Ob Energie, Wasser, Verkehr, Gesundheitswesen oder Ernährung – viele Branchen zählen in Deutschland zur sogenannten kritischen Infrastruktur (KRITIS). Um diese besonders geschütz-ten Bereiche widerstandsfähiger gegen Störfälle, Krisen und Angriffe zu machen, hat der Bun-destag am 29. Januar 2026 das neue KRITIS-Dachgesetz beschlossen; der Bundesrat hat am 6. März 2026 zugestimmt.
Mit dem KRITIS-Dachgesetz geht der deutsche Gesetzgeber über die bisherigen Anforderun-gen hinaus und schafft erstmals einen abgerundeten Rahmen für die physische, organisatori-sche und technische Resilienz von KRITIS-Einrichtungen – unabhängig davon, ob sie unter europäische Vorgaben wie NIS2 fallen. Damit werden betroffene Unternehmen nunmehr ver-pflichtet, eine Vielzahl physischer (Schutz-)Maßnahmen zu ergreifen, um sich gegen Störfälle und Angriffe von innen und von außen zu schützen. Diese Maßnahmen gehen deutlich über die reine IT-Sicherheit hinaus: Der Gesetzgeber verlangt nunmehr einen Schutz gegen alle möglichen Gefahrenquellen, also Natur, Technik, und Mensch.
Betroffene Unternehmen
Vom KRITIS‑Dachgesetz erfasst sind Unternehmen, die kritische Anlagen betreiben und in einem gesetzlich definierten KRITIS‑Sektor tätig sind. Dazu zählen insbesondere die Bereiche Energie, Transport und Verkehr, Finanzwesen und Sozialversicherung, Gesundheitswesen, Wasser und Ernährung, Informationstechnik und Telekommunikation, der Weltraumbereich, die Siedlungsabfallentsorgung sowie bestimmte Einrichtungen der Bundesverwaltung.
Eine Anlage gilt im Regelfall als kritisch, wenn sie die Versorgung von mindestens 500.000 Menschen sicherstellt. Die genaue Einordnung erfolgt dabei sektorspezifisch und orientiert sich an der Bedeutung der jeweiligen Anlage für die öffentliche Versorgung.
Viele Länder haben aber bereits angekündigt, diesen Anwendungsbereich durch eine Herab-setzung des Schwellenwertes per Verordnung noch deutlich auszuweiten. Das KRITIS-Dachgesetz enthält insoweit eine entsprechende Länder Öffnungsklausel. Die „Spielregeln“ für solche Verordnungen werden allerdings noch durch das Bundes-Innenministerium festgelegt. Unternehmen sollten deshalb die weitere Konkretisierung auf Landesebene im Blick behalten und frühzeitig prüfen, ob ihre Anlagen (künftig) unter die Vorgaben fallen. Falls ja, müssen sie sich ab dem 17. Juli 2026 digital als Betreiber kritischer Anlagen beim Bundesamt für Bevölke-rungsschutz und Katastrophenhilfe registrieren.
Hierbei müssen sie unter anderem Angaben zur Identität des Unternehmens, der Art und dem Standort der kritischen Anlage(n) sowie zu Kontaktstellen für Behörden machen. Änderungen an der Anlage oder wesentlichen Parametern sind zudem laufend zu prüfen und zeitnah zu melden. Diese Registrierung bildet die Grundlage für sämtliche weiteren Pflichten aus dem KRITIS-Dachgesetz.
Risikoanalysen und Umsetzung konkreter Resilienzmaßnahmen
Nach erfolgreicher Registrierung sind Unternehmen verpflichtet, innerhalb von 9 Monaten eine Risikoanalyse und Risikobewertung zur Gefährdung ihrer kritischen Anlage(n) zu erstellen. Hierzu werden die zuständigen Bundes- und Landesministerien zunächst nationale Risikoana-lysen erstellen und an die registrierten Unternehmen zirkulieren. Innerhalb von 10 Monaten sind zudem umfangreiche Resilienzmaßnahmen zum Schutz der kritischen Infrastruktur umzusetzen, unter anderem die Implementierung von Zutrittskontrollen zu Betriebsstätten, Werkschutz, technische und bauliche Schutzmaßnahmen, stabile Versorgungsketten (Strom, Wasser, Kommunikation), Notfall- sowie Sicherheitsmanagement für eigenes und externes Personal.
Dies stellt Unternehmen (arbeits-)rechtlich vor eine Vielzahl von Aufgaben: Der Betriebs-/Personalrat ist bei den meisten physischen Maßnahmen einzubinden – etwa bei der Einfüh-rung und Ausgestaltung von Bereitschaftsmodellen, Änderungen der Arbeitsorganisation oder Regelungen für Zutrittskontrollen und Überwachungsmaßnahmen. Eine gute und enge Zu-sammenarbeit mit dem Betriebs-/Personalrat ist im Zuge der neuen Resilienzmaßnahmen un-erlässlich. Zudem müssen auch (arbeits-)vertragliche Sicherungsmechanismen implementiert werden, wie beispielsweise Geschäftsgeheimnisschutzkonzepte, Joiner-Leaver- und Scree-ning-Prozesse.
Wichtig ist zudem eine ordnungsgemäße Dokumentation. Die implementierten Maßnahmen müssen in einem schriftlichen Resilienzplan dokumentiert werden. Flankiert wird dies durch weitere Nachweis- und Meldepflichten.
Bei Verstößen: Bußgelder und persönliche Haftung der Geschäftsleitung
Verstöße gegen das KRITIS-Dachgesetz können je nach Verstoß mit Bußgeldern von bis zu 1.000.000 Euro geahndet werden. Zudem sieht das Gesetz eine persönliche Verantwortung und Haftung der Geschäftsleitung für die Umsetzung der Resilienzmaßnahmen vor. Es empfiehlt sich daher zusätzlich die Entwicklung und Implementierung eines Konzepts zur rechtswirksamen Delegation von Unternehmerpflichten im Bereich des KRITIS-Dachgesetzes.
Fazit
Mit dem KRITIS-Dachgesetz stehen Unternehmen und ihre Führungskräfte vor komplexen Herausforderungen: Sie müssen die physische Widerstandsfähigkeit ihrer Anlagen sicherstel-len. Für HR, Führung und Interessenvertretungen heißt das: Klare Strukturen, laufende Schu-lungen, aktuelle Regeln und intensive Zusammenarbeit. Wer vorausschauend handelt und alle Beteiligten frühzeitig einbindet, sorgt für mehr Sicherheit und Einhaltung der Compliance – und schützt so nicht nur das Unternehmen, sondern auch seine Beschäftigten und Kunden.
