Der Anschlag auf die Stromversorgung, der in diesem Winter Haushalte im Südwesten Berlins für Tage vom Netz trennte, steht exemplarisch dafür, wie schlecht die Infrastruktur insgesamt geschützt ist. Mit dem neuen Gesetz möchte die Bundesregierung nun echte, physische Sicherheits- und Schutzmaßnahmen insbesondere gegen Sabotage umsetzen. Technologisch sind mit Sensorik, Drohnenüberwachung oder Geo-Fencing heute viele Kontrollen möglich, die früher nicht realisierbar gewesen wären. Jetzt müssen Betreiber analysieren, mit welchen Technologien sie neue Sicherheitskonzepte umsetzen. Viele davon haben sich bereits in der Praxis bewährt und sind – oft vergleichsweise kostengünstig – am Markt verfügbar. Deutsche und europäische Anbieter sind hier gut aufgestellt.
Risikoanalyse zeigt Schwachstellen
Zunächst jedoch müssen sich die betroffenen Unternehmen als KRITIS-Betreiber identifizieren und anmelden. Gerade das Thema Risikoanalyse dürfte viele Unternehmen jetzt vor Hürden stellen. Bedacht werden sollen Szenarien rund um Bedrohungen wie Sabotage, Naturgefahren, Extremismus oder Ausfall von Lieferketten. Doch an dieser ganzheitlichen Risikobewertung mangelt es heute vielen Mitspielern in der kritischen Infrastruktur.
Das verbreitete Silodenken in den Unternehmen trägt zu den Schwierigkeiten bei. Die physischen Schutzmaßnahmen wie Zugangskontrollen, Perimeter- und Anlagenüberwachung sind gerade für die Infrastrukturen wichtig, die als sehr vulnerabel gelten; dazu zählen Bahn- und Stromtrassen oder etwa Windkraftanlagen.
KRITIS Verordnung: Funktionierende Notfallpläne werden Pflicht
Ganz ähnlich wie in der IT-Sicherheit sind organisatorische Aspekte gefragt. Notfallpläne und -prozesse oder Wiederanlaufpläne dürfen nicht nur einmal erstellt und in die Schublade gelegt – sie müssen kontinuierlich angepasst und geübt werden. Zur Resilienz gehört die „Business Continuity“. Auch das Erfüllen der Meldepflichten ist sicherzustellen: Bei Verstößen dagegen drohen mit dem neuen Gesetz Bußgelder bis zu 500.000 Euro, in besonders gravierenden Fällen sogar bis zu einer Million Euro. Für Nachweise sind regelmäßige Dokumentation und Audits notwendig.
Bei KRITIS-Verstößen drohen Bußgelder bis zu 500.000 Euro.
Studie zeigt: KRITIS-Schutz braucht den Blick aufs Ganze
Wie wichtig widerstandsfähige Infrastrukturen sind, zeigt der Forschungsbericht „Klimaresiliente kritische Infrastrukturen“ des Umweltbundesamtes aus dem Jahr 2025. Die Studie macht deutlich, dass kritische Infrastrukturen nicht isoliert betrachtet werden können: Strom, Wasser, Verkehr, Gesundheit und Kommunikation hängen eng zusammen. Fällt ein Bereich aus, können schnell Kettenreaktionen entstehen. Für Betreiber bedeutet das: Risikoanalysen, Notfallpläne und Schutzmaßnahmen müssen nicht nur einzelne Anlagen absichern, sondern auch Abhängigkeiten, Extremwetter, Lieferketten und Wiederanlaufprozesse einbeziehen. Genau hier setzt das KRITIS-Dachgesetz an — es macht Resilienz zu einer strategischen Aufgabe.
FAQ
Was ist das KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz schafft bundeseinheitliche Vorgaben für die physische Resilienz kritischer Anlagen. Es ergänzt damit bestehende Anforderungen an Cyber- und Informationssicherheit.
Geht es dabei nur um große Energieversorger?
Nein. Auch andere Sektoren können betroffen sein, etwa Verkehr, Wasser, Gesundheit, Ernährung, digitale Infrastruktur oder öffentliche Verwaltung. Entscheidend sind die konkrete Anlage, die erbrachte kritische Dienstleistung und die gesetzlichen Schwellenwerte.
Welche Rolle spielt Technologie?
Technologie kann Risiken senken, ersetzt aber keine Risikoanalyse. Sensorik, Videoanalyse, Zutrittskontrolle oder Drohnenmonitoring sollten Teil eines Gesamtkonzepts sein.
Warum reicht ein Notfallplan allein nicht aus?
Weil Resilienz geübt werden muss. Erst Tests, Übungen und regelmäßige Aktualisierungen zeigen, ob ein Plan im Ernstfall funktioniert.
Was sollten Unternehmen zuerst tun?
Zunächst sollten sie klären, ob sie betroffen sind, welche Anlagen besonders kritisch sind und welche bestehenden Schutzmaßnahmen bereits vorhanden sind.
Fazit: Resilienz wird zur Daueraufgabe
Das KRITIS-Dachgesetz macht deutlich: Der Schutz kritischer Infrastrukturen ist kein reines IT-Thema mehr, sondern eine ganzheitliche Sicherheitsaufgabe. Betreiber müssen Risiken frühzeitig erkennen, physische Schwachstellen schließen und Notfallprozesse regelmäßig testen. Entscheidend ist dabei der Blick auf das gesamte System — von einzelnen Anlagen über Lieferketten bis zu möglichen Kettenreaktionen bei Ausfällen. Wer jetzt in Risikoanalysen, moderne Schutztechnologien und klare Verantwortlichkeiten investiert, erfüllt nicht nur gesetzliche Anforderungen, sondern stärkt langfristig die eigene Widerstandsfähigkeit.