Das KRITIS-Dachgesetz: Die Personalmaßnahmen, die kaum jemand einplant – und warum die Verzögerung eine Chance ist

In der Berichterstattung dieses Sommers wurde der 17. Juli 2026 vielfach als KRITIS-Frist behandelt. Tatsächlich läuft derzeit keine Frist – weil bislang keine Anlage als kritische Anlage gilt.

Der Unterschied ist erheblich, denn er verändert, was Betreiber jetzt tun sollten.

Wo das Gesetz tatsächlich steht

Das Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (KRITISDachG) ist am 17. März 2026 in Kraft getreten (BGBl. 2026 I Nr. 66) und setzt die europäische CER-Richtlinie (2022/2557) in deutsches Recht um. Es ist der erste bundeseinheitliche Rahmen für die physische Resilienz kritischer Infrastruktur – das Gegenstück zu dem, was NIS2 und das BSIG für die Cybersicherheit leisten.

Nach § 8 Absatz 1 muss sich ein Betreiber spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, beim BBK registrieren, frühestens jedoch bis einschließlich zum 17. Juli 2026. Ob eine Anlage als kritisch gilt, richtet sich allerdings nach der Rechtsverordnung gemäß § 4 Absatz 3 und § 5 Absatz 1 – der Kritisverordnung, die Anlagenkategorien und Schwellenwerte bestimmt. Das BMI hat Ende Mai 2026 einen Referentenentwurf vorgelegt; die Verbändeanhörung ist im Juni abgeschlossen worden, die Ressortabstimmung läuft weiter.

Die FAQ des BBK benennen die Konsequenz unmissverständlich:

„Zurzeit besteht noch keine Registrierungspflicht auf der Grundlage des KRITISDachG, da sich die konkretisierende Rechtsverordnung zur Bestimmung kritischer Anlagen gem. § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG noch in Erarbeitung und Abstimmung befindet.“

Wie der Zeitplan aussieht, sobald er läuft

Die Registrierung ist der Auslöser für alles Weitere, und § 8 Absatz 7 setzt kurze Fristen:

• Neun Monate nach der Registrierung: die eigene Risikoanalyse und Risikobewertung des Betreibers (§ 12), danach mindestens alle vier Jahre.
• Zehn Monate nach der Registrierung: die Resilienzpflichten samt dokumentiertem Resilienzplan (§ 13), die Meldepflichten (§ 18) sowie die Pflichten der Geschäftsleitung (§ 20).

Die Meldung nach § 18 hat unverzüglich, spätestens 24 Stunden nach Kenntnis eines erheblichen Vorfalls zu erfolgen; ein ausführlicher Bericht folgt spätestens einen Monat nach Kenntnis.

§ 20 nimmt die Geschäftsleitung unmittelbar in die Pflicht: Sie muss die Resilienzmaßnahmen nach § 13 Absatz 1 umsetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherstellen. Die Haftung für schuldhaft verursachte Schäden richtet sich dabei vorrangig nach den auf die Rechtsform anwendbaren Regeln des Gesellschaftsrechts; nach dem KRITISDachG selbst wird nur gehaftet, wenn diese Regeln keine entsprechende Haftungsregelung enthalten.

Ab der Registrierung bleiben einem Betreiber also rund zehn Monate, um von der Risikoanalyse zu einem Resilienzplan zu kommen, der nicht nur geschrieben, sondern angewendet wird.

Die Maßnahmen, die kaum jemand einplant

§ 13 Absatz 3 führt die Maßnahmen auf, die den vier Zielen des Gesetzes dienen können: Vorfälle verhindern, die Anlage physisch schützen, auf Vorfälle reagieren und Folgen begrenzen, die kritische Dienstleistung zügig wiederherstellen.

Nummer 2 ist die, für die budgetiert wird: bauliche und technische Sicherung und organisatorischer Schutz (Objektschutz) – etwa Liegenschaftsabgrenzungen und hemmende Fassadenelemente –, Instrumente und Verfahren für die Überwachung der Umgebung, der Einsatz von Detektionsgeräten und Zugangskontrollen.

Zwei weitere Punkte desselben Katalogs erhalten deutlich weniger Aufmerksamkeit:

• Nr. 5 – „ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden zu gewährleisten, einschließlich des Personals externer Dienstleister“
• Nr. 6 – „das Personal für die … genannten Maßnahmen durch Informationsmaterialien, Schulungen und Übungen vertraut zu machen“

Zwei Punkte lohnen hier eine genaue Lektüre.

Erstens ist der Katalog ausdrücklich beispielhaft – „Zu den Maßnahmen … können die folgenden zählen“ – und die Maßnahmen werden anhand der eigenen Risikoanalyse unter einem Verhältnismäßigkeitsmaßstab und einer Zweck-Mittel-Relation gewählt (§ 13 Absatz 2). Weder Nr. 5 noch Nr. 6 begründen eine eigenständige Schulungspflicht. § 13 Absatz 4 verlangt jedoch, dass aus dem Resilienzplan „die den Maßnahmen zugrunde liegenden Erwägungen“ hervorgehen, mit Bezug auf ebendiese Risikoanalyse. Ein Plan, der Detektionstechnik detailliert dokumentiert und zu den Menschen schweigt, die sie bedienen, muss die Erwägungen dazu ohnehin darlegen.

Zweitens erfasst Nr. 5 ausdrücklich das Personal externer Dienstleister. An den meisten kritischen Anlagen sind die Menschen am Perimeter keine eigenen Mitarbeitenden. Es sind der beauftragte Sicherheitsdienstleister, der Bodenverkehrsdienst, das Reinigungsunternehmen. Eine Personalmaßnahme, die an der Grenze der eigenen Lohnliste endet, greift kürzer als der Maßnahmenkatalog des § 13 Absatz 3 Nummer 5 nahelegt.

Warum der Personalteil der längste Weg ist

Ein Zaun lässt sich beschaffen. Detektionstechnik lässt sich an einem Wochenende von einem Fachbetrieb installieren. Mehrere Tausend im Schichtbetrieb arbeitende, mehrsprachige Einsatzkräfte – einschließlich des Personals der Dienstleister – nachweisbar handlungssicher zu machen, ohne den Standort aus dem Betrieb zu nehmen, ist der langsamste Posten eines Zehn-Monats-Plans und derjenige, der am ehesten reißt.

Klassischer Präsenzunterricht erschwert das in dreifacher Hinsicht: Er nimmt Menschen genau dann aus dem Dienstplan, wenn dieser ohnehin dünn ist, er benötigt Ausbilder, die selbst knapp sind, und er bündelt Lernen in einmaligen Terminen, nach denen die Fragen im Schichtbetrieb wieder auftauchen.

Und die Personalbasis war schon vorher angespannt. In der ersten EU-weiten Studie zu Arbeits- und Fachkräftemangel in der privaten Sicherheit, die 2022 im Rahmen des INTEL-Projekts von CoESS und UNI Europa veröffentlicht wurde, berichteten 92 % der Unternehmen von zunehmenden Schwierigkeiten, Personal zu finden, und 48 % von Schwierigkeiten, die Marktnachfrage zu bedienen. Die Belegschaft, die die KRITIS-Personalmaßnahmen tragen soll, ist dieselbe, um die die Branche seit Jahren ringt.

Was in diesem Fenster sinnvoll ist

Drei Schritte sind jetzt möglich, bevor die Frist läuft.

Erfassen, welche Rollen entlang der vier Ziele des § 13 Absatz 1 personell betroffen sind. Welche Rollen handeln tatsächlich bei Verhinderung, physischem Schutz, Reaktion und Wiederherstellung – und welche dieser Rollen liegen bei einem Dienstleister statt auf der eigenen Lohnliste?

Das Umsetzungsmodell entscheiden, bevor man im Zehn-Monats-Fenster steckt, nicht darin. Immersives Training gehört zu den wenigen Ansätzen, die die Zeit bis zur Handlungssicherheit verkürzen, statt Dienstplankapazität zu verbrauchen. Die Unternehmensstudie von PwC ergab, dass VR-Lernende Trainings bis zu viermal schneller abschlossen als im Präsenzformat und sich bis zu 275 % sicherer fühlten, das Gelernte anzuwenden. Die Studie untersuchte Soft-Skills-Trainings unter PwC-eigenen Nachwuchsführungskräften – der Wirkmechanismus lässt sich eher übertragen als der genaue Faktor. Und der Mechanismus ist der relevante Teil: durchgehende Zeit an der Aufgabe und wiederholbares Üben genau jener seltenen, folgenschweren Ereignisse, um die es in einem Resilienzplan geht. Eindringen, Sabotage, Drohnensichtung, Räumung – geübt, ohne sie im laufenden Betrieb inszenieren zu müssen.

Den Nachweis laufend aufbauen, nicht nachträglich. Abschlüsse, Kompetenzstände und Auffrischungsintervalle je Rolle – Dienstleister eingeschlossen – machen aus „wir schulen unsere Leute“ etwas, das trägt, wenn § 13 Absatz 4 nach den zugrunde liegenden Erwägungen fragt und § 20 einen Namen dahinter setzt.

Nichts davon ist eine Compliance-Garantie, und keine Trainingsplattform zertifiziert jemanden nach dem KRITISDachG. Der Punkt ist enger gefasst: Von den Maßnahmen des § 13 brauchen die personellen am längsten und werden am ehesten zu knapp geplant.

Was als Nächstes zu beobachten ist

Der Entwurf der Kritisverordnung reicht weiter als das geltende Regime – ein tatsächlich neuer Sektor Weltraum, Fernkälte, Arzneimittelproduktion und EU-Referenzlaboratorien sowie niedrigere Schwellenwerte und feiner gegliederte Kategorien für Energiespeicher und Power-to-Gas-Anlagen. Bemerkenswert: Die Stellungnahme der AG KRITIS hält fest, dass mehrere in der Begründung als „Neuaufnahme“ bezeichnete Kategorien tatsächlich umetikettierte Fortschreibungen bereits erfasster Anlagen sind – Hafenanlagen etwa. Der Entwurf behält den Regelschwellenwert von 500.000 versorgten Personen bei, auch wenn der Bundesrat zuvor auf einen niedrigeren Wert gedrungen hatte. Mit dem Erlass der Verordnung gelten Anlagen als kritisch – und die Dreimonatsfrist zur Registrierung beginnt.

Betreiber, die dieses Intervall nutzen, um zu klären, wie sie ihr Personal schulen – einschließlich der Menschen, die für ihre Dienstleister arbeiten –, werden die zehn Monate mit Umsetzung verbringen. Betreiber, die warten, werden sie damit verbringen, herauszufinden, wie lange Schulung dauert.

Bei SkillCampVR arbeiten wir genau an diesem Problem: VR-Training und KI-Unterstützung auf Basis freigegebener Vorschriften für Belegschaften im operativen Betrieb – über 60 aktive Kundenstandorte und rund 2.000 VR-Trainingssitzungen pro Woche. DSGVO-konform und in Deutschland gehostet.