KRITIS-Dachgesetz fordert ganzheitliche Sicherheit Warum IT-Sicherheit nicht mehr genügt und physische Sicherheit Pflicht wird

Anbieter zum Thema

FTAPI Software GmbH

cyberintelligence.institute GmbH

Mit dem KRITIS-Dachgesetz verschärft der Gesetzgeber die Anforderungen an Betreiber kritischer Infrastrukturen. Erstmals müssen Unternehmen digitale und physische Schutzmaßnahmen gleichwertig betrachten. Wer Resilienz ernst nimmt, braucht eine Sicherheitsstrategie, die Cyberabwehr, Zutrittskontrolle und operative Redundanz nahtlos verbindet.

Das KRITIS-Dachgesetz verschärft die Anforderungen für Betreiber kritischer Infrastrukturen. Wer seine Systeme gegen Cyberangriffe schützen will, darf physische Risiken nicht länger ausblenden. Gefordert sind ganzheitliche Sicherheitsstrategien, die digitale und analoge Schutzmechanismen intelligent verzahnen.

Cyberbedrohungen gelten laut aktueller D&O-Studie 2025 als das größte Haftungsrisiko für Unternehmen in Deutschland. Damit liegen sie vor Szenarien wie Lieferausfällen oder Datenschutzverstößen. Insbesondere Betreiber kritischer Infrastrukturen (KRITIS) stehen im Fokus, denn ihr Funktionieren entscheidet über die Stabilität des Gemeinwesens. Die angespannte geopolitische Lage, zunehmende hybride Bedrohungsszenarien und eine immer engmaschiger vernetzte Systemlandschaft führen dazu, dass klassische IT-Sicherheit an ihre Grenzen stößt. Mit dem neuen KRITIS-Dachgesetz entsteht ein weiterer verbindlicher Rechtsrahmen, der nicht nur wie bisher digitale, sondern nun auch physische Schutzmaßnahmen fordert. Die zentrale Botschaft: Resilienz beginnt nicht mehr nur am Bildschirm oder an der Tür zum Serverraum – sie umfasst künftig das gesamte Umfeld kritischer Anlagen.

Abwehrfähigkeit und Resilienz stärken

Gesetzentwurf zum KRITIS-Dachgesetz ist beschlossen

IT-Sicherheit allein nicht ausreichend

Lange Zeit galten Firewalls, Patch-Management und Intrusion Detection als Garanten für Systemsicherheit. Doch viele Angriffe erfolgen heute nicht mehr ausschließlich im virtuellen Raum. Sabotageakte, Einbrüche, Vandalismus oder die gezielte physische Zerstörung technischer Infrastruktur können in Sekunden Schäden verursachen, die Wochen oder Monate nachwirken. Ungesicherte Außenzugänge, schlecht geschützte Gebäudetechnik oder unzureichend geschulte Mitarbeitende machen es potenziellen Angreifern leicht, bestehende Schutzmaßnahmen zu umgehen. So nützt die beste Firewall wenig, wenn der zentrale Server physisch erreichbar und ungesichert ist.

KRITIS-Dachgesetz: konkretisierte Sicherheitsverantwortung

Mit dem KRITIS-Dachgesetz setzt Deutschland die EU-Richtlinie 2022/2557 zur Resilienz kritischer Einrichtungen (CER-Richtlinie) um. Es verpflichtet Betreiber versorgungs­kritischer Einrichtungen erstmals zur Umsetzung physischer Sicherheitsmaßnahmen im Sinne des All-Gefahren-Ansatzes. Betroffen sind unter anderem Energie-, Wasser-, Abfall-, Transport- und Gesundheitssektoren, sofern sie Dienstleistungen für mehr als 500.000 Menschen erbringen. Neben klassischen IT-Schutzmaßnahmen verlangt der Gesetzgeber auch präventive Vorkehrungen gegen Stromausfälle, Naturereignisse, Sabotageakte und andere nicht-digitale Gefahren. Dabei geht es nicht nur um den Schutz von Anlagen, sondern auch um die Fähigkeit, im Krisenfall handlungsfähig zu bleiben beziehungsweise diesen Zustand wiederherzustellen, sprich um Resilienz im umfassenden Sinn.

Für Unternehmen unterhalb der gesetzlichen Schwellenwerte gilt zwar keine formelle Melde- oder Umsetzungspflicht, wohl aber eine wachsende Verantwortung. Denn viele Anforderungen, etwa strukturierte Risikoanalysen, Zutrittsmanagement, Notfallvorsorge oder Alarmkonzepte, sind bereits heute als Stand der Technik anerkannt und damit faktisch verpflichtend im Sinne von Verkehrssicherungspflichten oder Organisationsverantwortung.

Systeme zur Angriffserkennung

KRITIS-Betreiber haben Nachholbedarf

Ganzheitliche Sicherheitskonzepte

Der Gesetzgeber fordert eine integrierte Betrachtung: Sicherheitsstrategien müssen sämtliche Gefährdungslagen, von Cyberangriffen über technische Ausfälle bis zu physischer Gewalt, systematisch einbeziehen. In der Praxis genügt es also nicht mehr, punktuell einzelne Maßnahmen umzusetzen. So entfalten beispielsweise Zutrittskontrollsysteme ihren Nutzen erst dann, wenn sie mit der IT-Landschaft, dem Gebäudemanagement und der organisatorischen Struktur vernetzt sind. Auch die technische Überwachung, wie etwa durch Kameras, Bewegungssensoren oder digitale Zugangschips, ist nur dann wirksam, wenn sie in ein Lagebild mündet, das Echtzeitreaktionen und Auswertungen ermöglicht. Ebenso sind organisatorische Maßnahmen entscheidend. Wer hat wann Zugang zu welchen Bereichen? Gibt es geregelte Eskalationsprozesse, nachvollziehbare Schlüsselverwaltungen, dokumentierte Abläufe für Störungen? Wie wird mit Fremdfirmen, Reinigungskräften oder temporärem Personal verfahren? Antworten auf diese und ähnliche Fragen sind sowohl Teil guter Unternehmensführung also auch Bestandteil eines tragfähigen Sicherheitskonzepts.

Fehlende Strukturen als systemisches Risiko

In puncto Sicherheit zeigen sich in der Realität vielerorts strukturelle Defizite. Besonders in mittelständischen oder kommunalen Betrieben fehlt es oft an Ressourcen, Know-how oder Sicherheitsbewusstsein. Vorfälle wie Einbruch oder Vandalismus werden nicht systematisch erfasst, geschweige denn als Muster erkannt. Die Kommunikation mit Strafverfolgungsbehörden verläuft häufig reaktiv und ohne abgestimmte Lagebilder. Besonders problematisch: Angriffe auf kritische Infrastruktur haben fast immer eine Vortatphase. Diese kann Wochen oder Monate andauern und umfasst typischerweise das Ausspähen von Objekten, das Testen von Reaktionszeiten oder das gezielte Einschleusen von Informationen.

Solche Vorbereitungshandlungen bleiben in Unternehmen ohne eigene Sicherheitsabteilung meist unentdeckt. Auch technische Systeme wie Videoüberwachung oder Zutrittssensorik stoßen hier an Grenzen, nicht zuletzt wegen datenschutzrechtlicher Einschränkungen im öffentlichen Raum. Genau hier liegt der Ansatzpunkt für gezielte Prävention.

Sicherheit in vernetzten Produktionsanlagen

So verhintert OT-Security Ransomware-Angriffe und Betriebsunterbrechungen

Verdeckte Sicherheitsmaßnahmen als Frühwarnsystem

Ein wirksames Sicherheitskonzept für KRITIS-nahe Unternehmen muss auch verdeckte operative Maßnahmen einplanen. Diese verfolgen das Ziel, potenziell sicherheitsrelevante Verhaltensmuster im Umfeld kritischer Anlagen frühzeitig zu erkennen. Die praktischen Maßnahmen basieren nicht auf Zufall, sondern auf gezielter Risikoanalyse, psychologischer Eignungsdiagnostik und einem präzisen operativen Briefing. Fachpersonal kann Vortatindikatoren identifizieren, Muster analysieren und auffällige Bewegungen im öffentlichen Raum einordnen. Dieses Prinzip der verdeckten Aufklärung ist aus dem Personenschutz bekannt und lässt sich auf KRITIS-Objekte übertragen. Dabei geht es nicht um Beobachtung im klassischen Sinn, sondern um das strukturierte Erkennen von Frühwarnsignalen.

Redundanz, Resilienz und Reaktionsfähigkeit

Neben Prävention ist auch die Fähigkeit entscheidend, im Ernstfall handlungsfähig zu bleiben. Redundanzkonzepte gewinnen daher an Bedeutung. Ausweichstandorte, Back-up-Systeme, autarke Notstromversorgung, dezentrale Steuerungseinheiten müssen mitgedacht werden. Unternehmen sollten sich bewusst fragen: Welche Funktionen müssen unter allen Umständen aufrechterhalten bleiben? Welche Prozesse sind entbehrlich und welche unverzichtbar? Denn ein gutes Resilienzkonzept trennt zwischen betriebskritischen und verzichtbaren Komponenten, definiert Wiederanlaufzeiten und legt Zuständigkeiten im Störfall klar fest. Auch hier gilt: Wer keine klare Struktur hat, kann im Krisenfall nicht effizient reagieren, unabhängig davon, wie hoch der Digitalisierungsgrad ist.

Cyber-Resilienz für industrielle Steuerungssysteme

Wie Industrieanlagen nach einem Cyberangriff sicher wieder starten

Sicherheit neu denken

Cybersecurity darf heute nicht mehr isoliert betrachtet werden. In einer Welt, in der digitale Schwachstellen physische Folgen haben – und umgekehrt –, braucht es ganzheitliche Sicherheitsstrategien. Das KRITIS-Dachgesetz ist mehr als nur Regulierung: Es ist ein Weckruf für Unternehmen aller Größen, ihre Schutzkonzepte zu überdenken und neu auszurichten. Die entscheidenden Maßnahmen beginnen genauso in der Cloud wie vor Ort. So umfasst eine zukunftsfähige Sicherheitsarchitektur operative Aufklärung, redundante Systeme und ein durchdachtes Risikomanagement. Sprich: Wer heute in IT-Sicherheit investiert, muss physische Risiken gleichwertig behandeln. Nicht alles, was sicher scheint, ist auch tatsächlich geschützt. Entscheidend ist, was im Ernstfall funktioniert.

Über den Autor: Christian Heppner ist Experte für Strategisches Sicherheitsmanagement bei der SecCon Group GmbH mit Sitz in Unterschleißheim. Das Unternehmen bietet operative, spezialisierte Dienstleistungen für hochsensible Infrastrukturen und exponierte Personen. Zum Leistungsspektrum gehören zudem Risiko- und Schwachstellenanalysen, Sicherheitskonzepte und die Implementierung sicherheitsrelevanter Maßnahmen – auch in Zusammenarbeit mit Behörden und anderen Akteuren. Das auf KRITIS-Schutzkonzepte spezialisierte Unternehmen ist zudem Mitglied im Bundesverband für den Schutz Kritischer Infrastrukturen (BSKI).

(ID:50606384)