwei Gesetze: NIS-2 regelt die digitale Sicherheit, das neue KRITIS-Dachgesetz die physische Resilienz – seit März 2026 in Kraft, als Umsetzung der EU-CER-Richtlinie.
- Neue Aufsicht: Zusätzlich zum BSI (Cyber) wird das BBK – das Bundesamt für Bevölkerungsschutz – zur Aufsichtsbehörde für die physische Seite.
- Frist: Betroffene Betreiber müssen sich bis 17. Juli 2026 registrieren, danach Risikoanalysen und Resilienzpläne erstellen.
- Die ehrliche Lücke: Kritiker nennen das Gesetz eine „Verfahrensordnung ohne Schutzziele" – und die Bedrohung durch Drohnen ist rechtlich kaum geregelt.
Ein flächendeckender Stromausfall, ein lahmgelegtes Klinikum, ein sabotiertes Umspannwerk: Szenarien, die früher nach Thriller klangen, sind heute Teil der Bedrohungslage. „Deutschland befindet sich nicht im Krieg, aber wir sind Ziel einer hybriden Kriegsführung", brachte es Bundesinnenminister Dobrindt auf den Punkt. Doch wer schützt die lebenswichtige Infrastruktur eigentlich – und reichen die neuen Gesetze?
Was zählt überhaupt als kritische Infrastruktur?
KRITIS sind Einrichtungen, deren Ausfall die Versorgung der Bevölkerung erheblich stören würde. Das neue KRITIS-Dachgesetz fasst erstmals bundesweit elf Sektoren zusammen: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, Siedlungsabfallentsorgung, Informationstechnik und Telekommunikation, Ernährung, Weltraum sowie öffentliche Verwaltung.
Als „kritisch" gilt ein Betreiber typischerweise, wenn er mehr als 500.000 Menschen versorgt und sein Ausfall die Gesamtversorgung beeinträchtigen würde. Entscheidend ist dabei die gegenseitige Abhängigkeit: Fällt der Strom, stehen schnell auch Wasser, Kommunikation und Verkehr still. Ein Dominoeffekt, der kleine Vorfälle zu großen Krisen macht.
Zwei Gesetze, zwei Welten: Cyber und physisch
Lange war KRITIS-Schutz vor allem eine IT-Frage. Seit 2026 steht das Thema auf zwei Beinen:
NIS-2 (digitale Sicherheit): regelt über das BSI-Gesetz die Cyberabwehr – Risikomanagement, Meldepflichten, Zugriffskontrolle. Die Details haben wir im NIS-2-Leitfaden aufbereitet.
KRITIS-Dachgesetz (physische Resilienz): setzt die EU-CER-Richtlinie um und verlangt erstmals bundeseinheitlich physischen Schutz – gegen Sabotage, Brand, Einbruch, Naturkatastrophen und technische Ausfälle.
Die Grenze verschwimmt zunehmend. Industrielle Steuerungssysteme (OT), einst von der IT getrennt, sind heute vernetzt – und damit angreifbar. Genau deshalb gehören moderne Schutzkonzepte wie Zero Trust und Systeme zur Angriffserkennung längst zum Pflichtprogramm der Betreiber.
Das KRITIS-Dachgesetz: physische Resilienz wird Pflicht
Der Bundestag beschloss das „Gesetz zur Stärkung der Resilienz kritischer Anlagen" am 29. Januar 2026; nach Bundesrat und Verkündung ist es im März 2026 in Kraft getreten. Neu ist vor allem die Aufsicht: Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) tritt neben das BSI – Bevölkerungsschutz und IT-Sicherheit rücken zusammen.
Für Betreiber bedeutet das konkrete Pflichten: Selbstidentifikation, Registrierung (Frist 17. Juli 2026), regelmäßige Risikoanalysen, dokumentierte Resilienzpläne und Meldepflichten. Der physische Teil reicht von Zutrittskontrolle und Objektsicherung über Notstromversorgung bis zu Notfallübungen. Hier trifft klassische Sicherheitstechnik auf moderne Lösungen – etwa KI-gestützte Zutritts- und Videosysteme.
Die eigentliche Bedrohung: hybrid, nicht hypothetisch
Die Gefahr ist real und vielschichtig. Ransomware legt Kliniken und Kommunen lahm. Sabotage zielt auf Energie- und Bahnnetze. Und über kritischen Anlagen tauchen immer häufiger Drohnen auf – ein Bedrohungsfeld, das Fachleute im aktuellen Gesetz als Rechtslücke kritisieren. Die Abwehr solcher Überflüge ist zu einem eigenen Wirtschaftszweig geworden, wie unsere Beiträge zur Drohnenabwehr und zu autonomen Drohnenschwärmen zeigen.
Wer schützt wirklich? Die ehrliche Antwort
Schutz kritischer Infrastruktur ist geteilte Verantwortung – und genau darin liegt die Schwäche. In erster Linie sind es die Betreiber selbst, die ihre Anlagen absichern müssen. Das BSI wacht über die Cyberseite, das BBK über die physische, die Länder haben eigene Zuständigkeiten – und schon entstehen Schnittstellen und Doppelstrukturen.
Was das für Bürger und kleine Betriebe bedeutet
Für die Allgemeinheit geht es um Versorgungssicherheit: Strom, Wasser und Kommunikation sollen auch in der Krise funktionieren. Für Unternehmen lohnt der frühe Blick auf die eigene Betroffenheit – auch kleinere Betreiber können erfasst sein, etwa als alleinige Versorger.
Das Grundprinzip lässt sich verkleinern: Sicherheit braucht beide Ebenen – die physische und die digitale. Wer sein Objekt mit Zaun und Kamera sichert, aber die vernetzte Steuerung offen ins Internet hängt, hat nur die halbe Arbeit gemacht. Genau diese Verbindung aus physischer Sicherheitstechnik und digitaler Härtung ist die eigentliche Lehre aus der KRITIS-Debatte – und sie gilt im Großen wie im Kleinen.
Fazit: Mehr Rahmen als Schutz – noch
Mit NIS-2 und dem KRITIS-Dachgesetz hat Deutschland erstmals einen zusammenhängenden Rahmen für den Schutz seiner Lebensadern geschaffen. Das ist ein wichtiger Schritt weg von Freiwilligkeit und Insellösungen. Aber ein Rahmen ist noch kein Schutz: Solange konkrete Schutzziele, die Finanzierung und Lücken wie die Drohnenabwehr offen bleiben, bleibt vieles Theorie. Wer Deutschlands kritische Infrastruktur wirklich schützt, entscheidet sich nicht im Gesetzblatt, sondern in der Umsetzung vor Ort. Und wenn es doch zum Vorfall kommt, entscheidet die Spurenlage über die Aufklärung – wie das gelingt, zeigt unser Beitrag zu Digital Forensics.
Häufige Fragen zu KRITIS
Was bedeutet KRITIS?
KRITIS steht für kritische Infrastrukturen – Einrichtungen wie Strom-, Wasser-, Gesundheits- oder Transportversorgung, deren Ausfall die Versorgung der Bevölkerung erheblich beeinträchtigen würde.
Was ist der Unterschied zwischen NIS-2 und dem KRITIS-Dachgesetz?
NIS-2 regelt die digitale Sicherheit (Cyberabwehr, Meldepflichten) über das BSI. Das KRITIS-Dachgesetz regelt die physische Resilienz (Sabotage, Einbruch, Naturgefahren) über das BBK. Viele Betreiber fallen unter beide Gesetze.
Seit wann gilt das KRITIS-Dachgesetz und bis wann muss man sich registrieren?
Das KRITIS-Dachgesetz wurde am 29. Januar 2026 beschlossen und ist im März 2026 in Kraft getreten. Betroffene Betreiber müssen sich bis zum 17. Juli 2026 registrieren und anschließend Risikoanalysen und Resilienzpläne erstellen.
Wer ist für den Schutz kritischer Infrastruktur zuständig?
In erster Linie die Betreiber selbst. Das BSI beaufsichtigt die Cybersicherheit, das BBK die physische Resilienz, die Länder haben zusätzliche Zuständigkeiten. Genau diese Aufteilung führt zu Schnittstellen und Kritik an Doppelstrukturen.
Sind Drohnen eine Gefahr für kritische Infrastruktur?
Ja. Drohnenüberflüge über kritischen Anlagen nehmen zu und gelten als ernstes Bedrohungsfeld. Fachleute kritisieren, dass das KRITIS-Dachgesetz diese Lücke bislang nicht ausreichend schließt.
Transparenz: Bebilderung dieses Beitrags KI-generiert. Redaktionell geprüft. Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.