Kritis Resilienzpflichten

/kritis-resilienz:kritis-resilienzpflichten

Zweck

Der Skill erstellt und prüft die materielle Compliance unter dem KRITIS-Dachgesetz: Risikoanalyse, Resilienzplan, Maßnahmenauswahl und Nachweisführung. Sein Schwerpunkt liegt auf dem All-Gefahren-Ansatz — anders als NIS2 erfasst das Dachgesetz Sabotage, Naturgefahren, technisches Versagen, Zutritt und Personal — und auf dem Verhältnismäßigkeitsmaßstab, der die einzige echte Begrenzung der Pflichten darstellt.

Eingaben

• Registrierte kritische Anlage(n) und die erbrachte kritische Dienstleistung
• Vorliegende nationale Risikoanalysen und Risikobewertungen nach § 11
• Eigene Risikoanalyse nach § 12: Stand, Methodik, Datum
• Bestehende Schutzkonzepte: Zutrittskontrolle, Perimeterschutz, Notstrom, Redundanzen, Notfall- und Wiederanlaufplanung, Personalsicherheit
• Bereits vorhandene Zertifizierungen und Audits (ISO 27001, ISO 22301, branchenspezifische Nachweise, B3S)
• Behördliche Anordnungen, Auditverlangen oder Fristsetzungen nach § 16
• Ob eine Bereichsausnahme nach § 4 Abs. 2 greift

Sub-Agent-Architektur

Der Researcher beschafft KRITIS-DachG, die Verordnungen nach §§ 11, 14, die RL (EU) 2022/2557, etwaige Durchführungsrechtsakte der Kommission und die Verlautbarungen des BBK. Der Drafter strukturiert Risikoanalyse und Resilienzplan entlang der vier Ziele des § 13 Abs. 1 und formuliert die Verhältnismäßigkeitsbegründung. Der Reviewer prüft, ob jede Maßnahme einem Ziel zugeordnet ist, ob die Zweck-Mittel-Relation belegt ist und ob Nachweise nach § 17 gleichwertig angerechnet werden können.

Ablauf

1. Anwendbarkeit der Pflichten klären

Die §§ 12 bis 16 gehören zu den Vorschriften, die nach § 4 Abs. 2 KRITISDachG für bestimmte Betreiber nicht gelten — insbesondere für DORA-Finanzunternehmen und für den Sektor Informationstechnik und Telekommunikation; im Sektor Siedlungsabfallentsorgung bleibt § 12 anwendbar. Die Prüfung erfolgt vor jeder inhaltlichen Arbeit (/kritis-resilienz:kritis-anwendungsbereich-registrierung).

2. Risikoanalyse des Betreibers (§ 12 KRITISDachG)

Der Betreiber führt eine eigene Risikoanalyse und Risikobewertung durch. Sie baut auf den nationalen Risikoanalysen und Risikobewertungen nach § 11 KRITISDachG auf, die das Bundesministerium des Innern mit dem BBK erstellt.

Inhaltlich zu erfassen sind alle Gefahrenarten des All-Gefahren-Ansatzes:

Die Analyse ist zu dokumentieren und fortzuschreiben; sie ist zugleich die Begründungsgrundlage für die Verhältnismäßigkeit der gewählten Maßnahmen.

3. Resilienzpflichten und Resilienzplan (§ 13 KRITISDachG)

Nach § 13 Abs. 1 hat der Betreiber Maßnahmen zu treffen, um

1. das Auftreten von Vorfällen zu verhindern,
2. einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen zu gewährleisten,
3. auf Vorfälle zu reagieren, sie abzuwehren und die negativen Auswirkungen zu begrenzen, und
4. nach Vorfällen die zügige Wiederherstellung der kritischen Dienstleistung zu gewährleisten.

Jede Maßnahme des Resilienzplans wird genau einem dieser vier Ziele zugeordnet. Ein Plan, der Maßnahmen nur aufzählt, ist gegenüber der Behörde nicht verteidigungsfähig.

Maßstab (§ 13 Abs. 2): Auf Grundlage der nationalen Analysen und der eigenen Analyse nach § 12 sind verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen. Der Stand der Technik soll eingehalten werden. Es ist ein Verhältnismäßigkeitsmaßstab anzulegen und eine Zweck-Mittel-Relation zu bilden, bei der insbesondere der Aufwand zur Verhinderung oder Begrenzung ins Verhältnis zu setzen ist.

Praktisch heißt das: Der Plan dokumentiert je Maßnahme Risiko → Ziel nach Abs. 1 → Maßnahme → Aufwand → Restrisiko. Wo eine an sich mögliche Maßnahme unterbleibt, wird die Zweck-Mittel-Relation ausdrücklich begründet — das ist die einzige belastbare Verteidigung gegen eine spätere Anordnung.

4. Mindestanforderungen und Unionsrecht (§ 14 KRITISDachG, § 15 KRITISDachG)

• § 14 — sektorenübergreifende und sektorspezifische Mindestanforderungen, näher bestimmt durch Rechtsverordnung; sie sind der Boden, nicht die Decke der Pflichten [unverifiziert – prüfen] hinsichtlich der geltenden Fassung.
• § 15 — Vorrang von Durchführungsrechtsakten der Europäischen Kommission. Erlässt die Kommission zu einem Bereich einen Durchführungsrechtsakt, geht dieser vor. Vor jeder Maßnahmenplanung ist zu prüfen, ob ein solcher Rechtsakt existiert.

5. Nachweise, Audits und Anordnungen (§ 16 KRITISDachG, § 17 KRITISDachG)

§ 16 regelt die Nachweisführung und die behördlichen Anordnungen. Praxisrelevant sind:

• die Pflicht, die Erfüllung der Resilienzpflichten auf Verlangen nachzuweisen;
• Anordnungen der zuständigen Behörde nach Abs. 2 und Abs. 3 sowie Abs. 5 — sie sind vollziehbar und nach § 24 Abs. 1 Nr. 2 bußgeldbewehrt;
• Audits: Das Ergebnis eines Audits ist nach Abs. 3 S. 3 zu übermitteln; die unterlassene, unrichtige, unvollständige oder verspätete Übermittlung ist nach § 24 Abs. 1 Nr. 3 mit bis zu 500.000 EUR bewehrt;
• Betretens- und Auskunftsrechte nach Abs. 4 S. 3, deren Verweigerung nach § 24 Abs. 1 Nr. 4 bewehrt ist.

§ 17 — Gleichwertigkeit von Nachweisen. Bereits vorhandene Nachweise und sonstige öffentlich-rechtliche Anforderungen können als gleichwertig anerkannt werden. Das ist der Hebel, um bestehende Zertifizierungen und branchenspezifische Sicherheitsstandards nicht doppelt zu erarbeiten — die Gleichwertigkeit ist jedoch darzulegen, nicht zu behaupten, und deckt regelmäßig nur einen Teil der vier Ziele des § 13 Abs. 1 ab. Insbesondere decken cybersicherheitsbezogene Zertifizierungen den physischen Schutz nach Abs. 1 Nr. 2 typischerweise nicht ab.

Flankierend: § 6 (sonstige Resilienzregelungen und Resilienzmaßnahmen) und § 19 (Unterstützung der Betreiber, freiwillige Angebote).

6. Rechtsschutz

Anordnungen nach § 16 sind Verwaltungsakte. Es gelten Anhörung nach § 28 VwVfG, Begründung nach § 39 VwVfG, Widerspruch und Anfechtungsklage nach §§ 68 ff., § 42 VwGO — soweit das Vorverfahren landesrechtlich noch vorgesehen ist [unverifiziert – prüfen] — sowie bei Sofortvollzug der Antrag nach § 80 Abs. 5 VwGO. Der Ausnahmebescheid nach § 22 ist der förmliche Weg, einzelne Pflichten abzubedingen.

Deterministische Berechnung

Der Rechner in ../../../scripts/legal_calc/ macht nur die Arithmetik; Risikobewertung und Zweck-Mittel-Relation bleiben juristische und fachliche Eingaben:

# Behördliche Fristsetzung zur Nachweisvorlage nach § 16
python -m scripts.legal_calc.cli frist --ereignis 02.06.2026 --menge 6 --einheit wochen --land BY

# Widerspruchsfrist § 70 VwGO gegen eine Anordnung nach § 16
python -m scripts.legal_calc.cli frist --ereignis 02.06.2026 --menge 1 --einheit monate --land BY

# Turnus der Fortschreibung von Risikoanalyse und Resilienzplan
python -m scripts.legal_calc.cli frist --ereignis 01.09.2026 --menge 2 --einheit jahre --land BY

Quellen

Statute

• § 4 KRITISDachG, § 6, § 11, § 12, § 13, § 14, § 15, § 16, § 17, § 19, § 22, § 24 KRITISDachG
• Richtlinie (EU) 2022/2557, insbesondere Art. 12 bis 14 — EUR-Lex
• § 28 VwVfG, § 39 VwVfG, § 42 VwGO, § 68 VwGO, § 70 VwGO, § 80 VwGO
• Rechtsverordnungen nach §§ 11, 14 KRITISDachG [unverifiziert – prüfen]

Kommentare und Literatur

• Kommentierungen zum KRITIS-Dachgesetz (Erscheinungsstand prüfen) [unverifiziert – prüfen]
• Gitter/Kipker, IT-Sicherheitsrecht (Abgrenzung physische Resilienz / Cybersicherheit).
• BBK, Handreichungen und FAQ zur Umsetzung des KRITIS-Dachgesetzes.
• Branchenspezifische Sicherheitsstandards (B3S) als möglicher Gleichwertigkeitsnachweis nach § 17.

Rechtsprechung

Zum KRITIS-Dachgesetz liegt keine Rechtsprechung vor. Für Anordnungen, Verhältnismäßigkeit und Sofortvollzug ist auf die allgemeine verwaltungsgerichtliche Judikatur zurückzugreifen; jede Entscheidung ist vor Verwendung in juris oder Beck-Online zu verifizieren [unverifiziert – prüfen].

Ausgabeformat

KRITIS-RESILIENZ — <Betreiber / Anlage> — <Datum>

I.   Anwendbarkeit
     Bereichsausnahme § 4 Abs. 2: [greift für §§ … / greift nicht]
     Durchführungsrechtsakt § 15: [vorhanden — geht vor / keiner]

II.  Risikoanalyse § 12
     Nationale Analysen § 11 herangezogen: [ja / nein]
     Gefahrenkategorien:      vorsätzlich | Naturgefahren | Versagen | Abhängigkeiten | Kaskaden
     Stand / Datum:           <…>   Fortschreibung: <Turnus>

III. Resilienzplan § 13
     Ziel Abs. 1 Nr. 1 Verhinderung:      <Maßnahmen>
     Ziel Abs. 1 Nr. 2 physischer Schutz: <Maßnahmen>
     Ziel Abs. 1 Nr. 3 Reaktion/Begrenzung: <Maßnahmen>
     Ziel Abs. 1 Nr. 4 Wiederherstellung: <Maßnahmen>
     Je Maßnahme: Risiko → Ziel → Maßnahme → Aufwand → Restrisiko
     Stand der Technik Abs. 2:            [eingehalten / begründet abgewichen]
     Zweck-Mittel-Relation:               <Begründung, auch für unterlassene Maßnahmen>

IV.  Mindestanforderungen § 14
     Sektorenübergreifend:    <erfüllt / Lücke>
     Sektorspezifisch:        <erfüllt / Lücke>

V.   Nachweise §§ 16, 17
     Nachweisverlangen:       <Datum, Frist bis <Datum>>
     Audit-Ergebnis übermittelt (§ 16 Abs. 3 S. 3): [ja / offen — 500.000 EUR Risiko]
     Gleichwertigkeit § 17:   <ISO 27001 / ISO 22301 / B3S — welche Ziele gedeckt?>
     Nicht gedeckt:           <regelmäßig der physische Schutz nach Abs. 1 Nr. 2>

VI.  Behördliche Anordnungen und Rechtsschutz
     Anordnung nach § 16 Abs. <…> vom <Datum>
     Anhörung § 28 VwVfG:     [erfolgt / unterblieben]
     Rechtsbehelf:            Frist bis <Datum>; Sofortvollzug: [angeordnet / nein]
     Ausnahmebescheid § 22:   [beantragt / nicht einschlägig]

VII. Bußgeldrisiko § 24
     Nr. 2 lit. a Anordnung:  bis 1.000.000 EUR
     Nr. 3 Audit-Ergebnis:    bis 500.000 EUR
     Nr. 2 lit. b:            bis 200.000 EUR
     übrige:                  bis 100.000 EUR

VIII.Risiko: 🟢 / 🟡 / 🔴 <Begründung>
IX.  Quellenverzeichnis

Risiken / typische Fehler

• Cyber-Zertifizierung als Resilienznachweis vorgelegt. ISO 27001 und vergleichbare Nachweise decken den physischen Schutz nach § 13 Abs. 1 Nr. 2 regelmäßig nicht ab; § 17 verlangt die Darlegung der Gleichwertigkeit.
• Maßnahmen ohne Zuordnung zu den vier Zielen des § 13 Abs. 1 aufgelistet.
• Verhältnismäßigkeit behauptet statt gerechnet. § 13 Abs. 2 verlangt eine ausdrückliche Zweck-Mittel-Relation, insbesondere für unterlassene Maßnahmen.
• Nationale Risikoanalysen nach § 11 nicht herangezogen — sie sind Grundlage der eigenen Analyse nach § 12.
• Durchführungsrechtsakte der Kommission übersehen. § 15 ordnet ihren Vorrang an.
• Audit-Ergebnis nicht übermittelt. § 16 Abs. 3 S. 3 verlangt es; § 24 Abs. 1 Nr. 3 bewehrt den Verstoß mit bis zu 500.000 EUR.
• Bereichsausnahme des § 4 Abs. 2 nicht geprüft, bevor ein vollständiger Resilienzplan erarbeitet wird.
• All-Gefahren-Ansatz auf Sabotage verengt. Naturgefahren, technisches Versagen, Abhängigkeiten und Kaskadeneffekte gehören dazu.
• Rechtsprechung erfunden. Zum KRITIS-DachG gibt es keine; jede Entscheidung ist zu belegen oder als [unverifiziert – prüfen] zu kennzeichnen.