KRITIS-Dachgesetz umsetzen und kritische Anlagen wirksam schützen
Sie sind sich unsicher, ob Sie betroffen sind? Machen Sie den kostenlosen Quick-Check
KRITIS-Dachgesetz Beratung ist für Betreiber kritischer Anlagen ein zentraler Baustein, um die Versorgung der Bevölkerung und die Funktionsfähigkeit von Wirtschaft und Staat dauerhaft abzusichern. Ausfälle, Sabotage, Naturgefahren, technische Störungen oder menschliches Versagen können weitreichende Folgen haben und erfordern deshalb eine systematische Vorbereitung.
Mit dem KRITIS-Dachgesetz gelten in Deutschland sektorenübergreifende Anforderungen an die physische Resilienz kritischer Anlagen. Betreiber müssen Risiken systematisch bewerten, angemessene Schutz- und Resilienzmaßnahmen umsetzen, diese in einem Resilienzplan dokumentieren und wirksame Strukturen für die Bewältigung von Vorfällen schaffen. Das Gesetz ergänzt die Anforderungen an die IT- und Cybersicherheit um den physischen und organisatorischen Schutz kritischer Dienstleistungen.
Unsere KRITIS-Dachgesetz Beratung unterstützt Sie bei der strukturierten und praxisorientierten Umsetzung der gesetzlichen Anforderungen. 3-core begleitet Sie von der Prüfung der Betroffenheit über die Risikoanalyse bis zur Erstellung des Resilienzplans und zur operativen Umsetzung der erforderlichen Schutz- und Resilienzmaßnahmen.
KRITIS-Dachgesetz Beratung für Betreiber kritischer Anlagen
Unsere KRITIS-Dachgesetz Beratung betrachtet nicht nur einzelne Sicherheitsmaßnahmen. Gefordert ist ein ganzheitlicher Ansatz, der physische Sicherheit, Business Continuity Management, Notfall- und Krisenmanagement, Personal, Organisation und Wiederanlauf miteinander verbindet.
Wir begleiten Betreiber kritischer Anlagen dabei, die gesetzlichen Vorgaben in praxistaugliche Strukturen und belastbare Prozesse zu überführen. Dabei berücksichtigen wir bestehende Managementsysteme, vorhandene Sicherheitskonzepte, branchenspezifische Vorgaben und die individuellen Risiken Ihrer Anlagen.
Unsere Beratung ist unabhängig, praxisorientiert und auf Ihre tatsächlichen Anforderungen ausgerichtet.
Für wen ist das KRITIS-Dachgesetz relevant?
Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen in den gesetzlich festgelegten Sektoren:
- Energie
- Transport und Verkehr
- Finanzwesen
- Leistungen der Sozialversicherung und Grundsicherung
- Gesundheitswesen
- Wasser
- Ernährung
- Informationstechnik und Telekommunikation
- Weltraum
- Siedlungsabfallentsorgung
Nicht jedes Unternehmen innerhalb dieser Sektoren fällt automatisch unter sämtliche Pflichten des Gesetzes. Entscheidend sind unter anderem die erbrachte kritische Dienstleistung, die Art und Bedeutung der Anlage sowie die maßgeblichen Schwellenwerte. Der gesetzliche Regelwert liegt grundsätzlich bei einer Versorgung von 500.000 Einwohnern; die konkrete Bestimmung erfolgt über ergänzende Rechtsverordnungen und kann durch Einzelfallentscheidungen ergänzt werden.
3-core unterstützt Sie bei der strukturierten Prüfung:
- Welche Anlagen und Dienstleistungen sind zu betrachten?
- Welche gesetzlichen und sektorspezifischen Vorgaben gelten?
- Werden relevante Schwellenwerte erreicht?
- Welche bestehenden Nachweise und Maßnahmen können berücksichtigt werden?
- Welche organisatorischen und technischen Lücken bestehen?
- Welche nächsten Schritte sind erforderlich?
Leistungen unserer KRITIS-Dachgesetz Beratung
Unsere KRITIS-Dachgesetz Beratung begleitet Sie von der ersten Einordnung und Betroffenheitsprüfung bis zur nachweisbaren Umsetzung der gesetzlichen Anforderungen:
- Prüfung der Betroffenheit und des Anwendungsbereichs
- Identifikation kritischer Anlagen und Dienstleistungen
- Unterstützung bei der Registrierung nach § 8 KRITIS-Dachgesetz
- Risikoanalyse und Risikobewertung nach § 12
- Entwicklung angemessener Resilienzmaßnahmen
- Erstellung und Aktualisierung des Resilienzplans nach § 13
- Analyse und Optimierung der physischen Sicherheit
- Aufbau und Weiterentwicklung des Business Continuity Managements
- Erstellung von Notfall- und Wiederanlaufkonzepten
- Aufbau einer wirksamen Krisenorganisation
- Entwicklung von Melde- und Eskalationsprozessen
- Schulungen, Sensibilisierungen und Übungen
- Vorbereitung erforderlicher Nachweise
- Unterstützung der Geschäftsleitung bei Governance und Überwachung
- Begleitung bei behördlichen Prüfungen und Anfragen
Dabei verbinden wir die gesetzlichen Anforderungen mit bestehenden Strukturen und vermeiden parallele, nicht aufeinander abgestimmte Managementsysteme.
KRITIS-Dachgesetz Beratung: Risikoanalyse nach § 12
Risiken, Abhängigkeiten und Auswirkungen systematisch bewerten
Betreiber kritischer Anlagen müssen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durchführen. Dabei sind nationale Risikoanalysen, weitere vertrauenswürdige Informationsquellen sowie Abhängigkeiten von anderen Betreibern, Sektoren und kritischen Dienstleistungen einzubeziehen.
Die Risikoanalyse bildet die Grundlage für die Auswahl angemessener und verhältnismäßiger Resilienzmaßnahmen. Eine allgemeine Vorlage allein ist dafür nicht ausreichend. Entscheidend ist eine nachvollziehbare, anlagenbezogene Betrachtung der tatsächlichen Bedrohungen, Schwachstellen, Abhängigkeiten und möglichen Auswirkungen.
3-core unterstützt Sie unter anderem bei:
- der Abgrenzung der betrachteten Anlagen und kritischen Dienstleistungen,
- der Aufnahme relevanter Prozesse, Ressourcen und Abhängigkeiten,
- der Identifikation naturbedingter, technischer und menschlich verursachter Gefahren,
- der Bewertung physischer Bedrohungen und Schwachstellen,
- der Betrachtung sektorübergreifender Abhängigkeiten,
- der Bewertung möglicher Ausfall- und Versorgungsfolgen,
- der Priorisierung von Risiken,
- der Ableitung geeigneter Schutz- und Resilienzmaßnahmen,
- der Zuordnung von Verantwortlichkeiten und Umsetzungsfristen,
- der revisionssicheren Dokumentation der Ergebnisse.
m Rahmen unserer KRITIS-Dachgesetz Beratung wird die Methodik an die konkreten gesetzlichen Anforderungen, die jeweilige kritische Anlage und die bereits vorhandenen Risikomanagementstrukturen angepasst.
Resilienzplan nach § 13 KRITIS-Dachgesetz
Maßnahmen zur Prävention, Reaktion und Wiederherstellung zusammenführen
Betreiber kritischer Anlagen müssen angemessene Maßnahmen treffen, um Vorfälle möglichst zu verhindern, den physischen Schutz sicherzustellen, auf Vorfälle zu reagieren, ihre Auswirkungen zu begrenzen und kritische Dienstleistungen schnell wiederherzustellen.
Die Maßnahmen müssen in einem Resilienzplan dargestellt und praktisch angewendet werden. Der Resilienzplan muss auf der Risikoanalyse und Risikobewertung aufbauen und bei Bedarf sowie nach einer erneuten Risikoanalyse aktualisiert werden.
Ein belastbarer Resilienzplan verbindet insbesondere:
Präventive Schutzmaßnahmen
Dazu gehören beispielsweise Zutrittskontrollen, Perimeterschutz, Objektschutz, Schutz sensibler Bereiche, Detektionsmaßnahmen und organisatorische Sicherheitsvorgaben.
Business Continuity und Notfallvorsorge
Kritische Prozesse, Ressourcen, Abhängigkeiten und Wiederanlaufprioritäten müssen bekannt sein. Geeignete Notfall- und Wiederanlaufstrategien stellen sicher, dass kritische Dienstleistungen auch unter erschwerten Bedingungen aufrechterhalten oder zeitnah wiederhergestellt werden können.
Krisenmanagement und Reaktionsfähigkeit
Klare Alarmierungswege, definierte Verantwortlichkeiten, ein handlungsfähiger Krisenstab sowie vorbereitete Entscheidungs- und Kommunikationsprozesse ermöglichen eine koordinierte Reaktion auf Vorfälle.
Personelle Sicherheit
Auch die Zuverlässigkeit, Sensibilisierung und Schulung der eigenen Beschäftigten und eingesetzter externer Dienstleister sind Bestandteil einer wirksamen Resilienzorganisation.
Übungen und kontinuierliche Verbesserung
Resilienzmaßnahmen müssen regelmäßig überprüft und erprobt werden. Durch Alarmierungsübungen, Krisenstabsübungen und realistische Szenarien lassen sich Schwachstellen erkennen und Verbesserungsmaßnahmen ableiten.
3-core entwickelt mit Ihnen einen Resilienzplan, der nicht nur formale Anforderungen erfüllt, sondern im Ereignisfall tatsächlich anwendbar ist.
Physische Sicherheit kritischer Anlagen
Schutzkonzepte auf Grundlage der tatsächlichen Gefährdung
Physische Sicherheit ist ein wesentlicher Bestandteil der Resilienz kritischer Anlagen. Technische Detektionssysteme allein verhindern jedoch keinen unbefugten Zutritt und keinen gezielten Angriff. Entscheidend ist das Zusammenspiel aus baulichen, technischen, personellen und organisatorischen Maßnahmen.
Unsere Sicherheitskonzepte berücksichtigen unter anderem:
- Perimeterschutz und Grundstückssicherung
- Zufahrten, Tore und Fahrzeugbarrieren
- Zutrittskontrollen und Schließkonzepte
- Schutzzonen und sensible Betriebsbereiche
- Einbruch- und Überstiegsschutz
- Videoüberwachung und Detektion
- Schutz kritischer Leitungswege
- Sicherung technischer Anlagen und Betriebsmittel
- Besucher-, Fremdfirmen- und Lieferantenprozesse
- Interventions- und Alarmierungsmaßnahmen
- organisatorische Verantwortlichkeiten
- Schnittstellen zu BCM und Krisenmanagement
Die Maßnahmen werden aus den identifizierten Risiken abgeleitet und hinsichtlich Wirksamkeit, Angemessenheit und Umsetzbarkeit bewertet.
Meldepflichten und Verantwortlichkeit der Geschäftsleitung
Betreiber kritischer Anlagen müssen relevante Vorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über die gemeinsame Meldestelle von BBK und BSI melden. Bei andauernden Vorfällen ist die Erstmeldung zu aktualisieren. Dafür müssen geeignete Erkennungs-, Bewertungs-, Eskalations- und Meldeprozesse vorbereitet werden.
Auch die Geschäftsleitung ist unmittelbar eingebunden. Sie muss die erforderlichen Resilienzmaßnahmen umsetzen und durch geeignete Organisationsmaßnahmen sicherstellen, dass deren Umsetzung wirksam überwacht wird.
3-core unterstützt Sie beim Aufbau einer klaren Governance, unter anderem durch:
- eindeutige Rollen und Verantwortlichkeiten,
- definierte Berichts- und Eskalationswege,
- strukturierte Managementinformationen,
- nachvollziehbare Maßnahmenverfolgung,
- dokumentierte Entscheidungen,
- regelmäßige Wirksamkeitskontrollen,
- vorbereitete Meldeprozesse und Meldevorlagen.
KRITIS-Dachgesetz Beratung durch 3-core
Für eine wirksame KRITIS-Dachgesetz Beratung müssen physische Sicherheit, Business Continuity Management sowie Notfall- und Krisenmanagement gemeinsam betrachtet werden. Als unabhängige Unternehmensberatung für Corporate Resilience Management verbindet 3-core diese Themen zu einem ganzheitlichen Lösungsansatz.
Unsere Beratung basiert auf praktischer Projekterfahrung in sicherheitskritischen und regulierten Unternehmensumfeldern. Wir entwickeln keine isolierten Papierkonzepte, sondern belastbare Strukturen, Prozesse und Maßnahmen, die zu Ihrer Organisation passen und im Ereignisfall funktionieren.
Sie profitieren von:
- praxiserprobten Vorgehensmodellen,
- einem festen Ansprechpartner,
- klaren Projektphasen und Ergebnissen,
- strukturierten Workshops und Arbeitsvorlagen,
- Erfahrung in kritischen und regulierten Branchen,
- unabhängiger Bewertung bestehender Strukturen,
- integrierter Betrachtung von BCM, Krisenmanagement und Sicherheit,
- nachvollziehbarer Dokumentation und Audit-Readiness.
Häufig gestellte Fragen zum KRITIS Dachgesetz
Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie zur Resilienz kritischer Einrichtungen in deutsches Recht um. Es schafft einen einheitlichen gesetzlichen Rahmen für die physische Resilienz kritischer Anlagen und ist am 17. März 2026 in Kraft getreten.
Relevant ist das Gesetz für Betreiber kritischer Anlagen in den gesetzlich festgelegten Sektoren. Ob eine konkrete Anlage erfasst wird, hängt insbesondere von der erbrachten kritischen Dienstleistung, der Anlagenkategorie, dem Versorgungsgrad, den geltenden Schwellenwerten und möglichen Einzelfallfeststellungen ab.
Eine individuelle Betroffenheitsprüfung schafft Klarheit über den konkreten Handlungsbedarf.
Sie sind sich unsicher, ob Sie betroffen sind? Machen Sie den kostenlosen Quick-Check?
Zu den wesentlichen Anforderungen gehören insbesondere:
- Registrierung kritischer Anlagen,
- regelmäßige Risikoanalysen und Risikobewertungen,
- angemessene und verhältnismäßige Resilienzmaßnahmen,
- Erstellung und Anwendung eines Resilienzplans,
- physischer Schutz kritischer Anlagen,
- Business Continuity und Wiederherstellungsfähigkeit,
- Krisen- und Notfallorganisation,
- personelle Sicherheitsmaßnahmen,
- Schulungen und Übungen,
- Meldeprozesse für relevante Vorfälle,
- Nachweise und behördliche Auskunftspflichten,
- Umsetzungs- und Überwachungspflichten der Geschäftsleitung.
Für einen registrierten Betreiber gelten die Pflichten zur Risikoanalyse und Risikobewertung nach § 12 erstmals neun Monate nach der Registrierung. Die Pflichten zu den Resilienzmaßnahmen, zum Meldewesen und zur Verantwortung der Geschäftsleitung nach den §§ 13, 18 und 20 gelten erstmals zehn Monate nach der Registrierung.
Der Aufbau der erforderlichen Strukturen sollte deshalb nicht erst nach Ablauf dieser Fristen beginnen.
3-core begleitet Sie von der Betroffenheitsprüfung über die Risikoanalyse und den Resilienzplan bis zur operativen Umsetzung. Bestehende Sicherheits-, BCM- und Krisenmanagementstrukturen werden dabei berücksichtigt und zu einem abgestimmten Gesamtsystem weiterentwickelt.
KRITIS-Dachgesetz strukturiert umsetzen
Sie möchten Ihre Betroffenheit prüfen, bestehende Maßnahmen bewerten oder einen Resilienzplan nach dem KRITIS-Dachgesetz aufbauen?
In einem kostenlosen und unverbindlichen Kickoff-Termin besprechen wir Ihre Ausgangssituation, den konkreten Handlungsbedarf und die nächsten sinnvollen Schritte.
Wir machen Sie startklar im 30min Turbo-Kickoff
Füllen Sie das Formular aus – Sie erhalten eine kostenlose Einführung in das Themenfeld.
