Neues KRITIS-Gesetz in Kraft – doch die Umsetzung stockt bei Betreibern
Lotta Schulte
Neues KRITIS-Gesetz in Kraft – doch die Umsetzung stockt bei Betreibern
Deutschland führt Kritische-Infrastrukturen-Schutzgesetz ein – doch die Umsetzung hinkt hinterher
Am 10. September 2025 trat in Deutschland das Kritische-Infrastrukturen-Schutzgesetz (KRITIS-Dachgesetz) in Kraft, um die Sicherheit lebenswichtiger Dienstleistungen zu stärken. Das Gesetz verpflichtet Betreiber essenzieller Systeme, physische Schutzmaßnahmen und Resilienzpläne umzusetzen. Doch Experten warnen vor einer Kluft zwischen gesetzlichen Vorgaben und der praktischen Umsetzung – besonders bei kleineren Unternehmen.
Das Gesetz sieht einen dreistufigen Prozess zur Einhaltung vor: Zunächst müssen Unternehmen kritische Bereiche in ihren Abläufen identifizieren. Anschließend folgt eine detaillierte Risikoanalyse möglicher Bedrohungen. Abschließend entwickeln sie eine Schutzstrategie, die technische, organisatorische und personelle Maßnahmen umfasst.
Allerdings fehlen klare Umsetzungsrichtlinien, was viele Betriebe verunsichert zurücklässt. Markus Weidenauer, Geschäftsführer der SecCon Group, verweist auf die Diskrepanz zwischen politischem Willen und praktischer Anwendung. Er betont, dass zahlreiche lokal bedeutende Infrastrukturen nicht unter das Gesetz fallen – und so Sicherheitslücken entstehen.
Gleichzeitig werden die Angriffe auf diese Systeme immer ausgefeilter. Oft stecken staatliche Akteure dahinter, die Attacken minutiös planen und über lange Zeiträume hin ausführen. Trotz dieser Bedrohung setzt Deutschland nur selten auf verdeckte Sicherheitsaufklärung – etwa durch Undercover-Ermittler –, um frühe Warnsignale zu erkennen.
Rund 30.000 Unternehmen aus 18 Sektoren unterliegen seit Ende 2025 verschärften Cybersecurity-Regeln durch die NIS-2-Richtlinie. Besonders gefährdet sind Branchen wie Energie, Wasser, Telekommunikation und Verkehr. Vor allem kleine und mittlere Unternehmen (KMU) kämpfen mit den neuen Anforderungen.
Cashback bei deinen
Lieblingsrestaurants und Services
Kaufe Gutscheine und spare in deinen Lieblingsorten in deiner Nähe
Das KRITIS-Dachgesetz definiert zwar Pflichten für Betreiber kritischer Infrastrukturen, doch seine allgemeine Formulierung lässt Spielraum für Auslegungen. Ohne präzise Vorgaben fällt die Umsetzung kleineren Firmen besonders schwer. Zudem führt das Vertrauen auf Eigeninitiative statt auf systematische Kontrollen zu Lücken in der nationalen Sicherheit.
