{"id":13662,"date":"2026-07-16T16:16:37","date_gmt":"2026-07-16T06:16:37","guid":{"rendered":"https:\/\/stagingapp20309.cloudwayssites.com\/?p=13662"},"modified":"2026-09-18T21:35:31","modified_gmt":"2026-09-18T11:35:31","slug":"kritis-dachgesetz-zutrittskontrolle","status":"publish","type":"post","link":"https:\/\/stagingapp20309.cloudwayssites.com\/de\/kritis-umbrella-act-evidence\/","title":{"rendered":"KRITIS-Dachgesetz: Der physische Schutz ist jetzt Pflicht. Entscheidend ist der Nachweis."},"content":{"rendered":"

Das KRITIS-Dachgesetz ist seit M\u00e4rz 2026 in Kraft und macht den angemessenen physischen Schutz kritischer Anlagen zur Pflicht. Das Gesetz nennt die Kontrolle des Zutritts als eine der Ma\u00dfnahmen. Wer Schl\u00fcssel ausgibt und zur\u00fccknimmt, sollte das l\u00fcckenlos belegen k\u00f6nnen.<\/em><\/p>\n\n\n\n

<\/div>\n\n\n\n

Das Gesetz ist in Kraft, nicht erst angek\u00fcndigt<\/strong>. Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, ohne \u00dcbergangsfrist; die Registrierungsfrist der ersten Betroffenen lief am 6. M\u00e4rz 2026 aus. Die physische Seite regelt seit dem 17. M\u00e4rz 2026 das KRITIS-Dachgesetz. F\u00fcr den einzelnen Betreiber greifen die Pflichten mit seiner Registrierung. F\u00fcr Betreiber hei\u00dft das, den Schutz nicht nur einzurichten, sondern belegen zu k\u00f6nnen. Daran entscheidet sich, ob der Betreiber die Aufzeichnungen sofort vorlegen kann oder erst suchen muss.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Zwei Gesetze, eine Plattform<\/h2>\n\n\n\n

NIS-2 regelt die Cybersicherheit, das Dachgesetz den physischen Schutz. Beide laufen \u00fcber eine gemeinsame Registrierungsplattform von BSI und BBK. Es bleiben zwei getrennte Regime. Wer die NIS-2-Registrierung hinter sich hat, f\u00fcr den ist das Dachgesetz die physische H\u00e4lfte desselben Programms.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Was \u00a7 13 verlangt<\/h2>\n\n\n\n

Der Kern steht in \u00a7 13 KRITISDachG<\/a>. Verpflichtend ist das Ziel, ein angemessener physischer Schutz der Liegenschaften und Anlagen. Das Wie nennt das Gesetz nur als Beispiele, nicht als starre Vorgabe. Dazu z\u00e4hlt \u201eZugangskontrollen\u201d, also die Kontrolle des physischen Zutritts. Eine bestimmte Technik schreibt es nicht vor, einen Austausch der Schlie\u00dftechnik verlangt es nicht. Verlangt ist eine dokumentierte, verh\u00e4ltnism\u00e4\u00dfige Entscheidung, die zur Anlage passt. Genannt wird auch ein Sicherheitsmanagement f\u00fcr Mitarbeitende und externe Dienstleister. Wer darf welche T\u00fcr \u00f6ffnen, und wurde der Schl\u00fcssel bei Austritt zur\u00fcckgegeben.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Der Pr\u00fcfungsmoment<\/h2>\n\n\n\n

Kommt die Aufsicht, muss der Betreiber Zutritt zu den R\u00e4umen und Einsicht in Systeme und Aufzeichnungen gew\u00e4hren (\u00a7 16). Die Durchsetzung l\u00e4uft \u00fcber die Pr\u00fcfung, nicht \u00fcber ein Bu\u00dfgeld f\u00fcr den Plan selbst. Eine saubere Ausgabe- und R\u00fcckgabehistorie liegt bei der Pr\u00fcfung sofort vor.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Die Uhr l\u00e4uft ab der Registrierung<\/h2>\n\n\n\n

Eine Registrierungspflicht besteht bisher nicht. Ein Betreiber registriert seine Anlage sp\u00e4testens drei Monate, nachdem sie als kritische Anlage gilt (\u00a7 8). Welche Anlagen das sind, legt eine Rechtsverordnung fest, die noch nicht erlassen ist (\u00a7 5). Ist eine Anlage registriert, laufen die Fristen:<\/p>\n\n\n\n