Physische Zutrittskontrolle für kritische Infrastrukturen

Das KRITIS-Dachgesetz regelt bundesweit einheitliche Mindestanforderungen an die physische Resilienz kritischer Anlagen, also an ihren Schutz vor Naturgefahren, Sabotage, Terrorismus und menschlichem Versagen. Betreiber kritischer Anlagen müssen sich registrieren, Risiken bewerten, Resilienzmaßnahmen in einem Resilienzplan festhalten und erhebliche Vorfälle melden. Das Gesetz setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um, zuständig ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).

Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Die Pflichten für Betreiber greifen gestaffelt: Auf die Registrierung folgen Fristen für die Risikoanalyse und für die Umsetzung der Resilienzmaßnahmen.

Zu KRITIS zählen Anlagen und Einrichtungen, deren Ausfall die Versorgung der Bevölkerung erheblich beeinträchtigen würde, etwa Kraftwerke, Wasserwerke, Krankenhäuser, Rechenzentren, Verkehrsknoten oder Lebensmittelbetriebe. Rechtlich maßgeblich sind die zehn Sektoren des KRITIS-Dachgesetzes.

Ein KRITIS-Betreiber ist ein Unternehmen oder eine Einrichtung, die bestimmenden Einfluss auf Beschaffenheit und Betrieb einer kritischen Anlage hat. Betreiber kritischer Anlagen unterliegen den Pflichten des KRITIS-Dachgesetzes und gelten nach NIS2 zusätzlich als besonders wichtige Einrichtungen.

Das KRITIS-Dachgesetz schreibt keinen festen Maßnahmenkatalog vor, sondern verlangt risikobasierte und verhältnismäßige Maßnahmen auf Grundlage der eigenen Risikoanalyse. Als Beispiele nennt § 13 unter anderem Liegenschaftsabgrenzungen, Instrumente zur Überwachung der Umgebung, Detektionsgeräte und Zugangskontrollen. Betreiber dokumentieren die gewählten Maßnahmen in ihrem Resilienzplan.

Physische Sicherheit umfasst alle baulichen, technischen und organisatorischen Maßnahmen, die Gelände, Gebäude und Anlagen vor unbefugtem Zutritt, Sabotage und Beschädigung schützen. Sie ist ein zentrales KRITIS-Thema, weil viele Risiken nicht digital beginnen: Wer physisch Zugang zu Technik, IT oder kritischen Bereichen hat, kann Systeme manipulieren oder den Betrieb stören, unabhängig von IT-Schutzmaßnahmen.

Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Anlagen, die NIS2-Richtlinie die Cybersicherheit von Netz- und Informationssystemen. Beim Zutritt ergänzen sich beide Regelwerke: Das KRITIS-Dachgesetz schützt Gelände und Gebäude, NIS2 die physische Umgebung von IT-Systemen.

Ein Unternehmen gehört zu KRITIS, wenn es in einem der zehn KRITIS-Sektoren eine Anlage betreibt, die den gesetzlichen Schwellenwert überschreitet. Der Regelschwellenwert liegt bei 500.000 versorgten Personen, für einzelne Anlagenarten wie Krankenhäuser gelten eigene Werte. Ob das eigene Unternehmen betroffen ist, lässt sich über die offizielle Betroffenheitsprüfung des Bundes klären.

Resilienz bedeutet im KRITIS-Kontext, dass kritische Dienste auch bei Ausfällen, Sabotage oder Notfällen funktionsfähig bleiben. Zutrittssysteme müssen Fehlfunktionen erkennen, definierte Sicherheitszustände einnehmen und kontrollierten Betrieb ermöglichen.

Das KRITIS-Dachgesetz schreibt keine lückenlose Protokollierung jedes Zutritts vor, Betreiber müssen ihre Schutzmaßnahmen aber dokumentieren und nachweisen können. Revisionssichere Zutrittsprotokolle sind dafür ein wirksames Mittel, besonders für hochkritische Zonen. Art und Umfang der Protokollierung richten sich nach dem Schutzbedarf und den Vorgaben des Datenschutzes.

Ja. Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen, ihre Risikoanalyse mindestens alle vier Jahre zu wiederholen und ihre Resilienzmaßnahmen anzupassen. Regelmäßige Überprüfungen zeigen, ob neue Angriffsvektoren, geänderte Nutzungen oder technische Alterung zusätzliche Maßnahmen erfordern. Nachweise über Wartung, Updates und Ereignisse sind zentral für Audits und Prüfungen.

KRITIS-Betreiber beginnen am besten mit einer Bestandsaufnahme der Zutrittsarchitektur und einer Risiko- und Zonenanalyse. Darauf folgen die Planung der Zutrittspunkte, die Bewertung von Perimeter- und Fluchtweglösungen und ein Servicekonzept für Updates und Wartung. dormakaba begleitet Betreiber von der Analyse bis zur Umsetzung.