KRITIS-Dachgesetz: Was Krankenhäuser jetzt tun müssen

• Zwei Regime, ein Haus. NIS2 (BSIG, Aufsicht BSI) regelt die digitale Sicherheit, das KRITIS-Dachgesetz die physische und organisatorische Resilienz. Kliniken oberhalb der Schwellenwerte fallen typischerweise unter beide.
• Reine IT-Sicherheitsvorfälle sind vom Meldetatbestand des KRITIS-Dachgesetzes ausgenommen – die gehen weiterhin an das BSI.
• Die Pflichten starten mit der Registrierung, nicht mit dem Inkrafttreten: Risikoanalyse nach neun, Resilienzmaßnahmen, Nachweise und Meldewesen nach zehn Monaten.
• Der Resilienzplan ist das zentrale Dokument – er muss zeigen, wie die Maßnahmen aus der eigenen Risikoanalyse abgeleitet wurden.
• Die Verantwortung liegt ausdrücklich bei der Geschäftsleitung. Gehaftet wird nach dem für die Rechtsform maßgeblichen Gesellschaftsrecht; das Gesetz schafft nur subsidiär eine eigene Haftungsnorm.

1. Was das Gesetz regelt – und was nicht

Die EU hat 2022 zwei sich ergänzende Richtlinien erlassen: NIS2 für die digitale und die CER-Richtlinie für die physische Resilienz. Deutschland hat NIS2 im BSI-Gesetz umgesetzt, die CER-Richtlinie im KRITIS-Dachgesetz. Beide Regime treffen dieselben Häuser, werden aber getrennt beaufsichtigt, getrennt nachgewiesen und getrennt sanktioniert.

Der wichtigste Satz für die Praxis: Das KRITIS-Dachgesetz ist kein zweites NIS2. Wer den Resilienzplan mit der ISMS-Dokumentation gleichsetzt, wird die Nachweisprüfung nicht bestehen – und umgekehrt genügt ein Objektschutzkonzept nicht den Anforderungen aus § 30 BSIG. Wie sich die IT-Pflichten aus BSIG und Sozialgesetzbuch zueinander verhalten, behandeln wir separat in § 391 SGB V vs. NIS2 und in Die 10 NIS2-Maßnahmen nach § 30 BSIG.

2. Ist unser Haus betroffen?

Adressat des Gesetzes ist der Betreiber einer kritischen Anlage, also einer Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist. Erfasst sind unter anderem die Sektoren Energie, Transport und Verkehr, Finanzwesen, Gesundheitswesen, Trinkwasser, Abwasser, Ernährung, IT und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung.

Als Regelgröße nennt das Gesetz die Versorgung von grundsätzlich 500.000 Einwohnern. Welche Anlagenkategorien und welche Schwellenwerte im Gesundheitswesen konkret gelten, bestimmt aber erst die KritisV. Der Referentenentwurf folgt methodisch der bisherigen BSI-Kritisverordnung und soll sie ablösen; für Krankenhäuser sieht er die Fortführung des etablierten Schwellenwerts von 30.000 vollstationären Fällen pro Jahr vor. Auch Labore, Apotheken, Arzneimittelhersteller und Hersteller von Medizinprodukten sind oberhalb eigener Schwellen erfasst.

Faustregel für die Praxis: Wer als Krankenhaus unter das BSIG fällt, sollte sich auch auf das KRITIS-Dachgesetz einstellen. Häuser knapp unterhalb der Schwelle sollten die Fallzahlentwicklung beobachten und die Vorarbeiten trotzdem leisten – die Inhalte sind unabhängig von der Einstufung fachlich sinnvoll und in Teilen bereits über § 391 SGB V und den B3S Krankenhaus gefordert.

3. Die Fristenkaskade

Die Uhr läuft nicht ab Inkrafttreten des Gesetzes, sondern ab der eigenen Registrierung. Wer spät registriert, verschiebt damit auch die Folgefristen – ohne allerdings die Ordnungswidrigkeit einer verspäteten Registrierung zu vermeiden.

Für ein Haus, das mit Inkrafttreten der Verordnung als kritisch gilt, ergibt sich daraus grob: Registrierung im Herbst, Risikoanalyse im Folgejahr, vollständige Resilienzumsetzung etwa ein Jahr nach der Registrierung. Das klingt komfortabel und ist es nicht – die Risikoanalyse ist standortbezogen, die Maßnahmen berühren Bauunterhalt und Investitionsplanung, und beides braucht Vorlaufzeit im Budgetzyklus.

4. Die Pflichten im Einzelnen

Registrierung und Kontaktstelle

Die Registrierung erfolgt elektronisch über eine gemeinsam von BBK und BSI betriebene Plattform. Verlangt werden Betreiber- und Anlagendaten, die Zuordnung zu Sektor und kritischer Dienstleistung, die maßgeblichen Werte zum Versorgungsgrad sowie eine dauerhaft erreichbare Kontaktstelle. Die Angaben sind aktuell zu halten. Wer sich nicht registriert, riskiert Auskunftsverlangen, Vorlagepflichten und im Ergebnis eine behördliche Registrierung von Amts wegen.

Risikoanalyse mit Abhängigkeitsblick

Die Analyse muss alle naturbedingten, technischen und menschlich verursachten Risiken erfassen, die die Erbringung der kritischen Dienstleistung erheblich beeinträchtigen können – einschließlich sektorübergreifender und grenzüberschreitender Szenarien. Besonderes Gewicht liegt auf wechselseitigen Abhängigkeiten: Wovon hängt das Haus ab, und wer hängt vom Haus ab? Für eine Klinik heißt das konkret: Strom, Fernwärme, Wasser, medizinische Gase, Telekommunikation, Labor- und Sterilgutdienstleister, Speisenversorgung, Wäsche, Apotheke, Abrechnungsdienstleister, IT-Betreiber und Cloud-Anbieter – jeweils mit Ausfallszenario, Vorwarnzeit und Ausweichoption. Als Bezug dienen die nationalen Risikoanalysen des Bundes.

Resilienzmaßnahmen nach § 13

§ 13 verlangt Maßnahmen, um Vorfälle zu verhindern, Anlagen und Liegenschaften angemessen physisch zu schützen, auf Vorfälle wirksam zu reagieren, Auswirkungen zu begrenzen und die kritische Dienstleistung schnellstmöglich wiederherzustellen. Die Maßnahmen sind technisch, sicherheitsbezogen und organisatorisch, sollen dem Stand der Technik entsprechen und müssen verhältnismäßig zum Risiko sein; die wirtschaftliche Leistungsfähigkeit ist ausdrücklich zu berücksichtigen. Beispielhaft genannt sind Objektschutz, Überwachung, Zutrittskontrollen, bauliche und technische Sicherungen, alternative Lieferketten, Risiko- und Krisenmanagementverfahren sowie Schulungen und Übungen.

Resilienzplan

Die Maßnahmen sind in einem Resilienzplan zu dokumentieren, aus dem die zugrunde liegenden Erwägungen und die Ableitung aus der eigenen Risikoanalyse hervorgehen. Der Plan ist kein statisches Dokument: Nach jeder Risikoanalyse und bei Bedarf ist er zu überprüfen und anzupassen. Muster und Vorlagen soll das BBK bereitstellen; verlassen sollte sich darauf niemand, der die Zehn-Monats-Frist einhalten will.

Nachweise, Audits und Mängelbeseitigung

Die Einhaltung wird risikobasiert überwacht – abhängig von Risikoexposition, Größe und möglichen Auswirkungen eines Vorfalls. Reichen die vorliegenden Nachweise nicht, kann die zuständige Behörde weitere Informationen anfordern oder Audits anordnen. Sie kann qualifizierte unabhängige Dritte einsetzen, die während der Betriebszeiten Betretens- und Informationsrechte haben, und bei Mängeln einen Mängelbeseitigungsplan sowie konkrete Maßnahmen verlangen. Praktisch bedeutet das: Rundgänge, Zutrittsereignisse, Prüf- und Wartungsnachweise, Übungsprotokolle müssen vollständig, zeitgestempelt und auswertbar vorliegen.

Meldewesen

Zu melden sind Vorfälle, die die Erbringung der kritischen Dienstleistung erheblich beeinträchtigen oder beeinträchtigen können – unverzüglich, spätestens binnen 24 Stunden, an die gemeinsame Meldestelle. Die Erstmeldung umfasst insbesondere Zahl der Betroffenen, bisherige und voraussichtliche Dauer, geografisches Ausmaß und die Frage einer räumlichen Isolierung. Reine IT-Sicherheitsvorfälle sind ausgenommen und laufen weiter über das BSIG. Ein Ereignis kann beide Meldepflichten gleichzeitig auslösen – der Incident-Prozess braucht deshalb eine Klassifikationsweiche mit zwei Uhren und zwei Adressaten.

Verantwortung der Geschäftsleitung

Die Umsetzungsverantwortung liegt ausdrücklich bei der Geschäftsleitung, die die Maßnahmen umzusetzen und die Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen hat. Bei Pflichtverletzung wird nach den für die Rechtsform geltenden gesellschaftsrechtlichen Regeln gehaftet; eine eigene Haftungsnorm greift nur, wenn das Gesellschaftsrecht keine vorsieht. Im Ergebnis bleibt es bei der bekannten Organhaftung – die verbreitete Formel von der „neuen persönlichen Haftung mit dem Privatvermögen“ ist überzeichnet.

Verstöße nach dem BSIG werden davon unabhängig verfolgt. Die Summen sind der schwächere Teil der Argumentation – der stärkere ist die Versorgungssicherheit: Ein Haus, das nach einem Trafobrand oder einer Überflutung der Technikzentrale seine Notaufnahme schließen muss, hat ein Problem, das keine Bußgeldtabelle beschreibt.

5. Bauliche und physische Anforderungen

Hier liegt der eigentliche Unterschied zu allem, was Kliniken aus der IT-Regulierung kennen – und hier ist die Erwartungshaltung oft falsch. Das Gesetz enthält keine Bauvorschriften und benennt keine Normen. Es formuliert Ziele und einen Maßnahmenkatalog und verweist auf den Stand der Technik und die Verhältnismäßigkeit. Konkretisiert wird das erst über sektorübergreifende Mindestanforderungen, sektorspezifische Vorgaben von Bund und Ländern sowie über branchenspezifische Resilienzstandards, die Betreiber und Verbände vorschlagen und die das BBK auf Antrag anerkennen kann. Für das Gesundheitswesen wäre ein anerkannter Branchenstandard – analog zum B3S Krankenhaus für die IT-Sicherheit – der pragmatischste Weg.

Bis dahin gilt: Die Handlungsfelder sind absehbar, die Tiefe ergibt sich aus der eigenen Risikoanalyse. Die folgende Übersicht ist der Prüfrahmen, mit dem sich ein Resilienzplan für ein Klinikum strukturieren lässt.

6. Was das für IT und OT bedeutet

Auch wenn das Gesetz die physische Ebene adressiert, landet ein erheblicher Teil der Arbeit in der IT – aus vier Gründen.

1. Sicherheitstechnik ist OT. Zutrittskontrolle, Video, Einbruchmeldung, Gebäudeleittechnik, Notstromsteuerung und die Überwachung der Gasversorgung hängen an IP-Netzen. Segmentierung, Patchfähigkeit, Fernwartungszugänge von Herstellern und das Verhalten bei Netz- oder Stromausfall gehören damit in den Resilienzplan. Ein Zutrittssystem, das bei Stromausfall öffnet oder bei Netzausfall keine Ereignisse mehr protokolliert, ist eine Resilienzlücke.
2. Abhängigkeitsanalyse ist Inventararbeit. Die geforderte Betrachtung wechselseitiger Abhängigkeiten setzt ein belastbares Verzeichnis von Dienstleistern, Systemen und Versorgungspfaden voraus – inklusive der Frage, welche klinischen Prozesse bei Ausfall welcher Komponente stehen.
3. Nachweisfähigkeit statt Konzeptordner. Prüfbar ist, was strukturiert erfasst wird. Rundgangs- und Zutrittsdaten, Wartungs- und Prüfnachweise für Netzersatzanlage, Brandschutz und Gasversorgung, Übungs- und Schulungsnachweise sollten aus geführten Systemen kommen, nicht aus Einzeltabellen.
4. Zwei Meldewege. Ein Brand im Serverraum ist beides: Vorfall nach BSIG und Vorfall nach KRITIS-Dachgesetz. Der Prozess muss beide Fristen und Adressaten kennen und die Meldungen konsistent halten.

Wer ein ISMS nach ISO 27001, B3S oder BSI IT-Grundschutz betreibt, hat die Methodik – Risikoprozess, Maßnahmenverfolgung, Lieferantenmanagement, Business Continuity – bereits im Haus. Sinnvoll ist deshalb kein drittes Managementsystem, sondern ein Resilienz-Maßnahmenset auf der bestehenden Struktur, mit eigenem Bericht für den Resilienzplan. Kliniken, die BCM nach BSI-Standard 200-4 oder ISO 22301 aufgebaut haben, decken damit bereits die Wiederherstellungs- und Notbetriebsseite ab.

7. Was Sie ohne KritisV schon erledigen können

Alle folgenden Schritte sind unabhängig von der Verordnung sinnvoll und verlieren ihren Wert auch dann nicht, wenn Ihr Haus am Ende nicht als kritische Anlage eingestuft wird.

1. Zuständigkeit klären. Eine Person mit Mandat für Resilienz benennen und die Rollen von ISB, Technischer Leitung, Sicherheitsdienst und Geschäftsführung festlegen. Physische Resilienz fällt sonst zwischen IT und Technik hindurch.
2. Vorabbewertung der Betroffenheit. Vollstationäre Fallzahlen der letzten Jahre dokumentieren, Trend bewerten, weitere Anlagen und Dienstleistungen im Verbund prüfen, Ergebnis mit Datum und Annahmen festhalten.
3. Registrierungsdaten vorbereiten. Betreiberangaben, Standorte, Anlagen, Kennzahlen und die 24/7-Kontaktstelle inklusive Stellvertretung zusammenstellen. Das ist kein Formular für eine halbe Stunde.
4. Abhängigkeits- und Versorgungsinventar erstellen. Externe Abhängigkeiten mit Ausfallszenario, Vorwarnzeit, Überbrückungsdauer und Ausweichoption.
5. Standortbezogene Risikoanalyse aufsetzen. Naturgefahren, technisches und menschliches Versagen, vorsätzliche Handlungen – methodisch nachvollziehbar, dokumentiert, mit Wiederholungszyklus.
6. Zonen- und Nachweislücken erheben. Ein Rundgang mit Technik und Sicherheitsdienst durch die Kernbereiche bringt in wenigen Stunden die Liste der offenen Punkte – und die Grundlage für die Investitionsplanung des Folgejahres.

8. Vier verbreitete Irrtümer

• „Die Frist war der 17. Juli 2026.“ Zu diesem Datum wurde die Registrierung erstmals möglich. Die Drei-Monats-Frist knüpft an die Einstufung als kritische Anlage an und setzt die Verordnung voraus.
• „Wir haben ISO 27001, damit ist das abgedeckt.“ Ein ISMS liefert Methodik und Teile der organisatorischen Maßnahmen, aber keinen Objektschutz, keine Versorgungsredundanz und keinen Resilienzplan.
• „Das ist NIS2 mit anderem Namen.“ Andere Behörde, andere Schutzrichtung, eigene Fristen, eigenes Meldewesen, eigene Sanktionen – und reine IT-Vorfälle sind hier gerade ausgenommen.
• „30.000 Unternehmen sind betroffen.“ Diese Zahl gehört zur NIS2-Umsetzung. Beim KRITIS-Dachgesetz geht der Gesetzgeber von einer Größenordnung von rund zweitausend Betreibern kritischer Anlagen aus.

9. Häufige Fragen