KRITIS Sektor-Steckbrief: Staat und Verwaltung
Regierung und Verwaltung
Parlamente
Justizeinrichtungen
Notfall- und Rettungswesen
Bin ich betroffen? (Schwellenwerte)
Der Regelschwellenwert: Grundsätzlich gilt auch hier die Orientierung an der Versorgung oder Relevanz für mindestens 500.000 Personen (z. B. Einwohnerzahl im Einzugsgebiet einer Behörde/Leitstelle) oder die fundamentale Bedeutung für die staatliche Handlungsfähigkeit.
Kriterien im Verwaltungsbereich:
Bundesebene: Alle obersten Bundesbehörden (Ministerien, Kanzleramt) sind automatisch als “wesentliche Einrichtungen” vollumfänglich betroffen.
Länder & Kommunen (Öffnungsklausel): Da die administrative Umsetzung oft Ländersache ist, greift das KRITIS-Dachgesetz direkt bei großen Ballungsräumen. Die Bundesländer können zudem per Landesrecht kleinere Verwaltungseinheiten (z. B. ab 150.000 Einwohnern) als kritisch einstufen, um einen Ausfall regionaler Bürgerdienste oder IT-Dienstleister (wie kommunale Zweckverbände) zu verhindern.
Wer ist meine Aufsichtsbehörde?
BMI (Bundesministerium des Innern und für Heimat): Sektorübergreifende politische und strategische Steuerung für den Schutz staatlicher Institutionen.
BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe): Zentrale Instanz für die physische Resilienz, Risikoanalysen und den Objektschutz von Regierungsgebäuden, Leitstellen und kritischen Liegenschaften.
BSI (Bundesamt für Sicherheit in der Informationstechnik): Zuständig für die Absicherung der Regierungsnetze, behördlichen IT-Infrastrukturen (z. B. Bund-Länder-Verbindungsnetze) und die zentrale Meldestelle für Cyber-Vorfälle im staatlichen Raum.
Maßnahmen & Pflichten (IT vs. Physisch)
Informationssicherheit (§ 30/31 BSIG): Flächendeckende Umsetzung des IT-Grundschutzes (BSI) oder der ISO 27001. Pflicht zur Absicherung behördlicher Kommunikationswege (Kryptografie/Verschlüsselung), Härtung von E-Government-Portalen und Fachverfahren (z. B. Einwohnermeldewesen). Verpflichtender Einsatz von Systemen zur Angriffserkennung (SZA) im Behördennetzwerk.
Physische Resilienz (§ 13 KRITIS-DachG): All-Gefahren-Ansatz: Schutz von Regierungs- und Verwaltungssitzen sowie Leitstellen vor Sabotage, Terrorismus, Spionage und Extremwetter (z. B. Hochwasser- und Starkregenschutz für Serverräume in Behördenkellern). Konkrete Schutzmaßnahmen: Erhöhter baulicher Objektschutz (Zäune, Vereinzelungsanlagen, hemmende Fassaden), redundante und autarke Kommunikationswege (z. B. Satelliten-Backup für Notfall-Leitstellen) sowie 72-Stunden-Notstromversorgung (Netzersatzanlagen) für behördliche Rechenzentren und Führungsstäbe.
Fristen & Sanktionen 2026
Registrierung: Identifizierte Behörden und Einrichtungen müssen sich spätestens 3 Monate nach Feststellung des Status, frühestens jedoch ab dem 17. Juli 2026, registrieren.
Risikoanalysen: Turnusmäßige Durchführung von behördlichen Risikoanalysen und Erstellung von behördlichen Krisen- und Kontinuitätsplänen (Business Continuity Management) alle 4 Jahre.
Sanktionen & Organisationshaftung: Während direkte Bußgelder bis zu 500.000 € (oder im IT-Bereich bis zu 10 Mio. €) primär auf privatwirtschaftliche oder privatrechtlich organisierte Einheiten (wie staatliche Digitalagenturen, Anstalten des öffentlichen Rechts oder kommunale IT-Dienstleister) abzielen, greift bei klassischen Kernbehörden die Dienst- und Disziplinaraufsicht.
Haftung: Behördenleiter, Oberbürgermeister, Landräte und Staatssekretäre unterliegen bei schuldhafter Missachtung von Schutz- und Überwachungspflichten im Ernstfall gravierenden disziplinarrechtlichen Konsequenzen sowie Schadensersatzforderungen wegen Amtspflichtverletzung.