Wer eine kritische Anlage betreibt, hat mit der Registrierung beim BBK erst den ersten Schritt getan. Das eigentliche Dokument, an dem Betreiber gemessen werden, ist der Resilienzplan und er entscheidet darüber, ob im Auditfall Nachweise standhalten oder nicht.
Was der Resilienzplan nach § 13 KRITISDachG leisten muss
Der Resilienzplan ist in § 13 KRITISDachG geregelt. Betreiber sind verpflichtet, ihre Resilienzmaßnahmen schriftlich darzustellen und dabei nicht nur die Maßnahmen selbst zu benennen, sondern auch die Erwägungen, die ihrer Auswahl zugrunde lagen. Außerdem muss der Plan auf die Risikoanalyse des Betreibers Bezug nehmen und bei wesentlichen Änderungen oder nach einer neuen Risikoanalyse aktualisiert werden (§ 13 Abs. 4 KRITISDachG).
Das BBK stellt Vorlagen und Muster für die Erstellung bereit. Sie sind ein hilfreicher Ausgangspunkt, ersetzen aber nicht die betriebsspezifische Auseinandersetzung mit den tatsächlichen Risiken und Maßnahmen.
Konkret muss der Resilienzplan folgende Bereiche abdecken:
- Technische und bauliche Schutzmaßnahmen für Anlagen und Liegenschaften
- Organisatorische Maßnahmen zum Schutz vor Sabotage, Zugang Unbefugter und sonstigen physischen Einwirkungen
- Maßnahmen zur Erkennung und Reaktion auf Vorfälle
- Konzepte zur zügigen Wiederherstellung kritischer Dienstleistungen
- Maßnahmen zur Sicherung des Personals, das kritische Aufgaben wahrnimmt
Jede dieser Kategorien muss im Kontext der eigenen Anlage begründet sein. Ein allgemeiner Verweis auf Normen oder Best Practices reicht dafür nicht aus.
Risikoanalyse: Die Grundlage des Resilienzplans
Bevor der Resilienzplan geschrieben werden kann, muss eine Risikoanalyse vorliegen. Sie bildet die sachliche Basis für jede Maßnahme im Plan und ist keine optionale Vorstufe, sondern eine gesetzliche Pflicht (§ 12 KRITISDachG).
Vorgeschrieben ist ein sogenannter All-Gefahren-Ansatz: Physische, organisatorische und technische Risiken müssen gleichermaßen bewertet werden, von Naturereignissen über Sabotage bis zu technischen Ausfällen und menschlichem Versagen. Rein auf Cyberrisiken ausgerichtete Analysen erfüllen diese Anforderung nicht.
Risikoanalyse bedeutet hinschauen: Welche Anlagen sind schutzbedürftig, was kann ausfallen, wer trägt die Verantwortung?
Für den Gebäudebetrieb sind unter anderem folgende Risikobereiche relevant:
- Brandrisiken und Ausfallszenarien bei Brandschutzanlagen
- Unbefugter Zugang zu schutzbedürftigen Bereichen
- Ausfall der technischen Gebäudeausrüstung
- Abhängigkeit von externen Dienstleistern
- Naturgefahren wie Hochwasser oder Sturm
Die Risikoanalyse muss mindestens alle vier Jahre wiederholt werden. Ihr Ergebnis fließt direkt in den Resilienzplan ein. Maßnahmen ohne nachvollziehbaren Bezug zur Risikoanalyse sind im Auditfall nicht begründbar.
Was der Resilienzplan für den Gebäudebetrieb konkret enthält
Für Facility Manager ist der Resilienzplan keine abstrakte Pflichtübung, sondern eine strukturierte Zusammenfassung von Prozessen, die im laufenden Betrieb ohnehin stattfinden. Der Unterschied liegt in der Dokumentationstiefe und der Nachweisbarkeit.
Brandschutz
Brandschutzbegehungen, Wartungsnachweise für Brandmeldeanlagen, Feuerlöscherprüfungen und Prüfprotokolle nach BetrSichV sind Pflichtbestandteile des Resilienzplans. Sie müssen nicht nur vorliegen, sondern lückenlos, chronologisch und jederzeit abrufbar dokumentiert sein. Ein Prüfprotokoll, das im Ernstfall nicht gefunden werden kann, ist im Auditfall wertlos.
Zugangskontrolle und physischer Gebäudeschutz
Im Resilienzplan muss beschrieben sein, wie der Zugang zu schutzbedürftigen Bereichen geregelt ist: Zutrittsberechtigungen, Schlüsselverwaltung, Protokollierung von Zugängen. Betroffen sind insbesondere Technikräume, Serverräume und Energieversorgungseinrichtungen.
Externe Dienstleister
Wer Wartung, Inspektion oder Betrieb an externe Dienstleister vergibt, trägt trotzdem die Verantwortung dafür, dass deren Leistungen dokumentiert sind. Der Resilienzplan muss zeigen, wie Dienstleisterkommunikation, Nachweisführung und Qualitätskontrolle organisiert sind. Fehlende Protokolle externer Dienstleister sind ein häufiger Schwachpunkt bei Behördenprüfungen.
Notfall- und Wiederherstellungskonzept
Beschrieben werden muss außerdem, wie der Betrieb nach einem Vorfall wiederhergestellt wird: welche Systeme zuerst hochgefahren werden, wer welche Entscheidungen trifft und wie die Kommunikation mit Behörden abläuft. Das schließt die Meldepflicht an das gemeinsame Portal von BBK und BSI ausdrücklich ein (§ 15 KRITISDachG).
Wer im Betrieb verantwortlich ist
Das KRITIS-Dachgesetz lässt keinen Zweifel daran, wo die Letztverantwortung liegt: bei der Geschäftsleitung. Vorstände und Geschäftsführer sind persönlich verpflichtet, die Umsetzung der Resilienzmaßnahmen sicherzustellen (§ 20 KRITISDachG). In der Praxis bedeutet das eine klare Aufgabenteilung im Betrieb.
Die Geschäftsleitung trägt die Letztverantwortung und muss die Resilienzstrategie kennen und freigeben. Sie kann operatives Handeln delegieren, bleibt aber für die Umsetzung haftbar.
Der Facility Manager oder Technische Leiter übernimmt die operative Umsetzung: Risikoanalyse koordinieren, Resilienzplan erstellen, Prüfprozesse dokumentieren, Dienstleister steuern, Behördenkommunikation vorbereiten.
Externe Dienstleister liefern Nachweise für ihre Leistungen, also Wartungsprotokolle, Prüfberichte und Mängelbeseitigungsnachweise. Der Betreiber ist dafür verantwortlich, dass diese Nachweise vollständig vorliegen und archiviert sind.
Diese Aufgabenteilung muss im Resilienzplan selbst dokumentiert sein, als Teil der organisatorischen Maßnahmen nach § 13 KRITISDachG.
Externe Dienstleister sind Teil des Resilienzkonzepts – ihre Nachweise müssen genauso lückenlos vorliegen wie die eigenen.
Entspricht Ihr Arbeitsplatz den Unfallverhütungsvorschriften?
Mit dieser Checkliste können Sie schnell und unkompliziert prüfen, ob die grundlegenden Anforderungen der Unfallverhütungsvorschriften an Ihrem Arbeitsplatz erfüllt sind.
Audit-Readiness: Wie der Resilienzplan behördensicher wird
Ein Resilienzplan, der existiert, aber im Auditfall nicht vorgelegt werden kann, verfehlt seinen Zweck. Aufsichtsbehörden können jederzeit Dokumentationen anfordern und Vor-Ort-Prüfungen anordnen (§ 16 KRITISDachG). Der Plan muss daher nicht nur inhaltlich stimmen, sondern auch strukturell.
Praktische Anforderungen an ein audit-fähiges Dokument:
- Versionierung: Jede Aktualisierung muss nachvollziehbar sein. Wer hat wann was geändert und aus welchem Anlass
- Verknüpfung mit Prüfnachweisen: Der Plan verweist auf konkrete Protokolle, Wartungsnachweise und Begehungsberichte. Diese müssen abrufbar sein, nicht nur referenziert.
- Aktualität: Ein Plan, der vor Jahren erstellt und seitdem nicht angefasst wurde, suggeriert, dass auch die Maßnahmen nicht gelebt werden.
- Zugänglichkeit: Der Plan muss für die zuständigen Personen sofort zugänglich sein, ohne vorherige Archivrecherche.
Viele Betreiber stellen erst dann fest, dass ihre Dokumentation zwar vorhanden, aber nicht strukturiert genug ist, wenn eine Behörde konkret nachfragt. Eine digitale Dokumentationslösung wie KEVOX schafft die strukturelle Grundlage dafür: Prüfprotokolle, Bauteilhistorien und Mängelmanagement sind objektorientiert erfasst, versioniert und jederzeit abrufbar. Der Resilienzplan lässt sich damit auf eine belastbare Basis stützen, statt im Auditfall mühsam zusammengestellt werden zu müssen.
Der Resilienzplan lebt mit dem Betrieb
Der Resilienzplan ist kein einmaliges Projekt. Er ist ein lebendes Dokument, das den tatsächlichen Sicherheitszustand einer Anlage widerspiegeln muss. Facility Manager, die Prüfprozesse, Brandschutznachweise und Dienstleisterdokumentation bereits strukturiert führen, haben den größten Teil der Arbeit getan. Die eigentliche Herausforderung liegt nicht im Tun, sondern im Nachweisen.
Häufige Fragen zum Thema Resilienzplan:
Was muss ein Resilienzplan nach KRITIS-Dachgesetz enthalten?
Der Resilienzplan muss alle Maßnahmen nach § 13 KRITISDachG dokumentieren, technische, bauliche, organisatorische und personelle. Er muss die Erwägungen hinter jeder Maßnahme darlegen und auf die Risikoanalyse des Betreibers Bezug nehmen. Das BBK stellt Vorlagen bereit, die als Ausgangspunkt genutzt werden können.
Wie oft muss der Resilienzplan aktualisiert werden?
Mindestens nach jeder Risikoanalyse, die alle vier Jahre durchgeführt werden muss. Darüber hinaus bei wesentlichen Änderungen im Betrieb, nach erheblichen Vorfällen und wenn sich die gesetzlichen Anforderungen ändern.
Wer erstellt den Resilienzplan?
Operativ übernimmt das in der Regel der Facility Manager oder Technische Leiter. Die Letztverantwortung liegt jedoch bei der Geschäftsleitung, die den Plan freigeben und kennen muss.
Müssen externe Dienstleister in den Resilienzplan einbezogen werden?
Ja. Der Plan muss beschreiben, wie externe Dienstleister gesteuert werden und wie sichergestellt ist, dass ihre Leistungsnachweise vollständig vorliegen. Fehlende Dienstleisterprotokolle sind ein häufiger Kritikpunkt bei Behördenprüfungen.
Was passiert, wenn der Resilienzplan nicht vorgelegt werden kann?
Aufsichtsbehörden können Mängelbeseitigungen anordnen und Fristen setzen (§ 16 KRITISDachG). Da die Geschäftsleitung persönlich haftet, trägt sie das Risiko direkt..
Gibt es eine Vorlage für den Resilienzplan?
Das BBK stellt Vorlagen und Muster auf seiner Website bereit. Sie ersetzen jedoch nicht die betriebsspezifische Auseinandersetzung mit den tatsächlichen Risiken und Maßnahmen der eigenen Anlage.
Quellen:
- Gesetz zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen (KRITISDachG), BGBl. 2026 I Nr. 66 vom 16.03.2026
- Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK): Kritische Infrastrukturen
- IHK Köln: KRITIS-Dachgesetz – Was Unternehmen jetzt wissen und tun müssen (2026)
- PHYSEC: KRITIS-Dachgesetz beschlossen: Pflichten, Sektoren und Fristen (2026)
- Kapellmann Rechtsanwälte: CER-Richtlinie und KRITIS-Dachgesetz (2026)
