KRITIS im Öffentlichen Dienst: Welche Strukturen Arbeitgeber jetzt schaffen müssen

Mit dem KRITIS-Dachgesetz ist am 17. März 2026 erstmals ein bundesweit einheitlicher Rechtsrahmen für die physische Sicherheit und Widerstandsfähigkeit Kritischer Infrastrukturen in Kraft getreten. Das Gesetz setzt die europäische CER-Richtlinie um und verpflichtet Betreiber kritischer Anlagen, sich systematisch gegen Naturereignisse, Sabotage, technische Ausfälle, menschliches Versagen und weitere Gefahren zu wappnen.

Für öffentliche Arbeitgeber bedeutet das mehr als zusätzliche Sicherheitskonzepte. KRITIS wird zu einer organisationsweiten Managementaufgabe – und damit zu einem Thema für Behördenleitungen, Personalämter, kommunale Unternehmen und öffentliche Einrichtungen.

KRITIS ist nicht allein Aufgabe der IT-Abteilung

Das KRITIS-Dachgesetz konzentriert sich auf die physische Resilienz kritischer Anlagen. Parallel regelt das seit dem 6. Dezember 2025 geltende neue BSI-Gesetz infolge der NIS-2-Umsetzung die Cyber- und Informationssicherheit. Betroffene Organisationen müssen daher beide Schutzdimensionen zusammendenken: die Absicherung von IT-Systemen und Netzen sowie die Funktionsfähigkeit von Gebäuden, Anlagen, Leitstellen, Lieferketten und betrieblichen Abläufen.

Die Verantwortung lässt sich deshalb nicht an eine einzelne IT-Fachkraft oder den externen Rechenzentrumsbetreiber delegieren. Gefragt ist eine verbindliche KRITIS-Governance, die Informationssicherheit, technische Infrastruktur, Gebäudeschutz, Notfallvorsorge, Datenschutz, Beschaffung und Krisenmanagement miteinander verbindet.

Welche öffentlichen Arbeitgeber betroffen sein können

Ob eine Behörde oder kommunale Einrichtung unmittelbar unter das KRITIS-Dachgesetz fällt, hängt von der betriebenen Anlage, der erbrachten kritischen Dienstleistung, der sektoralen Zuordnung und den geltenden Schwellenwerten ab. Das Gesetz erfasst unter anderem die Bereiche Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Trinkwasser, Abwasser, Informationstechnik und Telekommunikation sowie öffentliche Verwaltung.

Besondere Relevanz hat das Thema daher für Stadtwerke, Verkehrsbetriebe, Kliniken, kommunale Rechenzentren, Wasser- und Abwasserbetriebe, Entsorger, Leitstellen, technische Ämter und weitere öffentliche Unternehmen.

Aber auch Behörden, die nicht selbst unmittelbar als Betreiber einer kritischen Anlage eingestuft werden, müssen ihre Abhängigkeiten überprüfen. Denn öffentliche Dienstleistungen hängen häufig von externen Rechenzentren, Energieversorgern, Telekommunikationsunternehmen, Cloud-Anbietern, technischen Dienstleistern und spezialisierten Lieferanten ab.

Verantwortung auf Leitungsebene verankern

Der erste organisatorische Schritt ist keine neue Software und kein technisches Sicherheitsprodukt. Öffentliche Arbeitgeber müssen zunächst festlegen, wer für KRITIS, Resilienz und Betriebskontinuität verantwortlich ist.

Die Behörden-, Werk- oder Geschäftsleitung sollte Ziele, Zuständigkeiten, Ressourcen und Eskalationswege verbindlich vorgeben. Dazu gehört auch die Entscheidung, welche Leistungen selbst bei einem schwerwiegenden Vorfall weitergeführt oder besonders schnell wiederhergestellt werden müssen.

KRITIS wird damit zur Leitungsaufgabe. Sicherheitsmaßnahmen müssen priorisiert, finanziert, überprüft und organisationsweit durchgesetzt werden.

Zentrale KRITIS-Koordination schaffen

Je nach Größe und Komplexität der Organisation kann die zentrale Verantwortung als Stabsstelle, Sachgebiet, Referat oder Programmleitung ausgestaltet werden.

Geeignete Stellenprofile sind beispielsweise:

• Sachgebietsleitung KRITIS und Informationssicherheit
• Leitung KRITIS- und Resilienzmanagement
• Programmleitung Operational Resilience
• Koordination Informationssicherheit und Notfallmanagement
• Leitung Digitalisierung und KRITIS-IT
• Business-Continuity- und Krisenmanagement

Diese Stellen müssen nicht sämtliche technischen Maßnahmen selbst umsetzen. Ihre zentrale Aufgabe besteht darin, Verantwortlichkeiten zu koordinieren, Risiken zu bewerten, Projekte zu steuern und die Umsetzung durch interne Fachbereiche, Rechenzentren und externe Dienstleister sicherzustellen.

Fachübergreifende Steuerungsstrukturen aufbauen

Eine leistungsfähige KRITIS-Organisation benötigt mehr als eine einzelne Beauftragtenfunktion. Sinnvoll ist ein festes Steuerungsteam mit Vertreterinnen und Vertretern aus IT, Informationssicherheit, technischer Betriebsführung, Gebäudemanagement, Datenschutz, Recht, Personal, Beschaffung, Kommunikation und Katastrophenschutz.

Dieses Gremium sollte regelmäßig zusammentreten, Risiken priorisieren und den Umsetzungsstand kontrollieren. Gleichzeitig müssen klare Entscheidungs- und Eskalationswege für den Ernstfall geschaffen werden.

Gerade im Öffentlichen Dienst ist darauf zu achten, dass Zuständigkeiten nicht nur formal beschrieben, sondern auch mit tatsächlichen Entscheidungsbefugnissen und ausreichenden Ressourcen hinterlegt werden.

Kritische Dienstleistungen und Abhängigkeiten erfassen

Ausgangspunkt jeder KRITIS-Organisation ist die Frage, welche Leistungen unter außergewöhnlichen Bedingungen aufrechterhalten werden müssen.

Das betrifft nicht nur Server und Netzwerke. Zu erfassen sind auch Gebäude, Leitstellen, technische Anlagen, Stromversorgung, Kommunikationswege, Schlüsselpersonal, Lieferketten, Dienstleister und alternative Betriebsstandorte.

Ein Straßenverkehrsamt kann beispielsweise von Verkehrsleitzentralen, digitalen Fachverfahren, Kommunikationsnetzen, Rechenzentrumsleistungen und technischer Verkehrsinfrastruktur abhängig sein. Der Ausfall einzelner Komponenten kann erhebliche Auswirkungen auf Verkehrssteuerung, Gefahrenabwehr und öffentliche Sicherheit haben.

Risikoanalysen und Resilienzpläne etablieren

Betreiber kritischer Anlagen müssen mindestens alle vier Jahre eine eigene Risikoanalyse und Risikobewertung durchführen. Auf dieser Grundlage sind verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu entwickeln.

Das Gesetz nennt unter anderem:

• Notfallvorsorge und Krisenmanagement
• baulichen, technischen und organisatorischen Objektschutz
• Zugangskontrollen und Umgebungsüberwachung
• vorgegebene Abläufe für Alarm- und Krisenfälle
• Notstromversorgung und Aufrechterhaltung des Betriebs
• alternative Lieferketten und Wiederanlaufverfahren
• Sicherheitsmanagement für eigenes und externes Personal
• regelmäßige Schulungen und Übungen

Die Maßnahmen müssen in einem Resilienzplan dokumentiert, angewendet und nach Risikoanalysen sowie bei relevantem Änderungsbedarf aktualisiert werden.

KRITIS und Cybersecurity gemeinsam steuern

Parallel verlangt das neue BSI-Gesetz von betroffenen Einrichtungen umfassende Risikomanagementmaßnahmen für die Informationssicherheit. Dazu gehören unter anderem Incident Management, Back-up und Wiederherstellung, Krisenmanagement, Lieferkettensicherheit, Zugriffskontrollen und die Absicherung der Entwicklung, Beschaffung und Wartung informationstechnischer Systeme.

Öffentliche Arbeitgeber sollten deshalb keine voneinander getrennten Parallelstrukturen für physische Sicherheit, IT-Sicherheit und Notfallmanagement aufbauen. Zweckmäßiger ist ein integriertes Steuerungsmodell mit klar definierten Schnittstellen.

Neue Stellen brauchen Management- und Projektkompetenz

Der wachsende Personalbedarf beschränkt sich nicht auf klassische IT-Security-Spezialisten. Gefragt sind zunehmend Fach- und Führungskräfte, die Technik, Organisation und Verwaltung miteinander verbinden.

Besonders relevant sind Kompetenzen in den Bereichen Digitalisierung, Prozessmanagement, Informationssicherheit, Risikoanalyse, Business Continuity, technische Infrastruktur, Datenschutz sowie Projekt- und Dienstleistersteuerung.

Für viele öffentliche Arbeitgeber wird der Aufbau solcher Strukturen nur durch gezielte Personalgewinnung möglich sein. Der Arbeitsmarkt für erfahrene IT-Sicherheits-, KRITIS- und Resilienzexperten ist jedoch eng. Stellenprofile müssen deshalb realistisch geschnitten, fachlich klar abgegrenzt und mit einem attraktiven Verantwortungsrahmen ausgestattet werden.

Resilienz braucht Organisation und qualifiziertes Personal

Das KRITIS-Dachgesetz verpflichtet nicht jede Behörde dazu, sofort eine neue Abteilung zu gründen. Es erhöht jedoch den Druck, Verantwortlichkeiten eindeutig zu bestimmen und wirksame Strukturen aufzubauen.

Öffentliche Arbeitgeber sollten daher prüfen:

• Welche Dienstleistungen und Anlagen sind für die eigene Handlungsfähigkeit kritisch?
• Welche physischen, digitalen und personellen Abhängigkeiten bestehen?
• Wer trägt die Gesamtverantwortung für KRITIS und Resilienz?
• Sind Risikoanalyse, Notfallplanung und Krisenkommunikation miteinander verbunden?
• Reichen die vorhandenen Fach- und Führungskapazitäten aus?
• Müssen neue Stellen, Sachgebiete oder zentrale Koordinationsfunktionen geschaffen werden?

Denn kritische Infrastruktur wird nicht allein durch Technik geschützt. Entscheidend sind klare Verantwortung, belastbare Prozesse und qualifizierte Beschäftigte, die Sicherheit und Resilienz dauerhaft in der Organisation verankern.