Verantwortung als KRITIS-Betreiber erfüllen und Resilienz wirksam aufbauen
Sicherheit. Organisation. Handlungsfähigkeit
Als KRITIS-Betreiber tragen Sie Verantwortung für Systeme, die Staat und Gesellschaft am Laufen halten. Das KRITIS-Dachgesetz und das NIS2-Umsetzungsgesetz stellen klare Anforderungen. Wir unterstützen Sie dabei, beide Regelwerke pragmatisch und nachweisbar umzusetzen.
Was Sie als KRITIS-Betreiber heute leisten müssen
Das KRITIS-Dachgesetz verpflichtet KRITIS-Betreiber zu Risikoanalysen, physischen Schutzmaßnahmen und einem dokumentierten Resilienzplan. Als kritische Anlage gilt, wer mehr als 500.000 Personen mit einer wesentlichen Dienstleistung versorgt. Das bedeutet in der Praxis: klare Verantwortlichkeiten, eine funktionierende Krisenorganisation und Strukturen, die den Ernstfall auffangen.
In vielen Unternehmen ist das Grundgerüst bereits vorhanden. Notfallpläne existieren und Verantwortliche sind benannt. Die eigentliche Lücke liegt häufig woanders: Szenarien wurden nie geübt, die Rollen der Beteiligten sind unklar oder Nachweise fehlen. Wir helfen Ihnen, genau diese Lücken zu schließen.
Aktuelle Fristen für KRITIS-Betreiber (KRITISDachG)
- Registrierung beim BBK: bis 17. Juli 2026 (§8 KRITISDachG)
- Erste Risikoanalyse: innerhalb von 9 Monaten nach Registrierung, danach erfolgt eine Wiederholung alle 4 Jahre
- Resilienzplan mit physischen Schutzmaßnahmen: Erstellung und Umsetzung spätestens 10 Monate nach Registrierung
- Meldepflicht bei Störungen gegenüber BBK und Aufsichtsbehörde (§18 KRITISDachG)
NIS2 und KRITIS: zwei Regelwerke, eine Organisation
ls KRITIS-Betreiber gelten Sie automatisch als besonders wichtige Einrichtung nach NIS2
und müssen beide Regelwerke erfüllen. Das KRITIS-Dachgesetz regelt die physische
Resilienz Ihrer Anlage. Das NIS2-Umsetzungsgesetz regelt die Informationssicherheit
Ihres Unternehmens mit persönlicher Haftung der Geschäftsleitung nach §38 BSIG.
Viele KRITIS-Betreiber wissen, dass sie NIS2-pflichtig sind, aber nicht genau,
wo
sie bei der Umsetzung der zehn Risikomanagementmaßnahmen nach §30 BSIG aktuell stehen
und was noch fehlt. Genau das klären wir in einer strukturierten NIS2-Gap-Analyse.
Wo stehen Sie bei der NIS2-Umsetzung?
Wir führen mit Ihnen eine NIS2-Gap-Analyse durch:
- Was ist bereits umgesetzt?
- Wo bestehen noch Lücken?
- Was ist als nächstes zu tun?
Typische Herausforderungen in der Praxis
KRITIS-Betreiber, die zu uns kommen, beschreiben ähnliche Situationen. Kommt Ihnen das bekannt vor?
- Notfallpläne und Sicherheitskonzepte existieren, wurden aber nie unter realistischen Bedingungen geübt.
- Verantwortlichkeiten sind auf dem Papier verteilt, aber im Ernstfall weiß niemand sofort, wer was entscheidet.
- Betrieb, Arbeitsschutz, Compliance und Kommunikation arbeiten getrennt voneinander – ohne gemeinsame Krisenstruktur.
- Risiken sind bekannt, aber Prioritäten und Wirksamkeitsnachweise fehlen.
- Die Geschäftsführung erwartet belastbare Nachweise, die Revision und Behörden ebenfalls.
Unsere Leistungen für KRITIS-Betreiber
- Risikoanalysen und Bedrohungsbewertung
Wir analysieren physische, organisatorische und betriebliche Risiken systematisch und priorisiert. Das Ergebnis ist ein belastbares Lagebild als Grundlage für Ihren Resilienzplan gemäß §13 KRITISDachG. - Physische Sicherheitskonzepte und Schutzstrategien
Zutrittskontrolle, Sicherung sensibler Bereiche, physische Schutzmaßnahmen: Wir entwickeln Konzepte, die zum tatsächlichen Risiko passen. Kein Standard von der Stange, sondern ein Konzept, das Ihren Betrieb kennt. - Sicherheitsorganisation und Verantwortlichkeiten
Klare Rollen, Eskalationswege, Meldeketten und eine prüffähige Dokumentation. So wird Sicherheit zur steuerbaren Aufgabe und nicht zum Thema, das zwischen den Abteilungen verloren geht. - Notfall- und Krisenmanagement
Notfallmanagement bedeutet mehr als ein Dokument im Ordner: Alarmierungswege, Handlungsanweisungen, Lageorganisation und klare Entscheidungsstrukturen. Wir bauen das so auf, dass Ihre Organisation im Ernstfall sofort handlungsfähig ist und nicht erst nach einer langen Suche nach dem richtigen Ansprechpartner. - Räumungs- und Evakuierungskonzepte
Flucht- und Rettungswege, Alarmierung, Sammelstellen und Schnittstellen zu Feuerwehr und Arbeitsschutz, integriert in Ihre Gesamtorganisation. So entstehen keine Parallelstrukturen, sondern ein funktionierendes Gesamtsystem. - Übungen und Szenarientrainings
Ein Plan wird erst belastbar, wenn er geübt wurde. Wir konzipieren und begleiten realistische Krisenübungen – von der einfachen Alarmierungsprobe bis zur vollständigen Stabsübung. Danach erhalten Sie eine schriftliche Auswertung mit konkretem Maßnahmenplan. - Auditvorbereitung und Nachweisfähigkeit
securo consulting führt keine KRITIS-Audits durch. Wir bereiten KRITIS-Betreiber gezielt auf Prüfungen und Audit-Situationen vor: Organisation, Dokumentation und Wirksamkeitsnachweise werden so aufgestellt, dass sie jeder Prüfung standhalten. - NIS2-Gap-Analyse
Wir führen mit Ihnen eine NIS2-Gap-Analyse durch: eine strukturierte Bestandsaufnahme der Risikomanagementmaßnahmen nach §30 BSIG. Sie erfahren, was bereits umgesetzt ist, wo Lücken bestehen und was als nächstes zu tun ist. Die organisatorischen und physischen Maßnahmen übernehmen wir. Bei den IT-technischen Maßnahmen arbeiten wir mit unserem IT-Sicherheitspartner zusammen.
Unser Vorgehen in drei Schritten
- Lagebild erstellen
Gemeinsam schaffen wir ein ehrliches Bild Ihrer Sicherheitsorganisation, Dokumentation und Krisenbereitschaft. Ohne Beschönigung. - Konzept und Prioritäten
Auf Basis des Lagebilds entwickeln wir einen priorisierten Maßnahmenplan. Was ist dringend? Was kann warten? Was bringt den größten Effekt? - Umsetzung und Prüfung
Wir begleiten die Implementierung, trainieren Ihre Teams und prüfen die Wirksamkeit. Das Ergebnis: eine nachweisbare Sicherheitsorganisation.
Fragen Sie unverbindlich ein kostenloses Erstgespräch an.
Häufige Fragen – KRITIS-Betreiber
Führen Sie KRITIS-Audits durch?
Nein. Wir bereiten KRITIS-Betreiber auf Nachweise, Prüfungen und Audit-Situationen vor, führen aber selbst keine Audits durch. Dokumentation und Maßnahmen werden so aufbereitet, dass sie jeder Prüfung standhalten.
Welche Pflichten habe ich als KRITIS-Betreiber nach dem KRITIS-Dachgesetz?
Zu den zentralen Pflichten gehören: Registrierung beim BBK (§8 KRITISDachG), Risikoanalyse erstmals neun Monate nach Registrierung (§12 KRITISDachG) und zehn Monate nach Registrierung Resilienzplan mit konkreten Schutzmaßnahmen (§13 KRITISDachG) sowie Meldepflichten bei erheblichen Störungen (§18 KRITIS DachG). Die Geschäftsleitung trägt dabei eine persönliche Überwachungspflicht für die Umsetzung der Resilienzmaßnahmen (§20 KRITISDachG). Die genauen Anforderungen hängen von Sektor und Einstufung ab. Wir helfen Ihnen, den Überblick zu behalten.
Was gehört in einen Resilienzplan?
Ein Resilienzplan beschreibt Risiken, physische Schutzmaßnahmen, Verantwortlichkeiten, Notfallprozesse und Maßnahmen zur Betriebsfähigkeit. Er sollte verständlich, aktuell und im Ernstfall tatsächlich nutzbar sein.
Wie oft sollten Krisenpläne geübt werden?
Das hängt von Risiko und Betriebsgröße ab. Entscheidend ist, dass Übungen regelmäßig sowie unter realistischen Bedingungen stattfinden und ausgewertet werden. Nur so zeigen sich Lücken in Alarmierung, Lageorganisation und Entscheidungsprozessen.
Können Sie bestehende Konzepte überprüfen?
Ja. Häufig ist bereits viel vorhanden, aber nicht ausreichend verbunden, präsent oder nachweisbar dokumentiert. Wir prüfen vorhandene Konzepte und zeigen Ihnen, was fehlt und wo Sie bereits gut aufgestellt sind.
Muss ich als KRITIS-Betreiber auch NIS2 erfüllen?
Ja. Als KRITIS-Betreiber gelten Sie automatisch als besonders wichtige Einrichtung nach NIS2 und müssen beide Regelwerke erfüllen. Die relevante Frage ist nicht ob, sondern wo Sie bei der Umsetzung der Risikomanagementmaßnahmen nach §30 BSIG aktuell stehen. Das klären wir gemeinsam in einer NIS2-Gap-Analyse.
