KRITIS-Dachgesetz: physischer Schutz kritischer Anlagen

Wasserwerke, Umspannwerke, Bahnanlagen, Krankenhäuser: Fällt eine solche Anlage aus, trifft das viele Menschen. Bisher regelte Deutschland vor allem die IT-Sicherheit kritischer Infrastrukturen. Seit dem 17. März 2026 gibt es mit dem KRITIS-Dachgesetz (KRITISDachG) erstmals bundeseinheitliche Vorgaben für den physischen Schutz – also für Zäune, Zugänge, Überwachung, Notstrom und die Abläufe, wenn etwas passiert.

Dieser Beitrag fasst zusammen, was das Gesetz verlangt, wann die Pflichten greifen und wo mobile Sicherheitstechnik helfen kann. Er gibt den Stand vom 28. Oktober 2026 wieder und ersetzt keine Rechtsberatung.

Woher das Gesetz kommt

Das KRITIS-Dachgesetz setzt die EU-Richtlinie 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um. Es wurde am 11. März 2026 ausgefertigt (BGBl. 2026 I Nr. 66), trat am 17. März 2026 in Kraft und wurde im Juli 2026 bereits einmal geändert (BGBl. 2026 I Nr. 221). Zuständig ist vor allem das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), das eng mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) zusammenarbeitet.

Der Unterschied zur bisherigen Lage: Die IT-Sicherheit kritischer Anlagen ist im BSI-Gesetz geregelt. Das KRITIS-Dachgesetz ergänzt das um die physische Resilienz – den Schutz gegen Sabotage, Anschläge, Naturereignisse und andere Vorfälle, die nicht über das Netz kommen.

Wen das Gesetz betrifft

Erfasst sind zehn Sektoren (§ 4 Abs. 1):

Sektoren nach § 4 KRITISDachG
Energie	Wasser
Transport und Verkehr	Ernährung
Finanzwesen	Informationstechnik und Telekommunikation
Sozialversicherung und Grundsicherung	Weltraum
Gesundheitswesen	Siedlungsabfallentsorgung

Für einige Sektoren gelten nicht alle Pflichten. Finanzunternehmen, die unter die EU-Verordnung DORA fallen, sowie Betreiber aus Informationstechnik und Telekommunikation sind etwa von den Resilienzpflichten nach § 13 ausgenommen, weil dafür eigene Regeln gelten (§ 4 Abs. 2).

Welche Anlage im Einzelnen kritisch ist, bestimmt eine Rechtsverordnung des Bundesinnenministeriums: Sie legt Kategorien von Anlagen und Schwellenwerte zum Versorgungsgrad fest (§ 4 Abs. 3, § 5 Abs. 1). Diese Verordnung lag nach den uns bekannten Fachbeiträgen im Sommer und Herbst 2026 noch als Entwurf vor. Ob sie inzwischen verkündet ist, zeigt die Seite des BBK. Betreiber sollten schon jetzt prüfen, ob ihre Anlagen voraussichtlich über den Schwellenwerten liegen.

Fristen: alles hängt an der Registrierung

Die Pflichten greifen nicht auf einen Schlag, sondern in einer Kette (§ 8):

Schritt	Frist	Vorschrift
Registrierung beim BBK	spätestens 3 Monate, nachdem die Anlage als kritisch gilt	§ 8 Abs. 1
Eigene Risikoanalyse und Risikobewertung	erstmals 9 Monate nach der Registrierung, danach bei Bedarf, mindestens alle 4 Jahre	§ 8 Abs. 7, § 12
Resilienzmaßnahmen und Resilienzplan	erstmals 10 Monate nach der Registrierung	§ 8 Abs. 7, § 13
Meldepflicht für Vorfälle	ab 10 Monaten nach der Registrierung	§ 8 Abs. 7, § 18
Pflichten der Geschäftsleitung	ab 10 Monaten nach der Registrierung	§ 8 Abs. 7, § 20

Registriert wird über eine gemeinsame Plattform von BSI und BBK. Die Einzelheiten des Verfahrens legt das BBK innerhalb von vier Wochen nach Inkrafttreten der Rechtsverordnung fest (§ 8 Abs. 8). Vorlagen und Muster für Resilienzpläne stellt das BBK spätestens acht Monate nach der Verordnung bereit (§ 13 Abs. 5).

Rechnet man zurück, bleibt ab der Einstufung gut ein Jahr bis zum fertigen Resilienzplan. Für bauliche Maßnahmen, Ausschreibungen und Genehmigungen ist das knapp.

Was § 13 vom physischen Schutz verlangt

Kern des Gesetzes ist § 13. Er gibt Betreibern vier Ziele vor:

1. Vorbeugen – Vorfälle gar nicht erst entstehen lassen.
2. Schützen – Liegenschaften und Anlagen „angemessen“ physisch sichern.
3. Reagieren – einen Vorfall abwehren und seine Folgen klein halten.
4. Wiederherstellen – die kritische Dienstleistung danach rasch wieder erbringen.

Die Maßnahmen müssen verhältnismäßig sein und auf den nationalen Risikoanalysen sowie der eigenen Risikoanalyse beruhen; der Stand der Technik soll eingehalten werden, wirtschaftliche Aspekte werden berücksichtigt (§ 13 Abs. 2). Was dazu zählen kann, zählt das Gesetz beispielhaft auf (§ 13 Abs. 3; Begriffe aus dem Gesetzestext):

• Objektschutz: bauliche und technische Sicherung und organisatorischer Schutz, etwa Liegenschaftsabgrenzungen und hemmende Fassadenelemente
• Instrumente und Verfahren für die Überwachung der Umgebung
• Detektionsgeräte
• Zugangskontrollen
• Risiko- und Krisenmanagement sowie vorgegebene Abläufe im Alarmfall
• Aufrechterhaltung des Betriebs, darunter die Notstromversorgung, und alternative Lieferketten
• Sicherheitsmanagement für Mitarbeitende, auch für das Personal externer Dienstleister
• Informationsmaterial, Schulungen und Übungen für das Personal

Alle Maßnahmen gehören in einen Resilienzplan, der die zugrunde liegenden Erwägungen zeigt, sich auf die Risikoanalyse bezieht und aktualisiert wird (§ 13 Abs. 4). Mindestanforderungen kann das Innenministerium per Verordnung konkretisieren; Branchen können eigene Resilienzstandards vorschlagen, die das BBK auf Eignung prüft (§ 14).

Melden, nachweisen, verantworten

• Meldepflicht: Vorfälle sind dem BBK unverzüglich, spätestens 24 Stunden nach Kenntnis zu melden, über die gemeinsame Meldestelle von BSI und BBK. Spätestens nach einem Monat folgt ein ausführlicher Bericht (§ 18 Abs. 1). Die Meldung muss unter anderem die Zahl der Betroffenen, die Dauer und das betroffene Gebiet enthalten (§ 18 Abs. 2).
• Nachweise: Die zuständige Behörde kann Nachweise anfordern, insbesondere den Resilienzplan (§ 16).
• Geschäftsleitung: Sie muss die Resilienzmaßnahmen umsetzen und die Umsetzung sicherstellen; für schuldhaft verursachte Schäden haftet sie nach Gesellschaftsrecht (§ 20).
• Bußgelder: je nach Verstoß bis zu 100.000, 200.000, 500.000 Euro oder einer Million Euro (§ 24).

Österreich und die Schweiz

In Österreich dient das Resilienz kritischer Einrichtungen-Gesetz (RKEG) derselben EU-Richtlinie (BGBl. I Nr. 60/2025, § 25); es gilt seit 1. März 2026. Der Weg dorthin ist ein anderer: Statt dass sich Betreiber anhand von Schwellenwerten selbst registrieren, stuft der Bundesminister für Inneres eine Einrichtung mit Bescheid als kritisch ein (§§ 4 und 11). Ab diesem Bescheid zählen die Fristen, und sie sind den deutschen sehr ähnlich:

Pflicht in Österreich	Frist ab Einstufung	Vorschrift
Eigene Risikoanalyse	innerhalb von 9 Monaten, danach anlassbezogen, spätestens alle 4 Jahre	§ 14 RKEG
Resilienzmaßnahmen, darunter angemessener physischer Schutz, dargelegt im Resilienzplan	nach Ablauf von 10 Monaten	§ 15 RKEG
Meldung von Sicherheitsvorfällen an das Innenministerium	ab 10 Monaten: binnen 24 Stunden, Folgemeldung binnen eines Monats	§ 17 RKEG

Die Schweiz ist kein EU-Mitglied; die CER-Richtlinie gilt dort nicht. Für Unternehmen mit Standorten in mehreren Ländern lohnt es sich trotzdem, Risikoanalyse und Schutzkonzept einheitlich aufzubauen.

Wo mobile Sicherheitstechnik hilft

Das Gesetz verlangt keinen bestimmten Zaun und keine bestimmte Kamera. Es verlangt, dass der Schutz zum Risiko passt – und dass er auch dann trägt, wenn etwas nicht wie geplant läuft. Gerade dort entstehen Lücken, die feste Technik schlecht abdeckt:

• Bau- und Umbauphasen: Während eine Anlage erweitert oder modernisiert wird, sind Zäune geöffnet, Kameras abgebaut und Zufahrten verlegt.
• Wartung und Ausfall: Fällt vorhandene Schutztechnik aus oder wird sie getauscht, muss der Schutz trotzdem stehen.
• Bis die feste Technik steht: Bauliche Maßnahmen brauchen Planung, Ausschreibung und Genehmigung. Die Fristen laufen bereits.
• Abgelegene Abschnitte: Leitungstrassen, Pumpstationen oder Außenbereiche haben oft keinen Strom- und Netzanschluss.
• Übungen: Das Gesetz nennt Schulungen und Übungen ausdrücklich. Mobile Technik lässt sich gezielt für Übungslagen aufbauen.

Mobile Technik ersetzt dabei keine baulichen Maßnahmen und kein Sicherheitskonzept. Sie überbrückt und ergänzt – und sollte im Resilienzplan als solche beschrieben sein: für welche Lage, mit welchem Schutzziel, mit welchen Abläufen.

So unterstützt MOVETOS

Das MOVETOS SET besteht aus Masten mit Kamera, Licht und Lautsprecher. Sie bringen eigene Energie und Funk mit und hängen damit nicht am Netz der Anlage, die sie schützen. In der Plattform MOVETOS OPS legen Sie Zaunverlauf und Sperrbereiche auf der Karte fest; wer sie betritt, löst eine Warnung mit Belegfoto aus. Über den Lautsprecher am betroffenen Mast spricht Ihre Leitstelle die Person direkt an. Video wird nicht aufgezeichnet.

Warnungen, Freigaben und Durchsagen werden lückenlos protokolliert – mit Uhrzeit und Beleg. Das Lagebild läuft dort, wo Ihr Sicherheitsdienst arbeitet; am Flughafen München ist MOVETOS OPS in die Leitstelle eingebunden.

Mit Security Continuity hält MOVETOS festgelegte Schutzfunktionen vorübergehend aufrecht, wenn vorhandene Technik eingeschränkt ist – vorbereitet, vereinbart und geübt. Welche Funktionen das sind, legen wir vorher gemeinsam fest. Wie mobile Überwachung für Baustellen und Liegenschaften aufgebaut ist, beschreibt der Beitrag Mobile Videoüberwachung für Baustellen.

Checkliste für Betreiber

• Betroffenheit prüfen: Fällt die Anlage in einen der zehn Sektoren, und liegt sie voraussichtlich über den Schwellenwerten der Rechtsverordnung?
• Stand verfolgen: Ist die Rechtsverordnung verkündet? Ab dann laufen drei Monate bis zur Registrierung.
• Zuständigkeit klären: Wer registriert, wer meldet Vorfälle binnen 24 Stunden, wer verantwortet den Resilienzplan in der Geschäftsleitung?
• Risikoanalyse vorbereiten: Welche Gefahren bestehen für Perimeter, Zugänge und abgelegene Abschnitte – auch in Bau- und Wartungsphasen?
• Lücken benennen: Wo fehlt heute Objektschutz, Umgebungsüberwachung, Detektion oder Zugangskontrolle?
• Übergänge planen: Wie bleibt der Schutz bestehen, während feste Technik gebaut, gewartet oder getauscht wird?
• Abläufe festlegen: Was passiert im Alarmfall, wer reagiert, wie wird dokumentiert?
• Üben: Sind Schulungen und Übungen für das Personal und externe Dienstleister eingeplant?
• Nachweis sichern: Lässt sich später belegen, was wann passiert ist und wer reagiert hat?

Fazit

Das KRITIS-Dachgesetz macht physischen Schutz zur Pflicht mit Fristen, Meldewegen und persönlicher Verantwortung der Geschäftsleitung. Noch hängt der Startschuss an der Rechtsverordnung – aber wenn sie kommt, bleibt bis zum Resilienzplan wenig Zeit. Wer jetzt Risiken, Lücken und Übergangsphasen erfasst, kann gezielt entscheiden, was baulich, was organisatorisch und was mit mobiler Technik gelöst wird.