Das KRITIS-Dachgesetz ist in Kraft, die ersten Fristen laufen und viele Unternehmen beschäftigen sich derzeit mit einer entscheidenden Frage: Sind wir betroffen – und wenn ja, was müssen wir jetzt konkret tun? Orientierung bietet der KRITIS-Leitfaden des Verbands für Sicherheitstechnik e. V. (VfS), Partner der Perimeter Protection. Er ordnet die gesetzlichen Vorgaben ein und führt strukturiert durch die wichtigsten Etappen: von der Prüfung der eigenen Betroffenheit über Registrierung, Risikoanalyse und Resilienzplan bis hin zu Meldepflichten, Audits und einem dauerhaft verankerten Resilienzmanagement.
Solche praxisnahen Einordnungen sind ein wesentlicher Bestandteil des fachlichen Austauschs auf der Perimeter Protection. Als Europas Leitmesse für integrierten Perimeterschutz bringt sie Betreiber kritischer Infrastrukturen mit Sicherheitsverantwortlichen, Herstellern, Integratoren, Planern, Verbänden und Behörden zusammen. Im Mittelpunkt steht die Frage, wie regulatorische Anforderungen in wirksame, integrierte Sicherheitskonzepte übersetzt werden können.
Der folgende 10-Schritte-Plan fasst die zentralen Maßnahmen des VfS-Leitfadens zusammen und zeigt, worauf betroffene Unternehmen jetzt achten sollten.
Checkliste: Zehn Maßnahmen, die Unternehmen jetzt umsetzen sollten
1. Betroffenheit prüfen
Zunächst ist zu klären, ob das Unternehmen Dienstleistungen in einem kritischen Sektor wie Energie, Wasser, Gesundheit, Telekommunikation oder Transport erbringt und ob davon mindestens 500.000 Menschen abhängig sind. Auch unterhalb dieses Schwellenwerts kann eine besondere regionale Bedeutung zur Einstufung als kritische Anlage führen, etwa wenn keine gleichwertigen Alternativen verfügbar sind. Darüber hinaus sollten auch Zulieferer, Hersteller und Dienstleister für KRITIS-Betreiber ihre Rolle frühzeitig bewerten, da Anforderungen an Schutzmaßnahmen und Risikomanagement zunehmend entlang der gesamten Wertschöpfungskette weitergegeben werden.
2. Registrierung beim BBK
Wurde die Betroffenheit festgestellt, muss der Betreiber seine kritische Anlage aktiv registrieren. Zu diesem Zweck haben das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein gemeinsames Melde- und Informationsportal (MIP) eingerichtet. Für bestehende Einrichtungen gilt dafür das Zeitfenster vom 17. Juli 2026 bis zum 17. Oktober 2026. Neue Einrichtungen müssen sich innerhalb von drei Monaten nach Feststellung der Betroffenheit registrieren.
3. Eine umfassende Risikoanalyse durchführen
Spätestens neun Monate nach der Registrierung ist die erste systematische Risikoanalyse zu erstellen und dem BBK zu melden. Nur eine ganzheitliche Analyse (All-Gefahren-Ansatz) bildet die Grundlage wirksamer Schutzmaßnahmen. Das breite Spektrum aus Naturgefahren, technischem Versagen, menschlichem Fehlverhalten, hybriden Bedrohungen und Terrorismus muss für eine Risikoanalyse berücksichtigt werden.
4. Einen Resilienzplan entwickeln
Aus der Risikoanalyse müssen konkrete technische, organisatorische und sicherheitsbezogene Maßnahmen abgeleitet und in einem Resilienzplan dokumentiert werden, der künftig als Hauptprüfungsdokument gegenüber den Aufsichtsbehörden dient. Für die vier Bereiche Prävention, Schutz, Reaktion & Abwehr sowie Wiederherstellung müssen Maßnahmen definiert werden.
5. Im Ernstfall schnell reagieren
Tritt ein erheblicher Vorfall ein, der die Erbringung einer kritischen Dienstleistung beeinträchtigt oder unmittelbar bedroht, müssen die vorbereiteten Krisenmanagementverfahren sowie Alarm- und Einsatzpläne aktiviert werden. Technische Detektionssysteme helfen dabei, die Lage schnell zu verifizieren und ein verlässliches Lagebild zu erstellen. Auf dieser Grundlage können die festgelegten Eskalationsstufen ausgelöst und gezielte Abwehr- sowie Reaktionsmaßnahmen eingeleitet werden. Ziel ist es, negative Auswirkungen zu begrenzen, die kritische Dienstleistung möglichst aufrechtzuerhalten und den Normalbetrieb schnell wiederherzustellen.
6. Erstmeldung fristgerecht abgeben
Wird ein erheblicher Vorfall festgestellt, muss dieser unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, über das gemeinsame Meldeportal von BBK und BSI gemeldet werden. Die Erstmeldung sollte Angaben zur Art des Vorfalls, den vermuteten Ursachen und Auswirkungen sowie zum betroffenen Gebiet und der Anzahl der betroffenen Nutzer enthalten. Zudem ist eine erste Einschätzung zur voraussichtlichen Dauer der Beeinträchtigung erforderlich.
7. Ausführlichen Bericht einreichen
Spätestens einen Monat nach Kenntnisnahme des Vorfalls muss ein ausführlicher Bericht bei der zuständigen Behörde eingereicht werden. Darin sind die Art des Vorfalls, seine Ursachen und die konkreten Auswirkungen detailliert zu beschreiben. Grundlage dafür ist eine fundierte Ursachenanalyse. Rückmeldungen und Handlungsempfehlungen des BBK sollten anschließend ausgewertet und in die Weiterentwicklung des Resilienzplans einbezogen werden.
8. Risikoanalyse nach einem Vorfall aktualisieren
Nach einem meldepflichtigen Vorfall kann das BBK eine Neubewertung der bestehenden Risiken anordnen. In diesem Fall müssen die Risikoanalyse und die zugehörige Dokumentation an die neuen Erkenntnisse angepasst werden. Je nach Schwere des Ereignisses kann sogar eine vollständig neue Risikoanalyse erforderlich sein.
9. Resilienz im Unternehmen verankern
Das KRITIS-Dachgesetz verlangt einen regelmäßigen und strukturierten Resilienzmanagementprozess, der fest in der Unternehmensorganisation verankert ist. Dafür müssen klare Zuständigkeiten, ausreichende Budgets und konkrete Maßnahmen für den Schutz festgelegt werden. Resilienz wird damit zu einer unternehmerischen, gesellschaftlichen und persönlichen Verpflichtung der Versorgungssicherheit.
10. Risiken regelmäßig prüfen und Nachweise bereithalten
Risikoanalysen und Risikobewertungen müssen mindestens alle vier Jahre sowie bei wesentlichen Veränderungen erneut durchgeführt werden. Auf Grundlage der Ergebnisse ist auch der Resilienzplan zu überprüfen und bei Bedarf zu aktualisieren. Gleichzeitig sollten Unternehmen jederzeit nachweisen können, dass die festgelegten Maßnahmen umgesetzt wurden und wirksam sind. Das BBK kann entsprechende Unterlagen anfordern, Audits durchführen oder die kritische Anlage im Rahmen einer Vor-Ort-Prüfung kontrollieren.
Das KRITIS-Dachgesetz macht deutlich: Resilienz ist kein Projekt mit einem festen Enddatum, sondern ein kontinuierlicher Prozess. Wer sich frühzeitig mit den neuen Anforderungen auseinandersetzt, schafft die Grundlage für die Einhaltung gesetzlicher Vorgaben und stärkt zugleich die Widerstandsfähigkeit der eigenen Organisation. Gerade deshalb lohnt es sich, das Thema ganzheitlich zu betrachten. Physischer Perimeterschutz, organisatorische Prozesse und moderne Sicherheitstechnologien müssen ineinandergreifen, um kritische Infrastrukturen wirksam zu schützen. Ebenso wichtig ist der Austausch mit Fachleuten, Behörden, Planern und Herstellern, denn viele Herausforderungen lassen sich nur gemeinsam lösen.
Als Europas Leitmesse für integrierten Perimeterschutz bietet die Perimeter Protection genau diese Plattform. Sie bringt alle Akteure entlang der sicherheitsbezogenen Wertschöpfungskette zusammen, präsentiert State-of-the-Art-Technologien aus dem Sicherheitssektor und schafft Raum für den fachlichen Austausch über die Schutzkonzepte von morgen. Denn: Der beste Zeitpunkt, Resilienz aufzubauen, ist bevor der Ernstfall eintritt.
