KRITIS-Dachgesetz 2026: Was Unternehmen jetzt beim physischen Objektschutz beachten müssen

7. September 2026

Lesedauer: 8 Minuten

Der Schutz kritischer Infrastrukturen rückt zunehmend in den Fokus von Unternehmen, Behörden und Politik. Energieversorgung, Verkehr, Gesundheitswesen, Wasser oder Lebensmittelversorgung sind auf Anlagen angewiesen, deren Ausfall erhebliche Auswirkungen auf Bevölkerung und Wirtschaft haben kann.

Mit dem KRITIS-Dachgesetz hat Deutschland erstmals einen sektorübergreifenden gesetzlichen Rahmen geschaffen, der sich ausdrücklich mit der physischen Resilienz kritischer Anlagen beschäftigt. Das Gesetz ist am 17. März 2026 in Kraft getreten und setzt die europäische CER-Richtlinie zur Resilienz kritischer Einrichtungen in deutsches Recht um.

Für betroffene Betreiber bedeutet das: Neben Cyber- und Informationssicherheit gewinnt der Schutz von Gebäuden, Betriebsgeländen, Anlagen und Zugängen erheblich an Bedeutung.

Doch was verlangt das KRITIS-Dachgesetz tatsächlich? Welche Rolle spielt der Objektschutz? Und welche Maßnahmen können Unternehmen bereits heute sinnvoll vorbereiten?

Das Wichtigste in Kürze

Das KRITIS-Dachgesetz gilt seit dem 17. März 2026. Es setzt die europäische CER-Richtlinie um und regelt erstmals sektorübergreifend die physische Resilienz kritischer Anlagen.
Betroffen ist nicht automatisch jedes Unternehmen aus den zehn Sektoren. Entscheidend ist, ob eine konkrete Anlage als kritische Anlage gilt. Die dafür vorgesehene Rechtsverordnung wird derzeit noch erarbeitet.
Physischer Schutz ist ausdrücklich Teil der Resilienzpflichten. § 13 KRITIS-DachG verlangt einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen – risikobasiert und verhältnismäßig, nicht pauschal.
Risikoanalyse und Resilienzplan bilden die Grundlage. Maßnahmen müssen aus der eigenen Risikoanalyse abgeleitet und nachvollziehbar dokumentiert werden.
Die Fristen knüpfen an die Registrierung an. Die Risikoanalyse ist erstmals nach neun Monaten fällig, die Resilienzpflichten und damit der physische Schutz nach zehn Monaten. Eine frühzeitige Vorbereitung lohnt sich trotzdem.

Sie betreiben einen Standort, der unter das KRITIS-Dachgesetz fallen könnte? AGSUS Security unterstützt Sie mit Sicherheitslösungen für kritische Infrastrukturen – von der Bestandsaufnahme bis zur operativen Umsetzung. Jetzt Erstgespräch anfragen.

Inhaltsverzeichnis

Was ist das KRITIS-Dachgesetz?

Das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, kurz KRITIS-Dachgesetz oder KRITIS-DachG, soll kritische Dienstleistungen besser gegen Störungen und Ausfälle schützen.

Dabei geht es nicht ausschließlich um vorsätzliche Angriffe. Die gesetzlich vorgesehenen Risikoanalysen berücksichtigen unter anderem naturbedingte, technische und menschlich verursachte Risiken sowie Extremereignisse, Naturgefahren, gesundheitliche Notlagen und hybride beziehungsweise sicherheitsgefährdende oder feindliche Bedrohungen.

Der Ansatz ist damit deutlich umfassender als die klassische Gefahrenabwehr: Unternehmen sollen ihre kritischen Anlagen so aufstellen, dass Vorfälle möglichst verhindert, Auswirkungen begrenzt und kritische Dienstleistungen nach einem Ereignis möglichst schnell wiederhergestellt werden können.

Wie physischer Schutz in einem KRITIS-Sektor in der Praxis aussieht, zeigt unser Beitrag zum Sicherheitsdienst für Energieversorger.

Welche Unternehmen können vom KRITIS-Dachgesetz betroffen sein?

Energie: Energieversorger und Netzbetreiber, die die Strom- und Gasversorgung sicherstellen.
Transport und Verkehr: Betreiber von Bahn-, Luft- und Hafeninfrastruktur sowie zentrale Logistiknetzwerke und Raumfahrtunternehmen.
Gesundheitswesen: Krankenhäuser, pharmazeutische Versorgung und kritische medizinische Dienstleistungen.
Wasser und Abwasser: Unternehmen der Trinkwasserversorgung und Abwasserentsorgung.
Informationstechnik und Telekommunikation: Rechenzentren, Netzbetreiber und Anbieter kritischer digitaler Infrastruktur.
Finanz- und Versicherungswesen: Einrichtungen, die zentrale Finanzdienstleistungen und Zahlungsströme sicherstellen.
Ernährung und Abfallwirtschaft: Lebensmittelproduktion sowie Entsorgungs- und Recyclinginfrastruktur.
Öffentliche Verwaltung: Einrichtungen mit zentraler Bedeutung für staatliche Funktionsfähigkeit.
Zulieferer und Lieferanten: Auch Zulieferer und Lieferanten müssen nach dem KRITIS-Dachgesetz geeignete Schutzmaßnahmen treffen, selbst wenn sie nicht direkt als KRITIS-Betreiber eingestuft sind.

Für einzelne Sektoren und Unternehmen bestehen allerdings Ausnahmen beziehungsweise besondere oder vorrangige gesetzliche Regelungen. Die bloße Zugehörigkeit zu einem dieser Wirtschaftszweige bedeutet deshalb nicht automatisch, dass jedes Unternehmen sämtliche Pflichten des KRITIS-Dachgesetzes erfüllen muss. Entscheidend ist vielmehr, ob eine konkrete Anlage als kritische Anlage im Sinne des Gesetzes gilt.

Das Gesetz sieht hierfür Anlagenkategorien und Schwellenwerte vor. Als grundsätzlichen Regelwert nennt § 5 KRITIS-DachG eine Versorgung von 500.000 Einwohnern, wobei je nach Sektor, Dienstleistung oder Anlage abweichende beziehungsweise speziellere Schwellenwerte festgelegt werden können. Auch Einzelfallfeststellungen sind vorgesehen.

Wichtig zum aktuellen Stand 2026

Das KRITIS-Dachgesetz ist bereits in Kraft. Die für die konkrete Bestimmung der kritischen Anlagen vorgesehene Rechtsverordnung nach §§ 4 und 5 KRITIS-DachG befindet sich nach Angaben des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK) jedoch noch in Erarbeitung beziehungsweise Abstimmung.

Unternehmen sollten deshalb sorgfältig unterscheiden zwischen dem bereits geltenden Gesetz, dem zukünftig konkretisierten Kreis betroffener Anlagen und den daran anknüpfenden individuellen Pflichten.

Gerade Unternehmen, die aufgrund ihrer Größe, ihrer Versorgungsleistung oder ihrer Bedeutung für andere Branchen mit einer Einstufung rechnen, sollten die Zeit dennoch nutzen, um bestehende Sicherheitsstrukturen zu überprüfen.

Physischer Schutz wird ausdrücklich Bestandteil der KRITIS-Resilienz

Besonders relevant für die Unternehmenssicherheit ist § 13 KRITIS-DachG. Danach müssen Betreiber kritischer Anlagen im Rahmen der für sie geltenden Resilienzpflichten unter anderem einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen gewährleisten.

Dabei schreibt das Gesetz nicht pauschal eine bestimmte Sicherheitslösung vor. Vielmehr sollen auf Grundlage der jeweiligen Risikoanalyse verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen getroffen werden. Der Stand der Technik soll eingehalten werden. Gleichzeitig müssen Risiko, erforderlicher Aufwand und unter anderem auch wirtschaftliche Aspekte berücksichtigt werden.

Das bedeutet: Ein Kraftwerk, ein Krankenhaus, eine Logistikinfrastruktur und eine Anlage der Wasserversorgung benötigen nicht automatisch dasselbe Sicherheitskonzept. Physische Sicherheit muss risikobasiert geplant werden.

Wie unterschiedlich die Anforderungen ausfallen können, zeigen unsere Branchenbeiträge zum Sicherheitsdienst für Krankenhäuser und zum Sicherheitsdienst für Logistikunternehmen.

Welche Maßnahmen nennt das KRITIS-Dachgesetz beim Objektschutz?

Der Gesetzgeber nennt in § 13 KRITIS-DachG verschiedene Beispiele, die für den physischen Schutz eingesetzt werden können. Dazu gehören insbesondere:

Maßnahmen der baulichen und technischen Sicherung sowie des organisatorischen Objektschutzes
die Abgrenzung von Liegenschaften
Maßnahmen zur Überwachung der Umgebung
Detektionssysteme
Zugangskontrollen

Wichtig ist dabei die Formulierung des Gesetzes: Diese Maßnahmen können zur Erreichung der gesetzlichen Schutzziele eingesetzt werden. Daraus folgt nicht, dass jede kritische Anlage zwingend jede einzelne Maßnahme benötigt. Entscheidend ist, welches Schutzkonzept aufgrund der konkreten Gefährdung und Risikoanalyse angemessen ist.

In der Praxis kann daraus beispielsweise ein Zusammenspiel aus baulicher Sicherung, Zutrittsmanagement, personellem Objektschutz, Videoüberwachung, Detektion, Kontroll- und Revierdiensten sowie klar definierten Alarm- und Interventionsprozessen entstehen.

Warum klassischer Objektschutz allein häufig nicht ausreicht

Moderne Unternehmenssicherheit besteht zunehmend aus mehreren aufeinander abgestimmten Ebenen.

Ein Sicherheitsmitarbeiter am Zugang kann beispielsweise unbefugten Zutritt verhindern und auf Ereignisse reagieren. Technische Systeme – etwa Videoüberwachung, mobile Videotürme oder eine Drohnenüberwachung – können dagegen größere Gelände dauerhaft überwachen, Veränderungen erkennen oder bestimmte Bereiche absichern.

Die Kombination verschiedener Schutzebenen kann deshalb sinnvoller sein als eine isolierte Einzelmaßnahme. Dabei können sich beispielsweise personeller Objektschutz, technische Überwachung, Zutrittskontrollen und definierte Interventionsprozesse gegenseitig ergänzen.

Gerade bei weitläufigen Industrie-, Energie-, Logistik- oder Versorgungsstandorten sollte deshalb nicht nur die Frage gestellt werden: „Welche Sicherheitsleistung benötigen wir?“ Sondern vielmehr: „Welche Risiken bestehen an unserem Standort und welche Kombination von Maßnahmen reduziert diese Risiken angemessen?“

Genau dieser risikobasierte Ansatz entspricht dem Grundgedanken des KRITIS-Dachgesetzes.

Die Risikoanalyse wird zur Grundlage des Sicherheitskonzepts

Eine zentrale Rolle spielt die Risikoanalyse. Betreiber kritischer Anlagen müssen nach § 12 KRITIS-DachG eine eigene Risikoanalyse und Risikobewertung durchführen. Diese ist im Bedarfsfall und mindestens alle vier Jahre zu wiederholen beziehungsweise zu aktualisieren.

Im Bereich der physischen Sicherheit können dabei beispielsweise folgende Fragen relevant werden:

Wo befinden sich besonders sensible Bereiche?
Welche Zugänge bestehen zum Gelände?
Welche Anlagen sind für die Aufrechterhaltung des Betriebs unverzichtbar?
Wie schnell würde ein Eindringen oder ein Sabotageversuch erkannt?
Welche Bereiche werden außerhalb der Betriebszeiten überwacht?
Welche Reaktionszeiten bestehen bei einem Alarm?
Wie sind externe Dienstleister eingebunden?
Welche Prozesse bestehen bei einem tatsächlichen Sicherheitsvorfall?

Aus einer solchen Betrachtung können anschließend geeignete organisatorische, personelle und technische Schutzmaßnahmen abgeleitet werden.

Der Resilienzplan dokumentiert die Maßnahmen

Die Umsetzung endet nicht bei der Auswahl einzelner Sicherheitsmaßnahmen. Betreiber kritischer Anlagen müssen die vorgesehenen Resilienzmaßnahmen in einem Resilienzplan darstellen und anwenden. Dabei müssen auch die Überlegungen hinter den Maßnahmen nachvollziehbar sein und Bezug auf die jeweilige Risikoanalyse und Risikobewertung nehmen.

Damit gewinnt auch die Dokumentation der physischen Sicherheit an Bedeutung. Es reicht langfristig nicht unbedingt aus, Sicherheitstechnik oder Personal lediglich einzusetzen. Unternehmen sollten nachvollziehbar dokumentieren können, warum bestimmte Maßnahmen gewählt wurden, welches Risiko damit adressiert wird und wie die einzelnen Sicherheitsbausteine zusammenspielen.

Welche Fristen gelten?

Auch bei den Fristen ist eine genaue Betrachtung wichtig. Nach § 8 KRITIS-DachG müssen Betreiber ihre kritischen Anlagen grundsätzlich innerhalb von drei Monaten registrieren, nachdem die jeweilige Anlage als kritische Anlage gilt.

An diese Registrierung knüpfen weitere Fristen an:

Risikoanalyse: Die Verpflichtungen zur Betreiber-Risikoanalyse nach § 12 KRITIS-DachG gelten erstmals neun Monate nach der Registrierung.
Resilienzpflichten: Die Pflichten nach § 13 KRITIS-DachG – und damit auch die Anforderungen an den angemessenen physischen Schutz – gelten erstmals zehn Monate nach der Registrierung.

Die Aussage, alle betroffenen Unternehmen müssten bereits seit Inkrafttreten des Gesetzes im März 2026 sämtliche physischen Schutzmaßnahmen vollständig umgesetzt haben, ist deshalb nicht korrekt.

Trotzdem kann eine frühzeitige Vorbereitung sinnvoll sein. Sicherheitskonzepte, technische Systeme, organisatorische Prozesse und bauliche Maßnahmen lassen sich häufig nicht innerhalb weniger Wochen planen und implementieren.

Welche Rolle spielen externe Sicherheitsdienstleister?

Das KRITIS-Dachgesetz berücksichtigt ausdrücklich auch das Sicherheitsmanagement im Zusammenhang mit Mitarbeitenden einschließlich des Personals externer Dienstleister. Zudem sieht es vor, dass Personal durch Informationsmaterialien, Schulungen und Übungen mit den relevanten Maßnahmen vertraut gemacht werden kann.

Für Betreiber bedeutet dies: Wird ein externer Sicherheitsdienst eingebunden, sollte dieser Bestandteil des gesamten Sicherheits- und Alarmkonzepts sein. Aufgaben, Zuständigkeiten, Meldewege, Eskalationsstufen und Reaktionen auf definierte Ereignisse sollten klar geregelt werden.

Umso wichtiger ist die sorgfältige Auswahl des Dienstleisters. Welche Nachweise ein seriöser Anbieter vorlegen kann und warum ein besonders niedriger Stundensatz häufig ein Warnsignal ist, lesen Sie in unserem Beitrag Billiger Sicherheitsdienst: Warum niedrige Stundensätze am Ende ein Vermögen kosten.

Integrierte Sicherheitslösungen für kritische Standorte

Bei der Absicherung kritischer beziehungsweise besonders schutzbedürftiger Standorte kann die Verbindung aus Personal, Technik und klar definierten Prozessen entscheidend sein.

AGSUS Security unterstützt Unternehmen unter anderem bei der operativen Umsetzung physischer Sicherheitsmaßnahmen – beispielsweise durch Objektschutz und Werkschutz, Empfangs- und Pfortendienste, Kontroll- und Revierdienste sowie technische Überwachungslösungen wie Videoüberwachung, mobile Videotürme und weitere standortbezogene Sicherheitskonzepte.

Dabei gilt: Die konkrete Sicherheitslösung sollte immer auf den Standort, das jeweilige Gefährdungsprofil und die Anforderungen des Auftraggebers abgestimmt werden. Das Ziel sollte nicht darin bestehen, möglichst viele einzelne Sicherheitsmaßnahmen einzusetzen, sondern eine bedarfsgerechte und aufeinander abgestimmte Sicherheitsstruktur aufzubauen.

Einen Überblick über unser Leistungsangebot für KRITIS-Betreiber – von der Erstanalyse über die Umsetzung nach KRITIS-DachG bis zum laufenden Betrieb – finden Sie auf unserer Seite Sicherheitslösungen für Kritische Infrastrukturen (KRITIS).

Was Unternehmen jetzt vorbereiten können

Auch Unternehmen, bei denen die endgültige Einordnung unter die neuen KRITIS-Vorgaben noch nicht feststeht, können ihre physische Sicherheit bereits systematisch überprüfen. Sinnvoll ist insbesondere:

eine Bestandsaufnahme der vorhandenen Zutritts-, Überwachungs- und Alarmprozesse,
die Identifikation besonders schutzbedürftiger Bereiche sowie
die Prüfung, ob personelle und technische Sicherheitsmaßnahmen ausreichend miteinander verzahnt sind.

Vorhandene Sicherheitskonzepte müssen dabei nicht zwangsläufig vollständig neu aufgebaut werden. Das KRITIS-Dachgesetz ermöglicht grundsätzlich, bereits bestehende Risikoanalysen, Dokumente, Maßnahmen oder Zertifikate unter bestimmten Voraussetzungen für den Nachweis der Pflichterfüllung heranzuziehen.

Fazit: Physische Sicherheit wird ein zentraler Bestandteil der KRITIS-Resilienz

Das KRITIS-Dachgesetz verändert den Blick auf den Schutz kritischer Infrastruktur. Neben organisatorischer Resilienz und Cybersicherheit erhält auch der physische Schutz von Anlagen und Liegenschaften eine klare gesetzliche Bedeutung.

Dabei verfolgt das Gesetz keinen pauschalen Ansatz. Entscheidend sind individuelle Risiken und darauf abgestimmte, verhältnismäßige Maßnahmen.

Für Unternehmen bedeutet das vor allem:

Risiken kennen,
bestehende Sicherheitsstrukturen überprüfen und
physische Sicherheitsmaßnahmen als Teil eines ganzheitlichen Resilienzkonzepts betrachten.

Wer frühzeitig damit beginnt, bestehende Strukturen zu analysieren und mögliche Schwachstellen zu identifizieren, kann sich gezielter auf die weitere Konkretisierung der gesetzlichen Anforderungen vorbereiten.

AGSUS Security – Sicherheit für anspruchsvolle Standorte

Sie möchten die physische Absicherung Ihres Unternehmens oder einzelner Standorte überprüfen? AGSUS Security entwickelt individuelle Sicherheitslösungen aus personellen, organisatorischen und technischen Maßnahmen.

Von Objekt- und Werkschutz über Zutritts- und Kontrolldienste bis hin zu modernen Überwachungslösungen betrachten wir Sicherheit ganzheitlich und standortbezogen. Mehr dazu erfahren Sie auf unserer Seite Sicherheitslösungen für Kritische Infrastrukturen (KRITIS).

Sprechen Sie mit uns über die Sicherheitsanforderungen Ihres Unternehmens.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ob und in welchem Umfang ein Unternehmen beziehungsweise eine Anlage dem KRITIS-Dachgesetz unterliegt und welche konkreten rechtlichen Anforderungen gelten, ist im jeweiligen Einzelfall zu prüfen. Stand der Informationen: 4. September 2026.

Häufige Fragen zum KRITIS-Dachgesetz und Objektschutz

Ist Objektschutz nach dem KRITIS-Dachgesetz Pflicht?

Betreiber kritischer Anlagen müssen nach § 13 KRITIS-DachG einen angemessenen physischen Schutz gewährleisten. Das Gesetz schreibt jedoch nicht pauschal vor, dass für jede Anlage beispielsweise dauerhaft Wachpersonal eingesetzt werden muss. Die konkreten Maßnahmen müssen risikobasiert und verhältnismäßig gewählt werden.

Seit wann gilt das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten. Die konkretisierenden Rechtsverordnungen befinden sich teilweise noch in der Umsetzung.

Welche Sicherheitsmaßnahmen nennt das KRITIS-Dachgesetz?

Das Gesetz nennt unter anderem bauliche und technische Sicherung, organisatorischen Objektschutz, Liegenschaftsabgrenzungen, Umfeldüberwachung, Detektionsgeräte und Zugangskontrollen als mögliche Maßnahmen.

Was ist ein KRITIS-Resilienzplan?

Im Resilienzplan müssen Betreiber die vorgesehenen Resilienzmaßnahmen darstellen und die zugrunde liegenden Erwägungen dokumentieren. Dabei ist auf die jeweilige Risikoanalyse und Risikobewertung Bezug zu nehmen.

Wann müssen die physischen Schutzmaßnahmen umgesetzt werden?

Für Betreiber einer registrierten kritischen Anlage gelten die Verpflichtungen aus § 13 KRITIS-DachG grundsätzlich erstmals zehn Monate nach der Registrierung.

Ihre Frage ist nicht dabei? Sprechen Sie uns direkt an – wir beantworten sie im Erstgespräch und prüfen auf Wunsch die physische Absicherung Ihres Standorts.