Das KRITIS-Dachgesetz zielt auf die physische Resilienz kritischer Versorgungsanlagen. Die Haftungslogik der Geschäftsführung nach § 20 ist auf die nachweisbare Wirksamkeit von Schutzmaßnahmen gerichtet. Audit-Readiness – die Fähigkeit, Risikoanalyse, Resilienzplan, Meldewesen und Wirksamkeitskontrolle jederzeit und widerspruchsfrei nachzuweisen – wird zum unmittelbaren Schutzgut der Geschäftsführung. (Bild: Adobe Stock)
Energieversorger haben in den vergangenen zehn Jahren eine Regulierungswelle nach der anderen verarbeitet: BSI-Gesetz, branchenspezifische Sicherheitskataloge, NIS, zuletzt NIS2. Die naheliegende Reaktion auf das KRITIS-Dachgesetz ist deshalb ein bekannter Reflex: „Das deckt unser Informationssicherheits-Managementsystem doch ab.“ Der Reflex ist verständlich – und er führt in die Irre.
Warum das KRTITIS-Dachgesetz mehr ist als ein weiteres Compliance-Thema
Das Gesetz setzt die europäische CER-Richtlinie um und regelt erstmals die physische Resilienz kritischer Anlagen eigenständig. Es ist bewusst getrennt vom Cybersicherheitsrecht aufgebaut: mit eigener Methodik (§ 12 Risikoanalyse, § 13 Resilienzplan), eigenem Schutzgut (die Anlage, nicht das Informationssystem), eigener Zuständigkeit (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, ergänzt durch die Sektoraufsicht) und eigener Haftungsdimension (§ 20). Wer das Gesetz als Anhang zur IT-Sicherheit behandelt, baut sich eine doppelte Lücke: Die physische Dimension bleibt methodisch unterbelichtet, und die Anforderungen des Resilienzplans werden auf das Niveau eines IT-Notfallplans heruntergebrochen. Das hält der Prüfungsrealität nicht stand.
Für die Energiewirtschaft ist das besonders relevant. Die IT-Sicherheit ist hier, nicht zuletzt durch frühere Regulierung, vielerorts solide aufgestellt. Die blinden Flecken liegen anderswo: bei der physischen Infrastruktur, den OT-Systemen, den Lieferketten für versorgungskritische Komponenten und bei den Personalrisiken. Die Stromausfälle in Berlin Anfang 2026 haben exemplarisch gezeigt, dass kritische Hardware und physische Redundanzen in vielen Risikobetrachtungen schlicht fehlen. Genau hier setzt das Gesetz an und verlangt einen All-Gefahren-Ansatz: einzubeziehen sind natürliche Risiken einschließlich Klimafolgen, technische Risiken, menschliche Bedrohungen bis hin zu Sabotage, Terrorismus und hybriden Angriffen, sektorübergreifende Abhängigkeiten sowie Risiken durch Auftragnehmer. Die Vollständigkeit ist verbindlich. Wer eine Kategorie nicht abbildet, erfüllt keinen prüfungsfesten Nachweis nach § 12.