Das KRITIS-Dachgesetz erweitert den Blick auf Sicherheit

Bei kritischen Infrastrukturen stand in den vergangenen Jahren häufig die Cyber- und Informationssicherheit im Mittelpunkt. Mit dem KRITIS-Dachgesetz wird der physische Schutz kritischer Anlagen ausdrücklich als eigener Bestandteil der Resilienz betrachtet.

Das Gesetz ist am 17. März 2026 in Kraft getreten. Es betrifft kritische Anlagen unter anderem aus den Bereichen Energie, Transport und Verkehr, Gesundheitswesen, Wasser, Ernährung sowie Informationstechnik und Telekommunikation.

Dabei geht es nicht darum, für jede Anlage dieselben Kameras, Zäune oder Sicherheitssysteme vorzuschreiben. Der Gesetzgeber verfolgt einen risikobasierten Ansatz: Betreiber sollen die für ihre Anlagen relevanten Gefahren bewerten und daraus verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen ableiten.

Für Betreiber bedeutet das vor allem eines: Physische Sicherheit wird stärker zu einem strukturierten und dokumentierten Prozess.

Wichtig: Nicht alle Betreiberpflichten greifen bereits unmittelbar

Das KRITIS-Dachgesetz ist zwar bereits in Kraft, die praktische Umsetzung erfolgt jedoch schrittweise.

Eine Rechtsverordnung soll unter anderem konkret festlegen, welche Anlagen aufgrund ihrer Kategorie und bestimmter Schwellenwerte als kritische Anlagen gelten. Nach aktuellem Stand befindet sich diese Rechtsverordnung noch in Erarbeitung.

Nach Angaben des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe besteht deshalb derzeit noch keine Registrierungspflicht auf Grundlage des KRITIS-Dachgesetzes. Auch die daran anknüpfenden Risikoanalysen und Resilienzpflichten werden erst nach der entsprechenden Registrierung innerhalb der gesetzlich vorgesehenen Fristen relevant.

Das BBK empfiehlt Betreibern dennoch ausdrücklich, sich bereits jetzt mit der eigenen Resilienz auseinanderzusetzen.

Für Unternehmen ist das sinnvoll: Eine belastbare physische Sicherheitsstruktur lässt sich selten kurzfristig aufbauen.

Was fordert das KRITIS-Dachgesetz beim physischen Schutz?

§ 13 des KRITIS-Dachgesetzes formuliert vier zentrale Ziele. Betreiber kritischer Anlagen sollen Maßnahmen treffen, um:

1. Vorfälle möglichst zu verhindern,

2. einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen zu gewährleisten,

3. auf Vorfälle reagieren, diese abwehren und deren Auswirkungen begrenzen zu können,

4. nach einem Vorfall die kritische Dienstleistung möglichst schnell wiederherzustellen.

Besonders interessant für die physische Sicherheit ist, dass das Gesetz mögliche Maßnahmen ausdrücklich benennt.

Dazu gehören unter anderem:

• bauliche und technische Sicherungsmaßnahmen,

• organisatorischer Objektschutz,

• Abgrenzungen von Liegenschaften,

• hemmende Fassadenelemente,

• Verfahren zur Überwachung der Umgebung,

• der Einsatz von Detektionsgeräten,

• Zugangskontrollen,

• Risiko- und Krisenmanagementverfahren,

• vorgegebene Abläufe im Alarmfall.

Damit betrachtet das Gesetz physische Sicherheit als zusammenhängenden Prozess – von der Grundstücksgrenze bis zur Reaktion auf einen bestätigten Vorfall.

1. Perimeterschutz: Der Schutz beginnt nicht an der Gebäudetür

Bei abgelegenen technischen Anlagen, Energieinfrastrukturen, Versorgungsstandorten oder weitläufigen Betriebsgeländen sollte ein unbefugtes Eindringen möglichst früh erkannt werden.

Ein Sicherheitskonzept beginnt deshalb häufig am äußeren Perimeter.

Je nach Risiko können beispielsweise Grundstücksgrenzen, Zufahrten, Tore, technische Einfriedungen oder besonders sensible Bereiche in unterschiedliche Sicherheitszonen eingeteilt werden.

Dabei geht es nicht ausschließlich darum, einen Zutritt physisch unmöglich zu machen. Ein wichtiger Bestandteil kann ebenso darin bestehen, eine Annäherung oder einen Übertritt frühzeitig zu erkennen.

Je früher ein sicherheitsrelevantes Ereignis erkannt wird, desto mehr Zeit bleibt für Verifikation und Reaktion.

2. Detektion: Ereignisse frühzeitig erkennen

Das KRITIS-Dachgesetz nennt den Einsatz von Detektionsgeräten ausdrücklich als mögliche Maßnahme des physischen Schutzes.

In der Praxis können solche Systeme beispielsweise definierte Freiflächen, Grundstücksgrenzen, Zufahrten oder technische Anlagen überwachen.

Besonders bei weitläufigen oder abgelegenen Anlagen kann eine solche Detektion sinnvoll sein. Entscheidend ist jedoch, dass ein Detektionssystem nicht isoliert betrachtet wird.

Die entscheidende Frage lautet nicht nur:

„Wurde eine Bewegung erkannt?“

Sondern:

„Was passiert nach der Erkennung?“

Ein belastbares Sicherheitskonzept verbindet deshalb die Detektion mit Alarmverifikation und einem definierten Maßnahmenplan.

3. Videoverifikation: Aus einer Meldung wird eine bewertete Lage

Technische Systeme können Ereignisse melden. Für eine sinnvolle Reaktion muss jedoch möglichst schnell festgestellt werden, was tatsächlich passiert.

Handelt es sich um eine berechtigte Person?

Ein Tier?

Eine technische Störung?

Oder dringt tatsächlich jemand unbefugt in einen gesicherten Bereich ein?

Eine kameragestützte Alarmverifikation ermöglicht es, eingehende Ereignisse zu bewerten und unnötige Interventionen zu reduzieren.

Bei einem bestätigten sicherheitsrelevanten Ereignis können anschließend die für das Objekt definierten Maßnahmen eingeleitet werden.

Gerade bei kritischen Anlagen ist diese Verbindung zwischen Erkennung, Bewertung und Reaktion wesentlich wichtiger als die reine Anzahl installierter Kameras.

4. Zugangskontrolle: Wer darf wohin?

Auch Zugangskontrollen werden im KRITIS-Dachgesetz ausdrücklich genannt.

Bei kritischen Anlagen sollte deshalb nachvollziehbar definiert sein, welche Personen Zugang zu welchen Bereichen erhalten.

Dabei können unterschiedliche Sicherheitszonen sinnvoll sein. Ein Mitarbeiter, ein externer Wartungsdienstleister oder ein Lieferant benötigt möglicherweise jeweils unterschiedliche Berechtigungen.

Technische Zutrittskontrolle kann dabei mit organisatorischen Verfahren kombiniert werden:

• definierte Zutrittsberechtigungen,

• zeitlich begrenzte Berechtigungen,

• Identifikation externer Dienstleister,

• dokumentierte Zutritte,

• gesonderte Freigaben für besonders sensible Bereiche.

Physischer Schutz bedeutet damit nicht nur Schutz vor einem Eindringen von außen. Auch die kontrollierte Bewegung berechtigter Personen innerhalb einer Anlage gehört zum Sicherheitskonzept.

5. Der Alarmfall muss vor dem Alarm definiert sein

Ein besonders wichtiger Punkt des KRITIS-Dachgesetzes sind die ausdrücklich genannten vorgegebenen Abläufe im Alarmfall.

Denn eine technische Detektion allein schafft noch keine Resilienz.

Für jedes relevante Szenario sollte vorher geklärt sein:

• Wer erhält den Alarm?

• Wer verifiziert das Ereignis?

• Welche Priorität besitzt das Ereignis?

• Welche internen Ansprechpartner werden informiert?

• Wann wird ein Sicherheits- oder Interventionsdienst eingesetzt?

• Wann werden Polizei, Feuerwehr oder andere Stellen eingebunden?

• Wie wird der Vorfall dokumentiert?

• Welche Eskalationsstufen bestehen?

Diese Abläufe können objektbezogen hinterlegt und regelmäßig überprüft werden.

So entsteht aus einzelnen technischen Komponenten eine tatsächliche Sicherheitsorganisation.

6. Leitstelle und Intervention schließen die Sicherheitskette

Insbesondere außerhalb regulärer Betriebszeiten muss geklärt sein, wer auf einen sicherheitsrelevanten Vorfall reagiert.

Eine Aufschaltung auf eine Leitstelle kann dabei die Verbindung zwischen technischer Detektion und operativer Reaktion herstellen.

Nach der Alarmverifikation können – abhängig vom hinterlegten Maßnahmenplan – beispielsweise Ansprechpartner informiert, eine Intervention ausgelöst oder zuständige Behörden alarmiert werden.

Der physische Schutz einer kritischen Anlage lässt sich damit als Kette betrachten:

Erkennen → Verifizieren → Bewerten → Reagieren → Dokumentieren

Fällt ein Glied dieser Kette aus, verliert auch die übrige Sicherheitstechnik einen Teil ihrer Wirkung.

7. Autarke Systeme für abgelegene und temporäre Bereiche

Nicht jede schützenswerte Infrastruktur befindet sich innerhalb eines fertig erschlossenen Betriebsgeländes.

Gerade im Energie- und Infrastrukturbereich entstehen temporäre Baufelder, abgelegene technische Einrichtungen oder Erweiterungsflächen, auf denen Strom- und Kommunikationsanschlüsse noch nicht vorhanden sind.

Hier können autark betriebene Detektions- und Videoüberwachungssysteme eine zusätzliche Möglichkeit darstellen.

Solche Systeme können unabhängig von vorhandener Gebäudeinfrastruktur eingesetzt und bei Veränderungen des Geländes neu positioniert werden.

Das kann beispielsweise relevant sein für:

• abgelegene technische Anlagen,

• Umspann- und Energieinfrastrukturen,

• temporäre KRITIS-Baufelder,

• Material- und Techniklager,

• Erweiterungsflächen,

• noch nicht vollständig erschlossene Anlagenbereiche.

Gerade während Bau-, Umbau- oder Modernisierungsphasen sollte der physische Schutz mitwachsen können.

8. Aus der Risikoanalyse muss ein nachvollziehbares Konzept entstehen

Das KRITIS-Dachgesetz verlangt keine pauschale Maximalausstattung.

Vorgesehen sind vielmehr verhältnismäßige Maßnahmen auf Basis einer Risikoanalyse und Risikobewertung. Der Stand der Technik soll dabei eingehalten werden.

Das bedeutet auch: Nicht jede kritische Anlage benötigt zwangsläufig dieselben Sicherheitsmaßnahmen.

Ein innerstädtischer Versorgungsstandort hat andere Risiken als eine abgelegene Energieanlage. Ein Krankenhaus benötigt andere Sicherheitszonen als ein Wasserwerk oder eine Telekommunikationsinfrastruktur.

Ein Sicherheitskonzept sollte deshalb nachvollziehbar beantworten:

Welche Bedrohung besteht?

Welche Auswirkungen hätte ein erfolgreicher Vorfall?

Welche Bereiche sind besonders kritisch?

Wie früh muss ein Ereignis erkannt werden?

Welche Reaktion ist erforderlich?

Aus diesen Fragen lassen sich geeignete Schutzmaßnahmen ableiten.

Der Resilienzplan macht Maßnahmen nachvollziehbar

§ 13 KRITIS-Dachgesetz sieht außerdem vor, dass Betreiber ihre Maßnahmen in einem Resilienzplan darstellen und anwenden.

Dabei sollen auch die Überlegungen hinter den gewählten Maßnahmen nachvollziehbar sein und auf die eigene Risikoanalyse Bezug genommen werden.

Für den physischen Schutz bedeutet das: Sicherheit sollte nicht aus historisch gewachsenen Einzellösungen bestehen, deren Zweck später niemand mehr genau erklären kann.

Stattdessen sollte nachvollziehbar dokumentiert sein, welches Risiko mit welcher Maßnahme reduziert werden soll.

Ein solcher Ansatz erleichtert gleichzeitig die regelmäßige Überprüfung:

Hat sich die Anlage verändert?

Sind neue Bereiche hinzugekommen?

Hat sich das Bedrohungsbild verändert?

Sind Alarmwege noch aktuell?

Funktionieren Intervention und Eskalation wie vorgesehen?

Physische KRITIS-Sicherheit ist mehr als Kameraüberwachung

Das KRITIS-Dachgesetz zeigt deutlich, dass physischer Schutz nicht auf eine einzelne technische Lösung reduziert werden kann.

Zaun, Detektion, Videoüberwachung, Zutrittskontrolle, Leitstelle, Objektschutz und Intervention sind einzelne Bausteine eines größeren Resilienzkonzepts.

Welche Kombination erforderlich ist, muss aus dem tatsächlichen Risiko der jeweiligen Anlage abgeleitet werden.

AEGIS Protect unterstützt bei der praktischen Umsetzung physischer Sicherheitsmaßnahmen – von autarker Perimeter- und Freiflächendetektion über kameragestützte Alarmverifikation und Leitstellenaufschaltung bis zu objektbezogenen Interventions- und Sicherheitsmaßnahmen.

Dabei verstehen wir technische Sicherheit nicht als isolierte Installation, sondern als Prozess: Ein Ereignis frühzeitig erkennen, zuverlässig bewerten und nach einem vorher festgelegten Maßnahmenplan darauf reagieren.