Resilienznachweis gegenüber dem BBK prüffähig belegen

Schematische Darstellung der Dokumentationskette vom identifizierten Risiko über die Gefährdungsanalyse und die Schutzziel-Definition zur Schutzmaßnahme und zum prüffähigen Resilienznachweis

Wichtige Erkenntnisse

Das KRITIS-Dachgesetz ist am 17. März 2026 in Kraft getreten und regelt erstmals bundeseinheitlich die physische Resilienz.
Aus dem Resilienzplan müssen die Erwägungen hinter jeder Maßnahme hervorgehen, mit Bezug zur Risikoanalyse (§ 13 Abs. 4).
Die Risikoanalyse ist mindestens alle vier Jahre zu wiederholen; der Resilienzplan ist danach zu aktualisieren (§ 12, § 13).
Nachweise fordert die Behörde risikobasiert an, auch durch Vorlage des Resilienzplans und Audits (§ 16).
Gleichwertige Nachweise aus anderen Rechtspflichten können anerkannt werden (§ 17).

Der neue Rechtsrahmen: physische Resilienz nach dem KRITIS-Dachgesetz

Das KRITIS-Dachgesetz setzt die CER-Richtlinie (EU) 2022/2557 in deutsches Recht um und ist im März 2026 in Kraft getreten. Es schafft erstmals einen einheitlichen, bundesweiten und sektorübergreifenden Rechtsrahmen für den physischen Schutz kritischer Anlagen. Für Betreiber entsteht damit neben den IT-sicherheitsrechtlichen Pflichten nach dem BSIG eine zweite, eigenständige Pflichtenwelt: die physische Resilienz.

Abgrenzung: Die Anforderungen an die Cyberabwehr regelt weiterhin das BSI-Gesetz im Zuge der NIS2-Umsetzung. Das KRITIS-Dachgesetz normiert darüber hinaus eigenständige Mindestvorgaben für den physischen Schutz kritischer Anlagen.
Anwendungsbereich: Maßgeblich ist der Regelschwellenwert von 500.000 versorgten Einwohnern.^[1] Welche Anlagen und Dienstleistungen konkret erfasst sind, bestimmt eine noch zu erlassende Rechtsverordnung des BMI.
Fristen: Die Betreiberpflichten beginnen mit der Registrierung. Die Risikoanalyse ist erstmals neun Monate, die Resilienzpflichten erstmals zehn Monate nach Registrierung zu erfüllen.^[2]

Für die Nachweisführung folgt daraus ein praktischer Befund: Die Fristen laufen ab Registrierung, nicht ab Inkrafttreten des Gesetzes. Wer die eigene Risikoanalyse und den Resilienzplan erst dann aufsetzen will, wenn die Aufsicht erstmals Unterlagen anfordert, verbraucht die Vorbereitungszeit, die das Gesetz ausdrücklich einräumt. Die Dokumentation, die diesen Nachweis trägt, entsteht dagegen nicht am Ende des Prozesses, sondern in seiner Herleitung. Genau darum geht es in den folgenden Abschnitten.

Was der Nachweis belegen soll

Der Nachweis gegenüber dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) und den zuständigen Behörden prüft nicht die Anlage als solche, sondern ihre Begründung. Das Gesetz macht diese Erwartung explizit: Betreiber müssen ihre Resilienzmaßnahmen in einem Resilienzplan darstellen, aus dem die den Maßnahmen zugrunde liegenden Erwägungen hervorgehen, mit Bezug zur Risikoanalyse und -bewertung.^[2]

Resilienzplan (§ 13 Abs. 4 KRITIS-DachG): Der Plan dokumentiert die Maßnahmen und legt die Erwägungen offen, aus denen sie abgeleitet sind, mit ausdrücklichem Bezug zur Risikoanalyse.^[2]
Maßstab der Verhältnismäßigkeit: Das Gesetz verlangt geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen. Jede Maßnahme muss sich also vor dem Risiko rechtfertigen, dem sie begegnet.
Nachweismacht der Behörde (§ 16): Die zuständige Behörde kann nach einem risikobasierten Ansatz weitere Nachweise verlangen, darunter die Vorlage des Resilienzplans sowie Audits und Prüfungen. Art und Durchführung legt das BBK fest.^[3]

Daraus ergibt sich die zentrale Folgerung dieses Beitrags: Eine reine Anlagenliste belegt nichts. Sie zeigt, welche Technik installiert ist, aber nicht, welches Risiko welche Maßnahme erfordert hat, warum eine Alternative verworfen wurde und warum der gewählte Umfang verhältnismäßig ist. Genau diese Erwägungen verlangt der Gesetzestext. Wer sie nicht dokumentiert hat, besitzt keine prüffähige Begründung, sondern ein Inventar.

Die Herleitungskette von der Gefährdungsanalyse zur Maßnahme

Nachweisfähigkeit entsteht in der Herleitung. Jede Schutzmaßnahme, die im Resilienzplan steht, muss sich in einer lückenlosen Kette bis zu einem dokumentierten Risiko zurückverfolgen lassen. In unserer Fachplanung durchläuft diese Kette vier methodische Schritte, die sich unmittelbar als Gliederung der eigenen Dokumentation nutzen lassen.

Ist-Aufnahme und Bedarfsanalyse: Prozesse, Liegenschaften und Abläufe werden systematisch erfasst. Ohne ein belastbares Bild des Bestands lässt sich später nicht begründen, warum ausgerechnet dieser Bereich geschützt wird (Sicherheitskonzepte und Gefährdungsanalysen).
Schutzziel-Definition und Risikoeinschätzung: Gefährdungsrisiken werden quantitativ und qualitativ eingeschätzt und Schutzziele definiert. Besonders gefährdete Bereiche werden identifiziert und priorisiert.
Maßnahmenkatalog und Sollkonzeption: Aus den Schutzzonenkonzepten wird der Maßnahmenkatalog abgeleitet. Jede Maßnahme erhält eine dokumentierte Zuordnung zu dem Risiko, dem sie begegnet. Das Ergebnis ist ein mehrseitiges Soll-Konzept als Entscheidungsgrundlage.
Planung, Ausschreibung und Qualitätssicherung: Erst auf dieser Grundlage entsteht die technische Detailplanung, vom Perimeterschutz über Videoüberwachung und Zutrittskontrolle bis zum übergeordneten Gefahrenmanagementsystem, und daraus das herstellerneutrale Leistungsverzeichnis (Fachplanung für Kritische Infrastrukturen).

Wir dokumentieren die Herleitung jeder Maßnahme aus der Gefährdungsanalyse, sodass der Schutz dem Risiko folgt und nicht dem Produktkatalog eines Anbieters. Diese Loslösung von der Produktlogik ist im Prüffall kein stilistischer Unterschied, sondern der Kern des Nachweises: Die Behörde bewertet die Zweck-Mittel-Relation, und eine Zweck-Mittel-Relation lässt sich nur lesen, wenn das Ziel vor dem Mittel dokumentiert wurde. Eine Dokumentation, die diese Kette trägt, ist damit zugleich die Grundlage für die spätere, produktneutrale Ausschreibung der konkreten Anlagentechnik.

Was in die Dokumentation gehört

Aus dem Gesetzestext und aus der methodischen Kette oben lässt sich konkretisieren, welche Bestandteile die Dokumentation enthalten muss, die eine Prüfung übersteht. Entscheidend ist weniger der Umfang als die nachvollziehbare Verknüpfung: Jedes Dokument muss seinen Platz in der Herleitung haben.

Gefährdungs- und Risikoanalyse als Ausgangspunkt, mit quantitativer und qualitativer Risikoeinschätzung und Identifikation besonders gefährdeter Bereiche.
Schutzziel-Definition und Schutzzonenkonzepte, aus denen hervorgeht, welches Schutzniveau für welchen Bereich angestrebt wird.
Maßnahmenkatalog und mehrseitiges Soll-Konzept als zusammenfassende Entscheidungsgrundlage.
Zuordnung jeder einzelnen Maßnahme zum Risiko, einschließlich der dokumentierten Erwägung, warum gerade diese Maßnahme und nicht eine andere gewählt wurde.
Versionierung und Aktualisierungsstand jedes Dokuments, damit die Behörde nachvollziehen kann, welcher Stand welcher Risikoanalyse entspricht.

Für die Form gilt: Das BBK stellt spätestens acht Monate nach Inkrafttreten der Rechtsverordnung unverbindliche Muster und Vorlagen für Resilienzpläne auf seiner Internetseite bereit.^[2] Diese Vorlagen geben die äußere Struktur vor. Sie ersetzen jedoch nicht die Herleitung, die in sie eingetragen werden muss. Wer die Muster erst bei Bekanntgabe ausfüllt, hat die Inhalte noch nicht; wer die Kette aus Risiko, Schutzziel und Maßnahme bereits führt, trägt sie nur in das vorgegebene Format über.

Turnus: wann nachgewiesen und aktualisiert wird

Der gesetzliche Rhythmus lässt sich direkt in die Betriebsplanung übersetzen. Die folgenden Fristen und Turnusse stammen aus dem Gesetzestext und sollten als feste Termine im Kalender der Sicherheitsverantwortlichen stehen, nicht als Größenordnung.

Pflicht	Regelung	Turnus beziehungsweise Frist
Risikoanalyse und -bewertung	§ 12 Abs. 1 KRITIS-DachG	mindestens alle vier Jahre, im Bedarfsfall zusätzlich
Resilienzplan	§ 13 Abs. 4 KRITIS-DachG	Aktualisierung bei Bedarf und nach jeder Risikoanalyse
Nachweis gegenüber der Behörde	§ 16 Abs. 2 KRITIS-DachG	kein fester Turnus: Nachweise und Resilienzplan auf Verlangen der Behörde, die Betreiber nach einem risikobasierten Ansatz auswählt
Vorgaben zu Nachweisen und Audits	§ 16 Abs. 8 KRITIS-DachG	Art und Durchführung legt das BBK per öffentlicher Mitteilung fest

Daraus empfehlen sich drei feste Termine in der Betriebsplanung. Erstens ein Risikoreview im Vierjahresrhythmus mit festgelegter Verantwortlichkeit, ergänzt durch definierte Anlassfälle, etwa wesentliche Änderungen an Liegenschaften, Anlagen oder Prozessen, die eine vorzeitige Aktualisierung auslösen. Zweitens eine planmäßige Überarbeitung des Resilienzplans nach jeder Risikoanalyse, damit der Plan nie älter ist als die Analyse, auf die er sich bezieht. Drittens eine regelmäßige interne Prüfung der Nachweisunterlagen: Da das Gesetz keinen festen Nachweisturnus vorsieht, die Behörde Nachweise aber jederzeit risikobasiert anfordern kann, sollte die Dokumentation stets vorlagefähig sein.^[4] Wer diese Termine dokumentiert, weist zugleich nach, dass der Aktualisierungsprozess selbst gelebt wird.

Zusammenarbeit mit Behörden, Sachverständigen und Auditoren

Wer die Unterlagen erstellt, sollte wissen, wer sie liest. Das KRITIS-Dachgesetz verteilt die Aufsicht auf mehrere Ebenen: Das BBK ist im Bund die nationale zuständige Behörde im Sinne der CER-Richtlinie, daneben bleiben die fachlich zuständigen Behörden und die Länder zuständig. Die Prüfung selbst kann an Dritte delegiert werden.

Überprüfung durch Dritte: Die zuständige Behörde kann die Einhaltung der Anforderungen auch durch qualifizierte unabhängige Dritte überprüfen lassen; diesen ist Zutritt zu Räumlichkeiten sowie Einsichtnahme in Systeme und Unterlagen zu gewähren.^[3]
Gleichwertigkeit: Risikoanalysen, Bewertungen, Dokumente und Maßnahmen, die aufgrund anderer Rechtspflichten oder freiwillig erstellt wurden, können für den Nachweis herangezogen werden. Feststellungen anderer Behörden dazu sind zugunsten des Betreibers bindend.^[2]
Mängelbeseitigung: Stellt die Behörde Mängel fest, kann sie deren Behebung sowie die Vorlage eines Plans zur Mängelbeseitigung und entsprechender Nachweise verlangen.^[3]

Diese Lesergruppe erwartet eine nachvollziehbare Herleitung und eine prüffähige Dokumentation, nicht eine Sammlung von Herstellerdatenblättern. Genau darauf ist die Zusammenarbeit ausgerichtet, wie wir sie im KRITIS-Umfeld praktizieren: Wir arbeiten eng mit den Sicherheitsverantwortlichen der Betreiber, den Behörden und den Sachverständigen zusammen und dokumentieren die Herleitung jeder Maßnahme aus der Gefährdungsanalyse. Die Gleichwertigkeitsregelung des § 17 entlastet dabei alle, die bereits nach anderen Rechtspflichten dokumentieren: Vorhandene Analysen und Konzepte müssen nicht doppelt erstellt, sondern nur prüffähig aufbereitet und der Herleitungskette zugeordnet werden.

Nachweisfähige Dokumentation mit unabhängiger Fachplanung

Die Prüfung nach dem KRITIS-Dachgesetz stellt keine Frage der Anlagenliste, sondern der Herleitung. Wer jede Maßnahme aus einer dokumentierten Gefährdungsanalyse ableiten kann, beantwortet die Fragen der Behörde, der Sachverständigen und der Auditoren aus dem Bestand der eigenen Dokumentation. Wer das nicht kann, hat keine Nachweislücke, sondern eine konzeptionelle.

Sicherheitskonzepte und Gefährdungsanalysen als vorgeschaltete Phase jeder Planung, mit dokumentierter Schutzziel-Definition und Risikoeinschätzung.
Fachplanung der Sicherheitstechnik von der Perimetersicherung über Videoüberwachung und Zutrittskontrolle bis zum übergeordneten Gefahrenmanagementsystem, herstellerneutral und aufeinander abgestimmt.
Herstellerneutrale Ausschreibung und Objektüberwachung bis zur Abnahme, damit die dokumentierte Herleitung bis in das Leistungsverzeichnis und die Ausführung erhalten bleibt.

Als unabhängiges Ingenieur- und Planungsbüro sind wir ausschließlich Ihren Schutzzielen verpflichtet und planen ohne Bindung an Hersteller oder Dienstleister. Auf unserer Seite zur Fachplanung für Kritische Infrastrukturen (KRITIS) finden Sie unsere Leistungen für Betreiber im Überblick, von der Gefährdungsanalyse über die Planung der Sicherheitstechnik bis zur herstellerneutralen Ausschreibung und Objektüberwachung. Wir begleiten Betreiber unter anderem aus der Energieversorgung, der Stadtentwässerung und der Luftfahrt und stimmen unsere Konzepte mit Ihren Sicherheitsverantwortlichen, den Behörden und den Sachverständigen ab.

Kontaktieren Sie uns für ein unverbindliches Erstgespräch. PLANATEL® – Unabhängige Planung und Beratung seit 1992. Tel: 040 / 23 73 02-30 | E-Mail: info@planatel.de

Häufig gestellte Fragen

Wem gegenüber muss der Resilienznachweis nach dem KRITIS-Dachgesetz erbracht werden?

Zuständig ist die jeweilige Behörde; das BBK ist im Bund die nationale zuständige Stelle. Nach § 16 KRITIS-DachG kann die Behörde über das BBK beim BSI Einsicht in relevante Teile bestehender Nachweise ersuchen, weitere Nachweise risikobasiert anfordern und die Vorlage des Resilienzplans verlangen. Für Betreiber aus Strom, Gas und Wasserstoff ist stattdessen § 5f EnWG anzuwenden (§ 16 Abs. 7).

Wie oft muss die Risikoanalyse nach dem KRITIS-Dachgesetz durchgeführt werden?

Der Betreiber führt die Risikoanalyse und Risikobewertung im Bedarfsfall, mindestens jedoch alle vier Jahre durch (§ 12 Abs. 1 KRITIS-DachG). Der Resilienzplan ist bei Bedarf sowie nach jeder durchgeführten Risikoanalyse zu aktualisieren (§ 13 Abs. 4). Einen festen Nachweisturnus sieht das Gesetz nicht vor: Die Behörde fordert Nachweise risikobasiert an (§ 16 Abs. 2); Art und Durchführung legt das BBK per öffentlicher Mitteilung fest (§ 16 Abs. 8).

Was gehört in den Resilienzplan?

Der Resilienzplan stellt die Resilienzmaßnahmen dar und wird angewendet. Aus ihm müssen die den Maßnahmen zugrunde liegenden Erwägungen hervorgehen, und auf die Risikoanalyse und Risikobewertung des Betreibers ist Bezug zu nehmen (§ 13 Abs. 4 KRITIS-DachG). Das BBK stellt spätestens acht Monate nach Inkrafttreten der Rechtsverordnung unverbindliche Muster und Vorlagen bereit.

Ab wann gelten die Pflichten für Betreiber kritischer Anlagen?

Die Pflichten beginnen nach der Registrierung: Die Risikoanalyse ist erstmals neun Monate, die Resilienzpflichten, das Meldewesen und die Umsetzungspflicht der Geschäftsleitung erstmals zehn Monate nach Registrierung zu erfüllen (§ 8 Abs. 7 KRITIS-DachG). Die Registrierungspflicht besteht erst, sobald die Identifizierungsverordnung in Kraft getreten ist; das BBK empfiehlt Betreibern, sich bereits jetzt mit der Resilienz auseinanderzusetzen.

Können vorhandene Gefährdungsanalysen als Nachweis anerkannt werden?

Ja. Nach § 17 KRITIS-DachG können Risikoanalysen, Risikobewertungen, Dokumente, Maßnahmen und Zertifikate, die der Betreiber aufgrund sonstiger rechtlicher Verpflichtungen oder freiwillig erstellt oder erlangt hat, zum Nachweis herangezogen werden. Feststellungen anderer Behörden dazu sind zugunsten des Betreibers bindend. Voraussetzung ist, dass die Herleitung der Maßnahmen dokumentiert und prüffähig ist.

Was prüft die Behörde bei einer Überprüfung vor Ort?

Nach § 16 Abs. 4 KRITIS-DachG kann die zuständige Behörde die Einhaltung der Resilienzpflichten überprüfen und sich dabei eines qualifizierten unabhängigen Dritten bedienen. Der Betreiber muss das Betreten der Geschäfts- und Betriebsräume sowie den Zugang zu Informationen, Systemen und Anlagen gestatten und Aufzeichnungen, Schriftstücke und sonstige Unterlagen vorlegen. Bei Mängeln kann die Behörde einen Mängelbeseitigungsplan innerhalb einer angemessenen Frist anordnen (§ 16 Abs. 5).

Welche Rolle spielt die Geschäftsleitung beim Resilienznachweis?

Nach § 20 KRITIS-DachG sind Geschäftsleitungen verpflichtet, die Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Für die Dokumentation bedeutet das: Verantwortlichkeiten für Erstellung, Aktualisierung und Vorlage des Resilienzplans müssen in der Organisation verbindlich geregelt sein.