KRITIS-Dachgesetz: Der physische Schutz ist jetzt Pflicht. Entscheidend ist der Nachweis.

Das KRITIS-Dachgesetz ist seit März 2026 in Kraft und macht den angemessenen physischen Schutz kritischer Anlagen zur Pflicht. Das Gesetz nennt die Kontrolle des Zutritts als eine der Maßnahmen. Wer Schlüssel ausgibt und zurücknimmt, sollte das lückenlos belegen können.

Das Gesetz ist in Kraft, nicht erst angekündigt. Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, ohne Übergangsfrist; die Registrierungsfrist der ersten Betroffenen lief am 6. März 2026 aus. Die physische Seite regelt seit dem 17. März 2026 das KRITIS-Dachgesetz. Für den einzelnen Betreiber greifen die Pflichten mit seiner Registrierung. Für Betreiber heißt das, den Schutz nicht nur einzurichten, sondern belegen zu können. Daran entscheidet sich, ob der Betreiber die Aufzeichnungen sofort vorlegen kann oder erst suchen muss.

Zwei Gesetze, eine Plattform

NIS-2 regelt die Cybersicherheit, das Dachgesetz den physischen Schutz. Beide laufen über eine gemeinsame Registrierungsplattform von BSI und BBK. Es bleiben zwei getrennte Regime. Wer die NIS-2-Registrierung hinter sich hat, für den ist das Dachgesetz die physische Hälfte desselben Programms.

Was § 13 verlangt

Der Kern steht in § 13 KRITISDachG. Verpflichtend ist das Ziel, ein angemessener physischer Schutz der Liegenschaften und Anlagen. Das Wie nennt das Gesetz nur als Beispiele, nicht als starre Vorgabe. Dazu zählt „Zugangskontrollen”, also die Kontrolle des physischen Zutritts. Eine bestimmte Technik schreibt es nicht vor, einen Austausch der Schließtechnik verlangt es nicht. Verlangt ist eine dokumentierte, verhältnismäßige Entscheidung, die zur Anlage passt. Genannt wird auch ein Sicherheitsmanagement für Mitarbeitende und externe Dienstleister. Wer darf welche Tür öffnen, und wurde der Schlüssel bei Austritt zurückgegeben.

Der Prüfungsmoment

Kommt die Aufsicht, muss der Betreiber Zutritt zu den Räumen und Einsicht in Systeme und Aufzeichnungen gewähren (§ 16). Die Durchsetzung läuft über die Prüfung, nicht über ein Bußgeld für den Plan selbst. Eine saubere Ausgabe- und Rückgabehistorie liegt bei der Prüfung sofort vor.

Die Uhr läuft ab der Registrierung

Ab dem 17. Juli 2026 ist die Registrierung bei BSI und BBK möglich, der früheste Zeitpunkt, keine Frist. Ist eine Anlage registriert, laufen die Fristen:

• Neun Monate bis zur ersten Risikoanalyse (§ 12)
• Zehn Monate bis zum angewendeten Resilienzplan (§ 13)

Auch die Geschäftsleitung steht in der Pflicht. Sie muss die Resilienzmaßnahmen nach § 13 umsetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherstellen; verletzt sie diese Pflicht schuldhaft, haftet sie ihrer eigenen Einrichtung nach den Regeln des Gesellschaftsrechts (§ 20). Ein dokumentiertes, prüfbares Zutrittssystem ist genau ein solcher Beleg.

Was das für den Betrieb heißt

Hier setzt portier an. Vision 5 führt den mechanischen Schlüsselbestand so, dass der Nachweis nebenbei entsteht: jede Schlüsselbewegung erfasst, Ausgabe und Rückgabe mit Beleg, wer welchen Schlüssel hält und welche Tür er öffnet, unterschriebene Übergaben, nach einem Ausfall wiederherstellbar. Nicht als zusätzliche Pflichtübung, sondern als die tägliche Arbeit. Wer den Bestand ohnehin sauber führt, hat den Nachweis in der Hand, wenn die Prüfung kommt.

Das Dachgesetz macht den physischen Schutz zur Pflicht und den Nachweis zur eigentlichen Aufgabe. Das Gesetz gilt bereits, die Fristen laufen ab der Registrierung. Die Frage ist, wie sauber der Beleg entsteht. Wer seine Schlüssel und Zutritte lückenlos führt, beantwortet sie, bevor die Aufsicht sie stellt.