01Was verlangt das KRITIS-Dachgesetz bei der Risikoanalyse?
Betreiber kritischer Anlagen müssen bei Bedarf, mindestens aber alle vier Jahre eine Risikoanalyse und Risikobewertung durchführen (§ 12 KRITISDachG). Grundlage sind die nationalen Risikoanalysen und weitere vertrauenswürdige Quellen. Zu bewerten sind naturbedingte, technische und menschlich verursachte Risiken, darunter hybride Bedrohungen, Sabotage und terroristische Straftaten, sowie Abhängigkeiten von anderen Betreibern. Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.
02Seit wann gilt das KRITIS-Dachgesetz und welche Fristen laufen?
Das Gesetz ist am 17. März 2026 in Kraft getreten (BGBl. 2026 I Nr. 66). Betreiber registrieren sich binnen drei Monaten, nachdem ihre Anlage als kritisch gilt. Welche Anlagen das sind, legt eine Rechtsverordnung mit Schwellenwerten fest, der Regelwert liegt bei 500.000 versorgten Einwohnern. Die erste Risikoanalyse ist neun Monate nach der Registrierung fällig, Resilienzmaßnahmen, Resilienzplan und Meldepflicht greifen nach zehn Monaten (§ 8 KRITISDachG). Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.
03Was muss im Resilienzplan stehen?
Der Resilienzplan stellt die Maßnahmen nach § 13 KRITISDachG dar und begründet sie mit Bezug auf die Risikoanalyse: Vorfälle verhindern, Gelände und Anlagen physisch schützen, auf Vorfälle reagieren und den Betrieb schnell wiederherstellen. Dazu gehören auch ein Sicherheitsmanagement für Mitarbeitende und Personal externer Dienstleister sowie Schulungen und Übungen. Der Plan ist anzuwenden und nach jeder Risikoanalyse zu aktualisieren.
04Gehören Cyberangriffe in die Risikoanalyse nach KRITIS-Dachgesetz?
Reine IT-Sicherheitsvorfälle regelt das BSIG, nicht das KRITIS-Dachgesetz. Hybride Bedrohungen verbinden aber beides, etwa wenn vernetzte Zutrittskontrolle, Videoüberwachung oder Leittechnik angegriffen werden, um physischen Schaden anzurichten. Solche Szenarien gehören in die Bewertung. Vorhandene Nachweise und Risikoanalysen, etwa nach BSIG, können unter Umständen als gleichwertig anerkannt werden (§ 17 KRITISDachG). Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.
05Wer haftet für die Umsetzung?
Die Geschäftsleitung muss die Resilienzmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 20 KRITISDachG). Verletzt sie diese Pflicht, haftet sie nach den Regeln des Gesellschaftsrechts. Bußgelder reichen je nach Verstoß bis zu einer Million Euro (§ 24 KRITISDachG). Die Übersicht unterstützt die Einordnung und ersetzt keine rechtliche Bewertung.
06Was liefert NEXGAP für die Risikoanalyse?
Die Bedrohungslage zu menschlich verursachten Risiken: ein strategisches Lagebild für Ihren Sektor, ein Standortlagebild je Anlage und bewertete Szenarien aus dem Cyber Risk Assessment. Offensive Security prüft, ob OT und vernetzte Sicherheitstechnik einem gezielten Angriff standhalten. Naturgefahren und bauliche Sicherung bewerten Sie mit Ihren Fachplanern.
