KRITIS-Dachgesetz zwingt zum Handeln

Gesamtheitlicher Ansatz von Materna: von der Analyse über die Umsetzung bis zum Betrieb für die Konzernsicherheit bei KRITIS-Organisationen

Langfristiger Partner für digitale Souveränität und Resilienz

Das KRITIS-Dachgesetz hat bundeseinheitliche Mindeststandards zum Schutz kritischer Infrastrukturen festgelegt. Dies hat weitreichende Folgen für eine Reihe von Organisationen aus den Bereichen Energie, Wasser, Transport, Gesundheit, digitale Kommunikation, Weltraum, Entsorgung und Verwaltung. Es verschärfen sich die regulatorischen Anforderungen an physischen Schutz, Meldeketten und Nachweispflichten sowie Haftungsrisiken für Unternehmensleitungen, ergänzend zu bestehenden Regularien nach BSI-Gesetz, NIS2 oder jeweilige Sektorengesetze- und Standards. Als Familienunternehmen mit nachweislicher Expertise bei KRITIS-Unternehmen, Sicherheitsbehörden, Polizeiorganisationen und der Bundeswehr steht Materna für digitale Souveränität, geprüfte Sicherheit und technologieoffene Integration.

Maßnahmenempfehlungen für das Jahr 2026

Kurzfristig (3 Monate)

  • KRITIS-Relevanz prüfen und ggf. Registrierungsvorbereitung starten
  • Gap-Analyse zwischen den CER/KRITIS-Dachgesetz-Pflichten und den eigenen Sicherheitsvorgaben nach Allgefahrenansatz
  • Sofortmaßnahmen am Perimeter priorisieren (blinde Zonen, Zutritt, Drohnenexposition)
  • Behörden-/Meldeprozesse aktiv in der eigenen Organisation verankern (Rollen, Eskalation, Meldewege, technische Anforderungen prüfen)

Mittelfristig (9 Monate)

  • Resilienzplan und Roadmap verabschieden (inkl. Budget, KPIs, Auditpfade)
  • Digital Twin des Geländes aufbauen und Sensor-Architektur optimieren
  • UAV-Detektion, KI-Videoanalytics und SIEM-/Leitstellenintegration implementieren
  • Regelbetrieb (SOC/SIEM-Integration), regelmäßige Übungen und Audits
  • Lieferketten- und Auslandsdienststellen in den Resilienzrahmen integrieren
  • Technische Voraussetzungen für gemeinsame Lagebilder mit Behörden schaffen; Lessons Learned in Standards zurückspiegeln

Webcast Cyber Resilience im Fokus, 24.06.

Wenn Verantwortung wächst, aber Ressourcen fehlen

Steigende Anforderungen, knappe Ressourcen: Der Spagat wird zur täglichen Herausforderung. Cyber Resilience ist zur Managementaufgabe geworden – insbesondere in KRITIS-Organisationen. Der Webcast von 10:00 bis 11:00 Uhr zeigt, wie Netzbetreiber, Energieversorger und Stadtwerke Sicherheitsverantwortung strukturiert wahrnehmen, regulatorische Anforderungen souverän erfüllen und ihre Organisation gezielt entlasten. Erfahren Sie, wie Sie Cyber Resilience wirksam und nachhaltig steuern.

Mehr erfahren

Physische Resilienz für KRITIS digital integriert

Materna vereint zusammen mit einem verifizierten Partnerökosystem KRITIS-Beratung, sichere IT-Architektur, Cybersicherheit, BSI-zertifizierte Schnittstellen, Perimeterschutz, UAV-Detektion, Sensorik, KI-Videoanalyse, Lagebildfusion, BOS/Leitstellen-Know-how, BBK/BSI-Meldeprozesse und auditfähige Meldeprozesse in einem integrierten unternehmensweiten Lösungsportfolio. Wir verbinden die Bestandteile zu einem auditfähigen Schutzsystem. Zudem betrachten wir eingesetzte Technologien im Kontext “Dual Use”, um gleichzeitig auch Kernprozesse und betrieblichen Abläufe zu unterstützen.

Alle Kompetenzen aus einer Hand

  • Beratung von KRITIS-Betreibern und Sicherheitsbehörden mit zertifiziertem Personal, u.a. nach ISO 27001 und ISO 9001
  • Sichere IT-Architektur und BSI-zertifizierte Schnittstellen
  • Absicherung und Betrieb kritischer Systeme, Integration heterogener Systeme (CCTV, Sensorik, Drohnendetektion- und Abwehr, Zutritt, SIEM/SOC
  • Lagebildfusion und Aufbau souveräner Datenräume (z. B. GAIAX-konform)
  • Plattformbetrieb und BOS-/Leitstellen IT
  • Produktneutralität und starkes Partnernetzwerk aus innovativen Technologien für den Einsatz im Bereich „Resilienz“. 
  • Juristische Beratung durch Experten entlang unseres Partnernetzwerks zu spezifischen Fragestellungen 
  • Physische Resilienz für KRITIS digital integriert
  • in Deutschland führender Integrator für den vernetzten, digitalen Liegenschaftsschutz 

Unsere Expertise für Ihre Sicherheit

Geschwindigkeit. Interoperabilität. Skalierbarkeit. Dual Use.

Integrierter Liegenschafts- und Perimeterschutz

  • Risiko- und Gap-Analysen (KRITIS-Dachgesetz §§ 6, 10-12)
  • Rechtskonform, prüfsicher, auditfähig
  • Digitale Perimeteranalyse (Digital Twin) zur Visualisierung des Geländes und Erkennung verdeckter Annäherungen (Personen und UAV), zur Optimierung der Sensorarchitektur
  • Dabei auch Analyse und Betrachtung logistischer Prozesse und Lieferketten sowie deren Härtung
  • Drohnendetektion mit SIEM-Lagebild

NIS2-Schulungen und Gap-Analyse

NIS2 Gap-Analyse

NIS2-Schulung für Geschäftsleitungen

Sensorik und UAV-Detektion

  • Herstellerneutrale Beratung zur UAV-Detektionssensorik
  • Vermittlung von UAV-Detektionssoftware
  • Softwarebasierter UAV-Exposure-Check und Perimeteranalyse mittels digitaler Zwillinge, um eine verdeckte Annäherung mit Personen oder UAV an ihre Liegenschaft zu verhindern bzw. Blindspots der Sensorik aufzudecken

SecuSite AI - KI gestützte-Videoanalyse

  • KI filtert aus Dauerstreams DSGVO-konform relevante Ereignisse
  • Generiert präzise Lagebeschreibungen für die Konzernsicherheit
  • Algorithmische Priorisierung, Clustering, Hotspot-Maps
  • Revisionssichere Dokumentation und auditfähige Reports
  • beschleunigte Meldeketten und erhöhte Verlässlichkeit von Lagebildern

     

Mehr über SecuSiteAI

Vernetztes Lagebild und SIEM-Integration

Behörden- und Meldeprozesse (BBK/BSI)

Direkt anschlussfähig an Melde und Nachweispflichten 

Schulungen

  • Interaktives E-Learning zur Vorbereitung in Theorie und Praxis
  • Präsenzschulung zur Vertiefung und Anwendung
  • Barrierefrei
  • Praxisnahe Szenarien und Übungen
  • Add-On: Möglichkeit der VR-Unterstützung für spezifische Szenarien
  • Didaktisch-geschultes Personal

Schrittweise Umsetzung in 3 bis 4 Wochen mit Materna

Unsere Empfehlung: In drei bis Wochen eine geeignete Liegenschaft mit unserem Lösungskonzept testen. Aus den Ergebnissen leiten wir eine fundierte Kosten- sowie Aufwand-Nutzen-Basis für den späteren Gesamtrollout der KRITIS-Maßnahmen ab.

FAQs rund um das KRITIS-Dachgesetz

Beide Regelwerke decken zehn kritische Sektoren ab, darunter Energie, Transport & Verkehr, Finanzwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung, Weltraum und Ernährung. Diese Sektoren orientieren sich an den Grundlagen der CER-Richtlinie. 

Nein. Ein Unternehmen wird erst dann als KRITIS-Betreiber eingestuft, wenn es bestimmte Schwellenwerte erfüllt, die die Bedeutung der Anlage für die Versorgungssicherheit definieren. 

  • Die Betreiber müssen eine Selbsteinschätzung auf Basis der BSI-Kritisverordnung vornehmen.
  • Die finale Prüfung erfolgt häufig durch ein KRITIS-Audit (Auditor/Prüfer), das gesetzlich alle zwei Jahre vorgeschrieben ist.  

  • Versorgungsgrad: Kritisch ist eine Anlage typischerweise dann, wenn ihr Ausfall mehr als 500.000 Menschen betreffen würde. Dieser von vielen Bundesländern und des Deutschen Städtetages als zu hoch kritisierte Regelschwellwert ist in einer Protokollerklärung der Bundesregierung bereits zur Überprüfung im weiteren Verfahren angekündigt worden. Weiterhin können kritische Anlagen, für die Länderbehörden zuständig sind, nach eigenen Kriterien der Bundesländer zusätzlich als Unternehmen erfasst werden.
  • Technische Grenzwerte: Dazu gehören z. B. Megawatt Leistung (Strom), Kubikmeter Kapazität (Wasser) oder Standortkriterien (Rechenzentren). Diese sind in der BSI-KRITIS-Verordnung definiert. 

CER betrachtet nicht nur technische Anlagen, sondern auch „kritische Einrichtungen“, deren Dienstleistungen für das Gemeinwesen essenziell sind – etwa Verwaltung, Labore oder Teile der Logistik. Damit können auch Unternehmen ohne klassische Anlagen KRITIS-relevant werden. 

Das Dachgesetz schafft erstmals bundeseinheitliche Mindeststandards für die physische Sicherheit kritischer Infrastrukturen in Deutschland – ergänzt um Meldepflichten, Risikoanalysen, Resilienzpläne und Aufsicht durch BBK/BSI. 

Laut BMI liegt die Verantwortung grundsätzlich beim Betreiber selbst, unabhängig davon, ob die Einrichtung staatlich oder privat geführt wird. 

Zentrale Pflichten wie Registrierung, Risikoanalyse, Schutzmaßnahmen und Meldewesen treten nach aktuellem Stand ab Mitte 2026 in Kraft. Für die Registrierung kritischer Anlagen gilt die Frist: spätestens 17. Juli 2026.

Das KRITIS-Dachgesetz schafft keine eigene Haftungsnorm für Geschäftsleiter. Wer Pflichten wie Risikoanalyse, Resilienzplan, Meldeketten oder Schutzmaßnahmen unzureichend organisiert, riskiert jedoch persönliche Haftung nach § 43 GmbHG / § 93 AktG (Organisations/Aufsichtsverschulden). 

Die EU CER-Richtlinie (Critical Entities Resilience Directive, Richtlinie (EU) 2022/2557) ist ein europäisches Gesetz, das am 16. Januar 2023 in Kraft getreten ist. Ihr Ziel: Die Widerstandsfähigkeit (Resilienz) sogenannter kritischer Einrichtungen in der EU deutlich zu stärken sowie Risikoanalysen, Resilienzmaßnahmen und das Meldewesen zu verbessern. CER-Richtlinie: Neue Pflichten für kritische Infrastrukturen

Sprechen Sie uns gerne an

Stephan Ursuleac
Lead Business Development Safety & Defense

Portrait von Ansprechpartner Robert Stricker

Robert Stricker
Abteilungsleiter Security Consulting