Kurzdefinition: Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Anlagen — als Gegenstück zur IT-Sicherheit nach dem BSIG. Nach § 13 des KRITIS-Dachgesetzes sind Betreiber kritischer Anlagen verpflichtet, verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen, um Vorfälle zu verhindern, ihre Anlagen physisch zu schützen, auf Vorfälle zu reagieren und die kritische Dienstleistung zügig wiederherzustellen. Diese Maßnahmen sind in einem Resilienzplan darzustellen. [N-KRITISDachG-13]
Der Normwortlaut
§ 13 Abs. 1 des KRITIS-Dachgesetzes verpflichtet den Betreiber kritischer Anlagen, Maßnahmen zur Gewährleistung seiner Resilienz zu treffen, um „das Auftreten von Vorfällen zu verhindern“, „einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen zu gewährleisten“, „auf Vorfälle zu reagieren, sie abzuwehren und die negativen Auswirkungen solcher Vorfälle zu begrenzen“ und „nach Vorfällen die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten“. Nach Abs. 4 sind die Maßnahmen in einem Resilienzplan darzustellen. [N-KRITISDachG-13]
Worum geht es beim KRITIS-Dachgesetz?
Um physische Resilienz. Während das BSIG die IT-Sicherheit regelt, adressiert das KRITIS-Dachgesetz den Schutz kritischer Anlagen vor physischen Gefahren — von Naturereignissen über Unfälle bis zu Sabotage. Es setzt die europäische CER-Richtlinie um. [N-KRITISDachG-13]
Welche vier Ziele verfolgt § 13?
Verhindern, schützen, reagieren, wiederherstellen. Nach § 13 Abs. 1 des KRITIS-Dachgesetzes sind Maßnahmen zu treffen, um Vorfälle zu verhindern, die Anlagen physisch zu schützen, auf Vorfälle zu reagieren und die kritische Dienstleistung nach einem Vorfall zügig wiederherzustellen. [N-KRITISDachG-13]
Welche Maßnahmen kommen in Betracht?
Bauliche, technische und organisatorische. Das Gesetz nennt beispielhaft Notfallvorsorge, Objektschutz wie Liegenschaftsabgrenzungen, Überwachung der Umgebung, Detektionsgeräte und Zugangskontrollen, Krisenmanagementverfahren, Notstromversorgung, alternative Lieferketten sowie Sicherheitsmanagement und Schulung des Personals. [N-KRITISDachG-13]
Welcher Maßstab gilt?
Verhältnismäßigkeit und Stand der Technik. Nach § 13 Abs. 2 des KRITIS-Dachgesetzes sind verhältnismäßige Maßnahmen auf Grundlage der Risikoanalysen zu treffen; der Stand der Technik soll eingehalten werden. Aufwand und Risiko sind in eine Zweck-Mittel-Relation zu setzen, wirtschaftliche Aspekte sind zu berücksichtigen. [N-KRITISDachG-13]
Was ist der Resilienzplan?
Die verbindliche Dokumentation. Nach § 13 Abs. 4 des KRITIS-Dachgesetzes muss der Betreiber die Maßnahmen in einem Resilienzplan darstellen und anwenden; die zugrunde liegenden Erwägungen und die Risikobewertung sind zu dokumentieren. Der Plan ist bei Bedarf zu aktualisieren. [N-KRITISDachG-13]
Häufige Fehlannahmen
- „Das KRITIS-Dachgesetz regelt die IT-Sicherheit.“ Nein. Es regelt die physische Resilienz; die IT-Sicherheit steht im BSIG. [N-KRITISDachG-13]
- „Physischer Schutz ist nicht gefordert.“ Doch. Der angemessene physische Schutz der Anlagen ist ein ausdrückliches Ziel. [N-KRITISDachG-13]
- „Es gilt ein absoluter Sicherheitsmaßstab.“ Nein. Maßgeblich ist die Verhältnismäßigkeit unter Abwägung von Aufwand und Risiko. [N-KRITISDachG-13]
- „Ein Resilienzplan ist nicht erforderlich.“ Doch. Die Maßnahmen sind in einem Resilienzplan darzustellen und anzuwenden. [N-KRITISDachG-13]
- „Der Resilienzplan ist einmalig zu erstellen.“ Nein. Er ist bei Bedarf und nach neuen Risikobewertungen zu aktualisieren. [N-KRITISDachG-13]
- „Personalschutz und Schulung gehören nicht dazu.“ Doch. Sicherheitsmanagement und Schulung des Personals zählen zu den Maßnahmen. [N-KRITISDachG-13]
Was die Geschäftsleitung tun sollte
- Betroffenheit klären. Prüfen, ob die Einrichtung Betreiber kritischer Anlagen im Sinne des KRITIS-Dachgesetzes ist.
- Risiken analysieren. Eine eigene Risikoanalyse und -bewertung als Grundlage der Maßnahmen erstellen.
- Resilienzplan aufsetzen. Die vier Schutzziele in einem verhältnismäßigen Maßnahmenpaket abbilden und dokumentieren.
- Aktuell halten. Den Resilienzplan bei Bedarf und nach neuen Bewertungen fortschreiben.
Für die Geschäftsleitung
Das KRITIS-Dachgesetz ergänzt die IT-Sicherheit um die physische Dimension: Wer kritische Anlagen betreibt, muss sie auch gegen Naturereignisse, Unfälle und Sabotage härten. Der Resilienzplan ist dabei Pflicht und Steuerungsinstrument zugleich — und die Geschäftsleitung trägt die Verantwortung für seine Umsetzung.
Quellen
- [N-KRITISDachG-13] § 13 des KRITIS-Dachgesetzes (Resilienzpflichten der Betreiber kritischer Anlagen; Resilienzplan). Amtlich: https://www.gesetze-im-internet.de/kritisdachg/__13.html
