KRITIS-Dachgesetz: Stand, Fristen und Pflichten im physischen Schutz

Das KRITIS-Dachgesetz gilt seit dem 17. März 2026. Es regelt sektorübergreifend den physischen Schutz kritischer Anlagen, etwa Objektschutz, Überwachung des Geländes, Zugangskontrollen und feste Abläufe im Alarmfall. Die oft zitierte BBK-Registrierungsfrist zum 17. Juli 2026 gibt es nicht mehr. Der Gesetzgeber hat das Datum Ende Juli 2026 aus dem Gesetz gestrichen.

Kurz zusammengefasst: Die BBK-Frist 17.07.2026 ist gestrichen, eine Registrierungspflicht besteht laut BBK derzeit nicht. Registrierung, Schutzmaßnahmen und Meldepflicht hängen an einer Rechtsverordnung, die noch in Abstimmung ist. Betreiber können die Zeit nutzen, um Nachweise, Meldewege und Personalfragen mit ihrem Sicherheitsdienst vertraglich zu regeln.

Für Sicherheitsdienste, die Energieversorger, Wasserwerke oder Kliniken bewachen, ist das Gesetz trotzdem kein Fernthema. Die Pflichten treffen zwar den Betreiber. Unter den Maßnahmen, die das Gesetz ihm nennt, steht aber ausdrücklich ein Sicherheitsmanagement „einschließlich des Personals externer Dienstleister“. Was ein Auftraggeber deshalb im Bewachungsvertrag verlangen kann, sollte ein Sicherheitsdienst vor der nächsten Vergabe kennen.

Aktueller Stand: Warum die BBK-Frist 17.07.2026 nicht mehr gilt

Die Frist ist gestrichen. Artikel 8 des Gesetzes vom 21. Juli 2026 (BGBl. 2026 I Nr. 221, verkündet am 28. Juli 2026) hat § 8 Absatz 1 neu gefasst. Seitdem müssen sich Betreiber spätestens drei Monate, nachdem ihre Anlage als kritisch gilt, beim BBK registrieren. Kategorien, Schwellenwerte und Stichtage dafür bestimmt eine Rechtsverordnung des Bundesinnenministeriums (§ 5 Abs. 1).

Schon die ursprüngliche Fassung nannte den 17. Juli 2026 nur als frühesten Termin („frühestens jedoch bis einschließlich zum 17. Juli 2026“). Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe schreibt in seinen FAQ zum KRITIS-Dachgesetz (abgerufen am 29.10.2026): „Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG“. Die Verordnung befinde sich „noch in Erarbeitung und Abstimmung“.

Sobald die Verordnung in Kraft tritt, läuft eine feste Kette ab. Das BBK legt innerhalb von vier Wochen das Registrierungsverfahren fest, und Betreiber registrieren ihre Anlagen spätestens drei Monate, nachdem diese als kritisch gelten. Neun Monate nach der Registrierung wird die Risikoanalyse fällig. Nach zehn Monaten gelten die Resilienzmaßnahmen, die Meldepflicht und die Pflichten der Geschäftsleitung. Muster für Resilienzpläne stellt das BBK spätestens acht Monate nach Inkrafttreten der Verordnung bereit.

Für die Vorbereitung muss niemand auf die Verordnung warten. Laufende Bewachungsverträge enden nicht im Takt der Verordnung, und jede Neuvergabe ist eine Gelegenheit, die Anforderungen an den Dienstleister gleich in die Leistungsbeschreibung zu schreiben.

Was das KRITIS-Dachgesetz für den physischen Schutz regelt

Betreiber kritischer Anlagen müssen auf Grundlage einer eigenen Risikoanalyse verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen treffen. Eines der vier Ziele in § 13 Absatz 1 ist ausdrücklich ein angemessener physischer Schutz von Liegenschaften und kritischen Anlagen. Die Maßnahmen stehen in einem Resilienzplan, den der Betreiber anwendet und nach jeder Risikoanalyse aktualisiert.

Das Gesetz setzt die EU-Richtlinie zur Resilienz kritischer Einrichtungen (CER-Richtlinie) um und gilt in zehn Sektoren, von Energie, Wasser und Gesundheitswesen über Transport und Verkehr und Ernährung bis zur Siedlungsabfallentsorgung (§ 4 Abs. 1). Nicht alle Pflichten gelten überall. Für Informationstechnik und Telekommunikation und für Finanzunternehmen nach der EU-Verordnung DORA entfallen Risikoanalyse-, Resilienz-, Nachweis- und Meldepflichten. Für Siedlungsabfallentsorgung sowie Sozialversicherung und Grundsicherung bleibt davon nur die Risikoanalyse (§ 4 Abs. 2). Der Regelwert für die Schwellenwerte liegt bei 500.000 versorgten Einwohnern. Der Bundesrat hatte 150.000 gefordert und sich damit nicht durchgesetzt.

Als mögliche Maßnahmen für den physischen Schutz nennt § 13 Absatz 3 Objektschutz wie Liegenschaftsabgrenzungen, Instrumente zur Überwachung der Umgebung, Detektionsgeräte und Zugangskontrollen. Dazu kommen vorgegebene Abläufe im Alarmfall, ein Sicherheitsmanagement für das Personal sowie Schulungen und Übungen. Der Katalog ist offen formuliert („können die folgenden zählen“) und tritt hinter spezielle Branchenregeln zurück.

Die Pflichten im Überblick:

• Registrierung beim BBK spätestens drei Monate, nachdem die Anlage als kritisch gilt (§ 8).
• Risikoanalyse und Risikobewertung bei Bedarf, mindestens aber alle vier Jahre (§ 12).
• Resilienzmaßnahmen und Resilienzplan, einschließlich des physischen Schutzes (§ 13).
• Meldung von Vorfällen an das BBK unverzüglich, spätestens 24 Stunden nach Kenntnis, und ein ausführlicher Bericht spätestens einen Monat nach Kenntnis des Vorfalls (§ 18).
• Umsetzungs- und Überwachungspflicht der Geschäftsleitung. Bei schuldhafter Pflichtverletzung haftet sie der eigenen Einrichtung nach Gesellschaftsrecht (§ 20).

§ 24 sieht Bußgelder bis zu einer Million Euro vor, wenn ein Betreiber eine vollziehbare Anordnung des BBK im Registrierungsverfahren missachtet. Für ein nicht oder falsch übermitteltes Auditergebnis sind bis zu 500.000 Euro möglich, für Verstöße gegen Anordnungen der zuständigen Behörde nach § 16 bis zu 200.000 Euro und in den übrigen Fällen bis zu 100.000 Euro. Höhere Beträge wie zehn Millionen Euro oder zwei Prozent des Umsatzes stehen in § 65 des BSI-Gesetzes und betreffen die IT-Sicherheit nach NIS-2.

Was das KRITIS-Dachgesetz für beauftragte Sicherheitsdienstleister bedeutet

Pflichtig ist der Betreiber, also wer bestimmenden Einfluss auf die kritische Anlage hat (§ 2 Nr. 1). Zu den Maßnahmen in § 13 Absatz 3 gehört aber ein Sicherheitsmanagement für das Personal, „einschließlich des Personals externer Dienstleister“ (§ 13 Abs. 3 Nr. 5). Setzt ein Betreiber diese Maßnahme um, betrifft sie den Sicherheitsdienst direkt.

Übernimmt ein Bewachungsdienst Streifen, Pforte und Alarmverfolgung, erbringt er außerdem Maßnahmen, die § 13 Absatz 3 nennt: Überwachung der Umgebung, Zugangskontrollen und vorgegebene Abläufe im Alarmfall. Fordert die Behörde Nachweise zu § 13 an, betrifft das auch diese Teile, und die Daten dazu entstehen beim Objektschutz-Personal vor Ort.

Für einen Sicherheitsdienst, der ein Wasserwerk bewacht, heißt das konkret: Er sollte vor der nächsten Vertragsverlängerung beantworten können, wie Rundgänge, Vorfälle und Schlüsselübergaben dokumentiert werden, in welchem Format die Daten beim Auftraggeber ankommen und wie schnell.

Welche Nachweise die Behörde verlangen kann

Einen festen Prüfzyklus für den physischen Schutz gibt es nicht. Die zuständige Behörde wählt Betreiber risikobasiert aus und kann Nachweise, den Resilienzplan und Auditergebnisse anfordern (§ 16). Sie darf vor Ort prüfen und dafür qualifizierte unabhängige Dritte einsetzen. Der Betreiber muss Zutritt zu Geschäfts- und Betriebsräumen, Zugang zu Anlagen und Einsicht in Unterlagen gewähren.

Welche Behörde zuständig ist, hängt von der kritischen Dienstleistung ab (§ 3 Abs. 2). Das BBK ist zentrale Anlaufstelle, führt die Registrierung und nimmt die Meldungen zu Vorfällen entgegen. Für Strom, Erdgas und Wasserstoff gelten die Nachweisregeln aus § 16 Absatz 1 bis 6 nicht, dort ist § 5f des Energiewirtschaftsgesetzes anzuwenden (§ 16 Abs. 7). Anforderungen an Nachweise und Prüfer kann das BBK festlegen (§ 16 Abs. 8), und die sektorübergreifenden Mindestanforderungen sind laut BBK „aktuell in Abstimmung“.

Darstellungen, nach denen das BSI den physischen Schutz alle drei Jahre nach einem Reifegradmodell prüft, haben im KRITIS-Dachgesetz keine Grundlage. Einen Drei-Jahres-Rhythmus gibt es nur für den IT-Nachweis nach § 39 BSI-Gesetz.

Für den Objektschutz zählt § 16 Absatz 3: Die Behörde kann die Dokumentation verlangen, die einer Prüfung zugrunde lag. Nach § 17 Absatz 1 können dafür auch Dokumente zur Stärkung der Resilienz dienen, die der Betreiber freiwillig erstellt oder erlangt hat. Steht im Resilienzplan, dass Streifen das Gelände überwachen, sollte sich das deshalb auch belegen lassen.

Was Betreiber vom Bewachungsdienstleister vertraglich verlangen sollten

Wir empfehlen, im Bewachungsvertrag die Teile des Resilienzplans abzubilden, die der Sicherheitsdienst erbringt. Sechs Punkte gehören aus unserer Sicht hinein: welche Maßnahmen er übernimmt, wie er sie belegt, wie lange die Belege verfügbar bleiben, wie schnell er Vorfälle meldet, wie er sein Personal einweist und schult, und wer Sicherheitsüberprüfungen organisiert, wenn sie nötig werden.

Leistungsbeschreibung entlang des Resilienzplans

Die Leistungsbeschreibung sollte die Maßnahmen aus § 13 Absatz 3 benennen, die der Dienstleister übernimmt, also Streifen und Rundgänge mit festen Kontrollpunkten, Zugangskontrolle und die Schritte im Alarmfall. Aus dem Resilienzplan müssen die Erwägungen hervorgehen, die den Maßnahmen zugrunde liegen (§ 13 Abs. 4). Eine Leistungsbeschreibung, die nur Stunden und Posten nennt, trägt dazu wenig bei.

Nachweisformat und Zugriff des Betreibers

Der Vertrag sollte festlegen, wie ein Rundgang belegt wird: mit Zeitstempel je Kontrollpunkt, mit Kennzeichnung ausgelassener oder ersetzter Punkte und mit Vorfällen samt Ort und Uhrzeit. Der Betreiber sollte diese Daten selbst abrufen können oder in festen Abständen erhalten, damit sie bei einer Anforderung der Behörde schon bei ihm liegen. Außerdem sollten die Kräfte vor Ort bei einer Prüfung Auskunft geben dürfen, denn der Betreiber schuldet der Behörde Zugang und Unterstützung (§ 16 Abs. 4).

Aufbewahrung und Herausgabe bei Vertragsende

Das KRITIS-Dachgesetz nennt keine Aufbewahrungsfrist für Nachweise. Der Vertrag sollte deshalb eine Frist festlegen, abgestimmt mit dem Datenschutzbeauftragten. Er sollte auch regeln, dass die Daten bei einem Wechsel des Dienstleisters in einem lesbaren Format an den Betreiber gehen.

Meldeweg bei Vorfällen

Der Betreiber muss Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis, an die gemeinsame Meldestelle von BSI und BBK melden. Damit er das schafft, sollte eine Meldung des Wachpersonals ohne Umweg bei der zuständigen Stelle im Unternehmen ankommen. Der Vertrag sollte festlegen, welche Ereignisse sofort gemeldet werden, an wen, über welchen Kanal und mit welchen Angaben, etwa Dauer und betroffenem Bereich, die der Betreiber selbst melden muss (§ 18 Abs. 2).

Personal, Einweisung und Übungen

§ 13 Absatz 3 nennt ein Sicherheitsmanagement für das Personal externer Dienstleister sowie Schulungen und Übungen als mögliche Maßnahmen. Wir empfehlen, im Vertrag drei Dinge zu regeln: welche Qualifikations- und Zuverlässigkeitsnachweise das eingesetzte Personal vorlegt, wie neue Kräfte in das Objekt eingewiesen werden und dass der Dienstleister an Übungen des Betreibers teilnimmt. Häufig wechselnde Springer ohne Objekteinweisung lassen sich im Resilienzplan schwer begründen.

Neu seit 28. Oktober 2026: die Sabotageschutzverordnung

Am 28. Oktober 2026 hat das Bundeskabinett die Neufassung der Sicherheitsüberprüfungsfeststellungsverordnung als „Sabotageschutzverordnung des Bundes“ beschlossen. Nach Angaben der Bundesregierung nimmt sie weitere Wirtschaftszweige und Anwendungsfälle lebenswichtiger Einrichtungen auf. Die Verordnung stützt sich auf das Sicherheitsüberprüfungsgesetz und betrifft den vorbeugenden personellen Sabotageschutz, ein vom KRITIS-Dachgesetz getrenntes Regelwerk. Überprüft wird, „wer an einer sicherheitsempfindlichen Stelle innerhalb einer lebens- oder verteidigungswichtigen Einrichtung […] beschäftigt ist oder werden soll“ (§ 1 Abs. 4 SÜG).

Welche Branchen genau dazukommen und ob Wachpersonal eines beauftragten Dienstleisters erfasst ist, nennt die Mitteilung der Bundesregierung nicht. Maßgeblich ist der Verordnungstext nach der Verkündung, eine Zustimmung des Bundesrates braucht er nicht (§ 34 SÜG). Betreiber lebenswichtiger Einrichtungen sollten die Frage vor der nächsten Neubesetzung von Posten klären und im Vertrag festhalten, wer die Überprüfungen organisiert.

Wie Rundgangs- und Vorfallsdaten für den Nachweis aufbereitet sein sollten

Für die Vertragspunkte oben empfehlen wir Daten, die automatisch mit Zeitstempel entstehen und die der Betreiber selbst abrufen kann. Ein Online-Wächterkontrollsystem liefert diese Daten für den Teil des physischen Schutzes, den der Bewachungsdienst erbringt. Anforderungen an Nachweise kann das BBK nach § 16 Absatz 8 festlegen.

Am Beispiel von COREDINATE OWKS für Logistik und KRITIS-Standorte:

• Kontrollpunktscans per NFC tragen einen Zeitstempel, auf Wunsch mit GPS-Koordinaten, ergänzt um GPS-Kontrollpunkte und virtuelle Gebietsgrenzen (Geofences). Die Rundgangüberwachung zeigt in Echtzeit, welche Punkte erledigt sind, und der Rundgangsbericht kennzeichnet Ersatzscans.
• Das digitale Wachbuch schreibt sich aus Scans, Ereignissen sowie Schichtbeginn und Schichtende selbst, chronologisch und ohne Nacherfassung. Schlüsselübergaben lassen sich im selben System dokumentieren.
• Die Ereigniserfassung nimmt Fotos und diktierte Beschreibungen auf, und das Portal zeigt, ob ein Bild mit der Kamera aufgenommen oder aus der Galerie gewählt wurde. Benachrichtigungsregeln schicken ab einer festgelegten Auswirkungsstufe automatisch eine E-Mail an den Auftraggeber, mit dem SMS-Modul auch eine SMS.
• Über den optionalen Kundenzugriff sieht der Betreiber die für ihn freigegebenen Daten in Echtzeit. Auswertungen entstehen als PDF per Knopfdruck oder automatisch nach Versandregel.
• Die Daten liegen auf Servern in Deutschland.

Eine solche Software ersetzt weder Risikoanalyse noch Resilienzplan. Sie liefert die Daten zu den Maßnahmen, die der Sicherheitsdienst vor Ort erbringt, und der Betreiber entscheidet, welche davon er als Nachweis heranzieht.

Häufige Fragen zum KRITIS-Dachgesetz und physischem Schutz