KRITIS: Zeit bis zur Registrierungspflicht & Haftungsbeginn.

Von der ersten Kalkulation bis zur digitalen Überwachung: Wie das JUMBO BLOCK System die Brücke zwischen physischer KRITIS-Resilienz und der persönlichen Haftung der Geschäftsführung unter NIS-2 schlägt.

Wir schreiben Mai 2026. Der regulatorische „Sommer“ hat begonnen: Die Übergangsfristen für das KRITIS-Dachgesetz laufen ab, und das NIS-2-Umsetzungsgesetz ist bereits vollumfänglich aktiv. Für Kommunen, Stadtwerke und Industrieunternehmen bedeutet das: Was früher als „gute fachliche Praxis“ galt, ist heute eine Frage der harten Compliance.

Die Verantwortung ist nicht mehr delegierbar.

Für Geschäftsführer und Vorstände ist das Risiko nun persönlich.

Das Gesetz verpflichtet die Unternehmensleitung, physische Sicherheitsmaßnahmen für kritische Anlagen zu gewährleisten und Risikomanagement zu betreiben. 

Verstöße können zu direkten Regressforderungen gegen die Geschäftsleitung und mit Haftung des Privatvermögen führen.

• Überwachungspflicht: Die Geschäftsleitung muss die Umsetzung der Maßnahmen organisieren und überwachen. Dies umfasst die Pflege des Resilienzplans und die regelmäßige Überwachung der Sicherheitsrisiken.

• Schulungspflicht: Die Geschäftsleitung ist gesetzlich verpflichtet, persönlich und regelmäßig, mindestens alle drei Jahre, an Schulungen zur Risikoerkennung teilzunehmen.

• Zentrale Meldefrist (24 Stunden): Erhebliche Vorfälle müssen unverzüglich, spätestens jedoch innerhalb von 24 Stunden als Frühwarnung gemeldet werden. Diese Frist gilt sowohl für IT-Sicherheitsvorfälle (NIS-2) als auch für physische Störungen (KRITISDachG).

1. Frühwarnung (24h): Art und Schwere des Vorfalls.
2. Folgemeldung (72h): Ausführliche Bewertung, einschließlich Ursachen und Auswirkungen.
3. Abschlussbericht (1 Monat): Detaillierte Analyse und Dokumentation der Bewältigungsmaßnahmen.

• Verifizierung: Die Meldung muss verifizierte Informationen enthalten.

• Integrität und Revisionssicherheit: Damit die Meldung vor Gericht oder gegenüber Behörden (BSI/BBK) standhält, reicht ein einfaches Dokument nicht aus. Die Integrität und Revisionssicherheit der Daten sind entscheidende Faktoren für die Enthaftung der Geschäftsführung.

• Prüfbarkeit: Alle Meldungen und die zugrunde liegenden Protokolle müssen so dokumentiert sein, dass sie bei Audits oder behördlichen Überprüfungen als sicherer Nachweis dienen können.

• Fälschungssicherheit: Das BSI nutzt für die Übermittlung das Melde- und Informationsportal (MIP).

Die Daten, die zur Meldung führen (Logs, Sensordaten, Zutrittsprotokolle), müssen so gespeichert werden, dass sie im Nachhinein nicht manipuliert werden können. Das wird rechtlich durch das KRITIS-Dachgesetz und die NIS-2-Umsetzung gefordert, um die Prüfbarkeit (§ 38 BSIG) zu gewährleisten. 

• Hashing-Verfahren: Zeitstempel und Datenpakete werden mit kryptografischen Hash-Funktionen (z. B. SHA-256) versehen. Änderungen  machen den Hash-Wert ungültig.

• WORM-Speicher: "Write Once Read Many"-Speichermedien für Logfiles, stellen physisch sicher, dass einmal geschriebene Daten nicht überschrieben werden können.

• Digitale Signaturen: Meldungen über das Melde- und Informationsportal des BSI werden verschlüsselt und signiert übertragen. Damit ist klar: Die Daten stammen von Ihnen (Authentizität) und wurden auf dem Weg nicht verändert (Integrität).

• Persönliche Verantwortung & Haftung: Geschäftsführer und Vorstände haften der Einrichtung gegenüber persönlich und unbeschränkt mit ihrem Privatvermögen für Schäden, die durch schuldhafte Pflichtverletzungen bei der Umsetzung und aktiven Überwachung der Resilienzmaßnahmen entstehen. Da diese Pflichten gesetzlich fixiert sind, droht bei Versäumnissen der Verlust des D&O-Versicherungsschutzes (Ausschluss bei wissentlicher Pflichtverletzung).

• Kein Haftungsverzicht: Ein Verzicht der Einrichtung auf Ersatzansprüche gegen die Geschäftsleitung sowie Vergleiche über diese Ansprüche sind gemäß § 38 Abs. 2 BSIG (analog anwendbar auf das KRITISDachG) unwirksam. Die Unternehmensleitung kann somit im Schadensfall nicht durch interne Beschlüsse entlastet werden.

• Massives Bußgeldrisiko: Verstöße gegen die Maßnahmen- oder Meldepflichten werden drastisch geahndet. Während das KRITISDachG Bußgelder bis zu 1.000.000 Euro vorsieht, ermöglicht das eng verzahnte BSIG (NIS-2) Sanktionen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des gesamten Konzerns – je nachdem, welcher Betrag höher ist.