KRITIS Dachgesetz

Auf dieser Seite finden Sie die zentralen Inhalte des KRITIS Dachgesetzes

Kritische Infrastruktur

Das “Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen” (KRITIS Dachgesetz) setzt die EU-Richtlinie 2022/2557 in deutsches Recht um und stärkt den physischen Schutz systemrelevanter Einrichtungen. Es legt fest, wer als Betreiber kritischer Anlagen gilt, welche Pflichten bestehen und welche Behörden zuständig sind. Ziel ist die Verhinderung von Stör- und Ausfällen kritischer Dienstleistungen sowie die schnellstmögliche Wiederherstellung der Dienstleistungen, sollten Stör- und Ausfälle doch eintreten.

Wer ist betroffen?

Laut Angaben des Bundesinnenministeriums (BMI) sollen deutschlandweit knapp 1700 kritische Anlagen aus mehreren Sektoren unter das Gesetz fallen. Welche Anlage als kritisch gilt, wird per Rechtsverordnung oder dem Schwellenwert von mindestens 500.000 versorgten Personen festgelegt. Die Länder können außerdem eigenständig Anlagen benennen. Zu den KRITIS-Sektoren zählen:

  • Energie
  • Transport und Verkehr
  • Finanzwesen
  • Leistungen der Sozialversicherungen und Grundsicherung für Arbeitssuchende
  • Gesundheitswesen
  • Wasser
  • Ernährung
  • Informationstechnik und Telekommunikation
  • Weltraum
  • Siedlungsabfallentsorgung

Welche Pflichten haben Sie als betroffenes Unternehmen?

Registrierung beim BSI-Portal und Nachweispflichten

    • Innerhalb von 3 Monaten nachdem die Anlage als kritisch gilt
    • Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) teilt daraufhin die zuständige Aufsichtsbehörde mit
    • Das BBK kann kritische Anlagen auch selbstständig registrieren und dazu Unterlagen anfordern
    • Weitere Behörden und die Länder können dem BBK Vorschläge für kritische Anlagen machen, die unter die Schwellenwerte fallen
    • Nachweise werden i.d.R. im Rahmen der NIS2-Nachweisprüfungen erbracht

Organisatorische Pflichten

    • Regelmäßige Risikoanalyse und -bewertung (i.d.R. alle 4 Jahre, greift 9 Monate nach Registrierung)
    • Resilienzplan mit aktuellen und angemessenen Maßnahmen (greift 10 Monate nach Registrierung)

Meldepflicht bei potenziellen und erheblichen Sicherheitsvorfällen an das BBK

    • Erstmeldung innerhalb von 24 Stunden
    • Ausführlicher Bericht innerhalb von 1 Monat

Klare Verantwortung der Unternehmensleitung

    • Geschäftsführer und Vorstände müssen Resilienzmaßnahmen umsetzen und überwachen
    • Geschäftsführer und Vorstände tragen die persönliche Haftung, wenn Pflichten verletzt werden

Achtung! Je nach Branche können weitere spezifische Sicherheitsstandards gelten, die von den jeweilig zuständigen Behörden kommuniziert werden.

Das BBK wird Vorlagen, Muster und Leitlinien zur Umsetzung der Pflichten und die Resilienzpläne bereitstellen. Auf der BBK-Website finden Sie demnächst auch nähere Informationen zum Registrierungs- und Meldeverfahren.

Welche Sanktionen erwarten Sie bei Nichteinhaltung?

Die Geldbußen bei Nichteinhaltungen oder Versäumungen betragen bis zu 1 Mio. €.