Krankenhäuser, Wasserwerke, Energieversorger, Verkehrsbetriebe: Sie alle fallen unter den Begriff der kritischen Infrastruktur, kurz KRITIS. Seit März 2026 gilt für ihre Betreiber ein neues Bundesgesetz, das erstmals physische Sicherheit, Brandschutz und Gebäudedokumentation unter einen einheitlichen Rechtsrahmen stellt. Wer in einem der betroffenen Sektoren tätig ist, hat damit laufende Nachweis- und Dokumentationspflichten, die weit über bisherige Brandschutzanforderungen hinausgehen.
Was bedeutet KRITIS?
KRITIS steht für kritische Infrastrukturen, Einrichtungen und Anlagen, deren Ausfall oder Beeinträchtigung die Versorgung großer Bevölkerungsteile gefährden würde. Dazu gehören Strom- und Wasserversorgung, Krankenhäuser, Verkehrsinfrastruktur, Lebensmittelversorgung und weitere gesellschaftlich unverzichtbare Bereiche.
Der Begriff ist in Deutschland seit Jahren im Einsatz, etwa im IT-Sicherheitsgesetz und in der NIS2-Richtlinie. Bislang lag der Fokus dabei auf Cybersicherheit. Das hat sich mit dem KRITIS-Dachgesetz geändert.
Kritische Infrastruktur funktioniert, weil Menschen dafür sorgen und weil das dokumentiert ist. (Bild ist KI generiert)
Rechtsstand von 16.9.2026: Das KRITIS-Dachgesetz ist seit dem 17.03.2026 in Kraft (BGBl. 2026 I Nr. 66) und wurde durch Gesetz vom 21.07.2026 geändert (BGBl. 2026 I Nr. 221). Eine Registrierungspflicht beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) besteht derzeit noch nicht. Der ursprünglich vorgesehene Termin 17. Juli 2026 wurde gestrichen, weil die Registrierung von der Bestimmung der kritischen Anlagen abhängt und die dafür nötige Rechtsverordnung bisher nur als Referentenentwurf vorliegt. Die Frist beginnt drei Monate nach deren Inkrafttreten. Die weiteren Pflichten aus Risikoanalyse, Resilienzplan und laufenden Nachweisen knüpfen an die Registrierung an (§ 8 Abs. 7 KRITISDachG). § 14 Abs. 3 bis 5 KRITISDachG tritt erst am 01.01.2030 in Kraft.
Das KRITIS-Dachgesetz: Physische Sicherheit erstmals bundeseinheitlich geregelt
Das KRITIS-Dachgesetz (vollständiger Titel: Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen) setzt die europäische CER-Richtlinie in deutsches Recht um. Kern des Gesetzes: Betreiber kritischer Anlagen müssen ihre Einrichtungen nicht nur vor Cyberangriffen, sondern auch vor physischen Bedrohungen schützen und das systematisch dokumentieren und nachweisen.
Für den Gebäudebetrieb bedeutet das: Brandschutz, Zugangskontrolle, Prüfpflichten und Notfallkonzepte sind keine isolierten Compliance-Themen mehr, sondern Bestandteile eines gesetzlich geforderten Resilienzrahmens.
Welche Sektoren sind betroffen?
Das Gesetz gilt für Betreiber kritischer Anlagen in zehn Sektoren (§ 4 Abs. 1 KRITISDachG):
- Energie
- Transport und Verkehr
- Finanzwesen
- Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
- Gesundheitswesen
- Wasser
- Ernährung
- Informationstechnik und Telekommunikation
- Weltraum
- Siedlungsabfallentsorgung
Welche kritischen Dienstleistungen zu welchem Sektor gehören, legt das Bundesministerium des Innern durch Rechtsverordnung fest (§ 4 Abs. 3 KRITISDachG). Die Abwasserbeseitigung zählt dabei als kritische Dienstleistung zum Sektor Wasser und ist kein eigener Sektor.
Krankenhäuser zählen zu den kritischen Infrastrukturen, ihr Ausfall betrifft unmittelbar Menschenleben. (Bild ist KI generiert)
Welche Pflichten entstehen dauerhaft?
Die Anforderungen des KRITIS-Dachgesetzes sind keine einmalige Aufgabe. Sie greifen laufend in den Betrieb ein.
Risikoanalyse nach dem All-Gefahren-Ansatz
Das Gesetz folgt einem sogenannten All-Gefahren-Ansatz: Betreiber müssen Risiken aus allen Richtungen systematisch bewerten – Sabotage, Naturkatastrophen, technische Ausfälle, menschliches Versagen. Für den Gebäudebetrieb heißt das konkret: Brandrisiken, Zugangsszenarien, Ausfallsicherheit technischer Anlagen und die Abhängigkeit von externen Dienstleistern müssen bewertet und dokumentiert vorliegen.
Resilienzplan und Dokumentationspflicht nach § 13 KRITISDachG
§ 13 des KRITIS-Dachgesetzes ist die zentrale Handlungsnorm für den laufenden Betrieb. Er verpflichtet Betreiber zu verhältnismäßigen technischen, baulichen, organisatorischen und personellen Maßnahmen. Diese Maßnahmen müssen in einem Resilienzplan dokumentiert werden – inklusive der Begründungen, warum welche Maßnahmen gewählt wurden.
§ 13 fordert unter anderem:
- physischen Schutz von Anlagen und Liegenschaften gegen unbefugten Zugang, Sabotage und sonstige physische Einwirkungen
- Maßnahmen zur Erkennung und Reaktion auf Vorfälle
- Konzepte zur zügigen Wiederherstellung kritischer Dienstleistungen nach einem Störfall
- Sicherung des Personals, das kritische Aufgaben wahrnimmt
Brandschutzbegehungen, Prüfprotokolle, Wartungsnachweise und Mängelmanagement sind damit nicht nur baurechtliche Pflicht, sie fließen direkt in den Resilienzplan ein. Wer diese Unterlagen nicht lückenlos und abrufbar vorlegen kann, hat ein Nachweisproblem gegenüber der Aufsichtsbehörde.
Meldepflicht bei Störfällen
Erhebliche Störungen und sicherheitsrelevante Ereignisse sind binnen 24 Stunden über die gemeinsame Plattform von BBK und BSI zu melden. Bei andauernden Vorfällen sind laufende Updates zu übermitteln; spätestens nach einem Monat ist ein vollständiger Abschlussbericht einzureichen. Das setzt voraus, dass Betreiber im Ernstfall sofort auf vollständige, aktuelle Dokumentation zugreifen können.
Nachweise und Wiederholungsaudits
Einen festen Nachweisrhythmus sieht das KRITIS-Dachgesetz nicht vor. Die zuständige Behörde prüft die Resilienzpflichten risikobasiert und stichprobenartig, kann dabei Informationen und geeignete Nachweise anfordern und insbesondere die Vorlage des Resilienzplans verlangen (§ 16 KRITISDachG). Unabhängig davon ist die Risikoanalyse mindestens alle vier Jahre fortzuschreiben (§ 12 KRITISDachG). Mängel müssen fristgerecht behoben und dokumentiert nachgewiesen werden.
Erhebliche Störungen müssen binnen 24 Stunden gemeldet werden. Wer im Ernstfall nicht sofort auf vollständige Dokumentation zugreifen kann, verliert wertvolle Zeit.
Checkliste: ESG-Fragen zur Selbstbewertung
Mit dieser kostenlosen Checkliste prüfen Sie, wie systematisch Ihre Betreiberpflichten, Prüfprozesse und Nachweise im ESG-Kontext organisiert sind. Die Auswertung erfolgt getrennt nach E, S und G.
Was bedeutet das für die Praxis im Gebäudebetrieb?
Technische Facility Manager und Betreiber, die bereits strukturierte Prüfprozesse im Brandschutz und in der Gebäudetechnik unterhalten, stehen hier nicht bei null. Viele Anforderungen des KRITIS-Dachgesetzes decken sich mit Pflichten, die aus der Betriebssicherheitsverordnung (BetrSichV), den DGUV-Vorschriften und dem baulichen Brandschutz ohnehin bestehen.
Der Unterschied liegt in der Nachweistiefe und der behördlichen Prüfbarkeit: Ein Prüfprotokoll im Papierordner ist nicht dasselbe wie ein audit-fähiger Nachweis mit Zeitstempel, Mängelhistorie und dokumentierter Maßnahmenabwicklung. Das KRITIS-Dachgesetz verlangt Letzteres.
Wer bislang auf Excel-Tabellen und lose Prüfprotokolle gesetzt hat, wird feststellen: Der Aufwand liegt weniger in den Maßnahmen selbst als in ihrer lückenlosen, jederzeit abrufbaren Dokumentation.
Viele Betreiber führen Brandschutzbegehungen, Wartungen und Prüfungen bereits gewissenhaft durch – aber die Dokumentation dazu ist über Papierordner, Excel-Tabellen und E-Mail-Anhänge verteilt. Im Auditfall oder bei einer unangekündigten Behördenprüfung wird genau das zum Problem: Nicht die fehlende Maßnahme, sondern der fehlende Nachweis. Eine digitale Dokumentationslösung wie KEVOX schafft hier Abhilfe: Prüfprotokolle, Bauteilhistorien und Mängelmanagement laufen in einem System zusammen, sind jederzeit abrufbar und bilden die Grundlage für den Resilienzplan – ohne dass dafür ein separater Dokumentationsaufwand entsteht.
Haftung: Wer trägt die Verantwortung?
Das KRITIS-Dachgesetz stellt die Geschäftsleitung persönlich in die Pflicht. Vorstände und Geschäftsführer sind nach § 20 KRITISDachG verpflichtet, die erforderlichen Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch organisatorische Sicherheitsmaßnahmen sicherzustellen. Dieses Thema lässt sich nicht dauerhaft delegieren.
Die Bußgeldrahmen sind empfindlich: § 24 KRITISDachG sieht Geldbußen bis zu einer Million Euro vor, unter anderem bei versäumter Registrierung, fehlender Risikoanalyse, fehlendem Resilienzplan und verweigertem Zutritt für das BBK. Kommen gleichzeitig Verstöße gegen NIS2 hinzu, sind nach dem BSIG Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich.
Das Grundprinzip dahinter ist aus dem allgemeinen Haftungsrecht bekannt: Haftung trifft nicht die, die nichts getan haben – sie trifft die, die es nicht beweisen können. Das KRITIS-Dachgesetz macht diesen Grundsatz nun für den physischen Infrastrukturschutz verbindlich.
Physische Resilienz braucht lückenlose Nachweise
KRITIS ist kein Nischenthema für Großkonzerne. Jeder Betreiber einer Anlage in den zehn definierten Sektoren steht in der Pflicht – und diese Pflichten sind dauerhaft, nicht einmalig. Brandschutz, Zugangskontrolle, Prüfnachweise und Notfallkonzepte sind der operative Kern des KRITIS-Dachgesetzes. Wer diese Prozesse bereits strukturiert führt, erfüllt die Grundanforderungen weitgehend – vorausgesetzt, die Dokumentation ist audit-fähig und jederzeit abrufbar.
Häufige Fragen zu KRITIS
Für wen gilt das KRITIS-Dachgesetz?
Für Betreiber kritischer Anlagen in zehn definierten Sektoren, deren Einrichtungen bei Ausfall mindestens 500.000 Personen versorgungsseitig betreffen würden. Die genaue Einstufung erfolgt anhand gesetzlich vorgegebener Schwellenwerte und nachgelagerter Rechtsverordnungen des BBK. Jeder Betreiber muss seine Betroffenheit selbst prüfen.
Was ist der Unterschied zwischen KRITIS-Dachgesetz und NIS2?
NIS2 reguliert die digitale Cybersicherheit. Das KRITIS-Dachgesetz adressiert physische Resilienz: Gebäudeschutz, Zugangssicherheit, Brandschutz, Notfallkonzepte. Viele Betreiber fallen unter beide Gesetze gleichzeitig – und müssen dann beiden Anforderungen parallel gerecht werden.
Müssen bestehende Brandschutzprotokolle angepasst werden?
Nicht zwingend inhaltlich – aber in Bezug auf Struktur und Abrufbarkeit. Das KRITIS-Dachgesetz verlangt audit-fähige Nachweise, die bei Behördenanfragen und Vor-Ort-Prüfungen vollständig und sofort vorgelegt werden können. Papierordner und nicht versionierte Tabellen erfüllen diesen Anspruch in der Praxis nicht zuverlässig.
Wie oft muss die Einhaltung nachgewiesen werden?
Einen festen Zwei- oder Dreijahresrhythmus gibt es im KRITIS-Dachgesetz nicht. Die Behörde prüft risikobasiert und stichprobenartig und kann dabei Nachweise und den Resilienzplan anfordern (§ 16 KRITISDachG). Die Risikoanalyse selbst ist mindestens alle vier Jahre fortzuschreiben.
Wer haftet, wenn Nachweise fehlen?
Primär die Geschäftsleitung. § 20 KRITISDachG stellt Vorstände und Geschäftsführer persönlich in die Pflicht. Eine reine Delegation an den Facility Manager oder Brandschutzbeauftragten entbindet die Unternehmensführung nicht von der Verantwortung.
Quellen
- Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (KRITISDachG), BGBl. 2026 I Nr. 66 vom 16.03.2026
- Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK): Kritische Infrastrukturen
- Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates (CER-Richtlinie)
- IHK Köln: KRITIS-Dachgesetz – Was Unternehmen jetzt wissen und tun müssen (2026)
- KRITIS-Dachgesetz (KRITISDachG), konsolidierte Fassung: https://www.gesetze-im-internet.de/kritisdachg/
- Änderungsgesetz vom 21.07.2026, BGBl. 2026 I Nr. 221, Artikel 8: https://www.recht.bund.de/bgbl/1/2026/221/regelungstext.pdf
