KRITIS-DachG: 10 Anforderungen für physische Resilienz

Das KRITIS-DachG adressiert die physische Resilienz kritischer Infrastrukturen — ein Bereich, der vor diesem Gesetz kaum reguliert war. Neben NIS2 für Cybersicherheit hat Deutschland mit dem KRITIS-Dachgesetz die EU CER-Richtlinie umgesetzt. Wie NIS2 und DachG zusammenspielen, erfahren Sie in unserem Artikel zum Dual-Regime NIS2 + DachG.

Wer ist betroffen?

Das DachG gilt für KRITIS-Betreiber in 10 Sektoren, die eine Versorgungsschwelle von mehr als 500.000 Personen überschreiten. Die Aufsicht liegt beim BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) zusammen mit sektoralen Fachbehörden. Ob Ihr Unternehmen betroffen ist, können Sie mit dem NIS2-Betroffenheits-Check prüfen.

R.1 — Resilienzplan erstellen und pflegen (§13.4–5)

Priorität: P1

KRITIS-Betreiber müssen einen separaten physischen Resilienzplan erstellen und aufrechterhalten. Dieser geht über den IT-BCM-Plan hinaus und umfasst physische Schutzmaßnahmen für Anlagen, Redundanzen und Ausweichlösungen sowie Wiederherstellungsstrategien für physische Störungen. Bei der Erstellung und Abstimmung mit dem bestehenden Business Continuity Management unterstützt unsere KRITIS-Beratung.

R.2 — Physische Risikoanalyse alle 4 Jahre (§12)

Priorität: P1

Eine separate physische Risikoanalyse muss alle 4 Jahre durchgeführt werden. Sie muss nationale Risikobewertungen (z.B. Naturkatastrophen, Sabotage) berücksichtigen und ist von der IT-Risikoanalyse zu trennen.

R.3 — Physischer Schutz und Anlagensicherheit (§13.3 Nr. 2)

Priorität: P1

Umfassende physische Schutzmaßnahmen müssen systematisiert werden: Perimeterschutz und Zugangskontrollen, Überwachung und Detektion, Schutz vor Naturereignissen und technischem Versagen sowie redundante Versorgung (Strom, Wasser, Kommunikation).

R.4 — Vorfallmeldung an BBK innerhalb 24h (§18)

Priorität: P0

Physische Sicherheitsvorfälle müssen dem BBK innerhalb von 24 Stunden gemeldet werden, gefolgt von einem Abschlussbericht innerhalb eines Monats. Das erfordert einen dualen Meldeprozess: IT-Vorfälle an BSI (NIS2) und physische Vorfälle an BBK (DachG). Alle relevanten Fristen finden Sie im NIS2-Fristen-Countdown.

R.5 — GL-Haftung für physische Resilienz (§20)

Priorität: P0

Die Geschäftsleitung ist auch für die physische Resilienz verantwortlich. Ein dualer GL-Beschluss wird empfohlen, der sowohl Cyber- (NIS2 §38) als auch physische Resilienz (DachG §20) abdeckt. Details zur Geschäftsleiterhaftung nach NIS2 §38 finden Sie in unserem separaten Artikel.

R.6 — BBK-Registrierung (§8)

Priorität: P0

KRITIS-Betreiber müssen sich beim BBK registrieren: Anzahl der versorgten Personen berechnen, Kontaktpersonen benennen, Anlagenstandorte melden. Die Registrierung beim BBK ist seit dem 17.07.2026 möglich.

R.7 — Personalüberprüfung (§14 / §13.3 Nr. 5–6)

Priorität: P2

Personal in KRITIS-relevanten Bereichen muss überprüft werden — sowohl eigene Mitarbeiter als auch externes Personal (Dienstleister, Wartungspersonal). Ein formaler Prozess ist zu etablieren.

R.8 — Branchenspezifische physische Resilienzstandards (§14.2)

Priorität: P3

Ähnlich wie die B3S im Cyberbereich werden voraussichtlich branchenspezifische physische Resilienzstandards entwickelt. KRITIS-Betreiber sollten sich an der Branchenarbeit beteiligen.

R.9 — Audits und physische Resilienznachweise (§16)

Priorität: P2

Das BBK kann risikobasierte Inspektionen durchführen. KRITIS-Betreiber müssen Nachweise für ihre physische Resilienz bereithalten. Ein neues Auditor-Profil entsteht: der Resilience-Prüfer (RPR).

R.10 — Gleichwertigkeit der Nachweise (§17)

Priorität: P1

Der Schlüsselparagraph: NIS2-Audits, ISO 27001-Zertifizierungen und andere Nachweise können als gleichwertig für DachG-Anforderungen anerkannt werden. Das bedeutet: Kein doppeltes Audit nötig, integrierter Prüfansatz möglich, physische Ergänzung zum NIS2-Audit genügt.

Das Audit-Team der Zukunft

Für das duale Regime ändert sich auch die Zusammensetzung des Audit-Teams:

Rolle	Aufgabe	Regime
LPA (Lead Auditor)	Gesamtverantwortung, ISMS, Governance	NIS2
FA (Fachexperte)	Technische Prüfung, SzA, IAM	NIS2
RPR (Resilience-Prüfer)	Physische Resilienz, DachG §13	DachG (NEU)
PL (Projektleitung)	Interne Koordination	Beide

NIS2 vs. DachG: Die wichtigsten Unterschiede

Dimension	NIS2	DachG
Fokus	Cybersicherheit	Physische Resilienz
Aufsicht	BSI	BBK
Registrierung	BSI (Frist: 06.03.2026)	BBK (seit 17.07.2026)
Prüfzyklus	Alle 3 Jahre	Risikobasiert
Risikoanalyse	IT-Risiken	Physische Risiken (alle 4 Jahre)
Vorfallmeldung	24h/72h/1Mo an BSI	24h + 1Mo an BBK

Fazit

Das KRITIS-DachG ergänzt NIS2 um die physische Dimension. KRITIS-Betreiber müssen beide Regime parallel bedienen — können aber durch §17 DachG erhebliche Synergien nutzen. Der Schlüssel: ein integrierter Ansatz, der Cyber und Physisch gemeinsam denkt. Unser DachG-Readiness-Check prüft, ob und wie Sie vom KRITIS-Dachgesetz betroffen sind. Wie Sie Maßnahmen priorisieren, zeigt der NIS2-Maßnahmenplan nach Prioritäten P0–P3.

FAQ

Ab wann gilt das KRITIS-DachG und welche Fristen gelten für KRITIS-Betreiber?

Das KRITIS-DachG (Gesetz zur Stärkung der Resilienz kritischer Anlagen) ist seit dem 17.03.2026 in Kraft. Die wichtigsten Fristen für KRITIS-Betreiber: Die Registrierung beim BBK (§ 8 DachG) ist seit dem 17.07.2026 möglich — halten Sie Anlagenstandorte, Kontaktpersonen und Versorgungszahlen bereit. Physische Risikoanalyse (§12 DachG): Erstanalyse innerhalb von 18 Monaten nach Registrierung, dann alle 4 Jahre. Resilienzplan (§13 DachG): Erforderlich innerhalb von 2 Jahren nach Registrierung. Personalüberprüfung (§14 DachG): Prozesse innerhalb von 2 Jahren zu etablieren. Vorfallmeldung (§18 DachG): Sofort operativ ab DachG-Geltung — 24-Stunden-Erstmeldung an BBK für physische Vorfälle. Diese Fristen gelten zusätzlich zu den NIS2-Fristen (BSI-Registrierung März 2026). Betroffene Organisationen sollten DachG und NIS2 als koordiniertes Compliance-Projekt behandeln — ein Team, gemeinsame Dokumentation, zwei regulatorische Ziele.

Was ist der Unterschied zwischen dem NIS2-Meldeprozess (BSI) und dem DachG-Meldeprozess (BBK)?

KRITIS-Betreiber haben unter dem Dual-Regime zwei separate Meldekanäle. NIS2-Meldeprozess (§32 BSIG) an BSI: für erhebliche Cyber-Vorfälle. Drei Stufen: 24-Stunden-Frühwarnung, 72-Stunden-Erstmeldung mit Erstbewertung, 1-Monat-Abschlussbericht. Meldekanal: MELDEX-Portal mit ELSTER-Organisationszertifikat. DachG-Meldeprozess (§18 DachG) an BBK: für erhebliche physische Vorfälle. Zwei Stufen: 24-Stunden-Erstmeldung, 1-Monat-Abschlussbericht. Meldekanal: BBK-Meldesystem (Details werden vom BBK veröffentlicht). Das kritische Risiko: Ein einzelner Vorfall — etwa ein physischer Angriff auf ein Rechenzentrum — kann beide Meldepflichten gleichzeitig auslösen: Cyber-Auswirkung an BSI, physische Auswirkung an BBK. Organisationen müssen einen dualen Eskalationsprozess haben, der bei jedem Sicherheitsereignis beide Kriterien prüft. Empfehlung: Ein einziger "Security Event Classification"-Schritt zu Beginn jeder Incident Response, der festlegt, welche regulatorischen Meldekanäle aktiviert werden.

Wie kann ich §17 DachG nutzen, um Doppelaufwand bei Audits zu vermeiden?

§17 DachG (Gleichwertigkeit von Nachweisen) ist der wichtigste Effizienz-Hebel für Organisationen unter dem Dual-Regime. Er erlaubt, Nachweise aus NIS2-Audits (§39 BSIG), ISO 27001-Zertifizierungen, EnWG-Audits und anderen regulatorischen Rahmenwerken als gleichwertig für DachG-Anforderungen anzuerkennen. Praktische Anwendung: Erstens NIS2- und DachG-Scope in einem einzigen Audit-Auftrag zusammenfassen — das Audit-Team (LPA + FA + RPR) deckt beide Regime in einem Engagement ab. Zweitens die NIS2-Risikoanalyse als Ausgangspunkt für die DachG-physische Risikoanalyse (§12 DachG) nutzen — separate Analysen, aber geteilte Methodik. Drittens den GL-Billigungsbeschluss als dualen Beschluss formulieren, der sowohl §38 BSIG als auch §20 DachG abdeckt. Viertens ISO 27001-Kontrollen zur physischen Sicherheit (A.7 in ISO 27001:2022) als Nachweise für DachG §13.3 Nr. 2 einbringen. Schätzung: Der integrierte Dual-Regime-Ansatz reduziert den gesamten Audit-Aufwand um 30–40 % gegenüber getrennten NIS2- und DachG-Compliance-Projekten.