Kritische Infrastrukturen: Zutritt & Schutz für Betreiber
Zutrittskontrolle, Zeiterfassung & Besuchermanagement orientiert an den Anforderungen aus NIS-2 und Dachgesetz – strukturiert und nachvollziehbar dokumentiert.
Erste Einschätzung erhalten und Ihren Bedarf prüfen.
Der erste Schritt ist die richtige Einordnung
KRITIS-Anforderungen sind komplex – aber lösbar. Gemeinsam finden wir einen pragmatischen Weg, der zu Ihrem Betrieb passt. Wir schöpfen aus fundierter Expertise mit öffentlicher Verwaltung, Versorgern und Betreibern kritischer Infrastruktur. In einem kurzen Gespräch klären wir, wo Sie heute stehen – und was die nächsten Schritte sind.
Unverbindlich · ca. 15 Minuten · ohne Vorbereitung
Was bedeutet kritische Infrastruktur?
Kritische Infrastrukturen sind Organisationen, deren Ausfall erhebliche Auswirkungen auf Versorgung, Sicherheit oder das öffentliche Leben hätte.
Dazu gehören unter anderem:
Mit dem KRITIS-Dachgesetz und der NIS-2-Richtlinie steigen die Anforderungen – insbesondere an:
Wo stehen Sie im Kontext von NIS-2?
Typische Herausforderungen
Zutritt und externe Personen
Personal & Organisation
Sicherheit & Nachweis
Unsere Beratungsleistungen im Überblick
KRITIS-Standortanalyse für Betreiber
Das KRITIS-Dachgesetz fordert physischen Zugangsschutz – aber nicht jede Anlage braucht dieselbe Lösung. Gemeinsam mit Ihnen schauen wir, was an Ihren Standorten bereits vorhanden ist, wo Lücken bestehen und was prioritär umzusetzen ist.
Was Sie nach einer KRITIS-Standortanalyse in der Hand haben:
Ergebnis: Ein konkreter Maßnahmenplan mit klarer Priorisierung und transparenter Investitionsgrundlage – keine PowerPoint-Folien, sondern ein belastbares Arbeitsdokument.
Sicherheitszonen-Konzept
Nicht jeder Bereich braucht denselben Schutz. Leitstand, Schaltanlage, Serverraum und Außengelände haben unterschiedliche Risikoprofile. Wir helfen Ihnen, das sauber zu trennen und in Simago® abzubilden.
Wir definieren gemeinsam:
Deutlich reduziertes Risiko unbefugter Zutritte. Klare Verantwortlichkeiten. Hohe Nachvollziehbarkeit.
Rollen- & Berechtigungsarchitektur
Das Need-to-know-Prinzip gilt nicht nur digital. Auch physische Zugänge brauchen klare Regeln: Wer darf welchen Bereich betreten – und wann. Wir konfigurieren das gemeinsam mit Ihnen direkt in Simago®.
Wir entwickeln gemeinsam:
Nachvollziehbare Protokollierung als Grundlage für interne und externe Prüfungen.
Besucher- und Fremdfirmenprozesse
Wartungstechniker, Entsorger, Subunternehmer: Sie kommen, arbeiten und gehen. Oft an sensiblen Anlagen. Das KRITIS-Dachgesetz fordert nachweisbaren, kontrollierten Zugang –
auch für Externe.
Wir implementieren:
Jeder Externe wird strukturiert erfasst und dokumentiert – für maximale Transparenz im Betrieb.
Dokumentation & Nachweisunterstützung
Das KRITIS-Dachgesetz fordert belegbare Schutzmaßnahmen – gegenüber dem BBK und im Schadensfall. Simago® protokolliert Zutritte automatisch und durchgängig.
Wir unterstützen Sie bei:
Damit Sie Prüfungen strukturiert und mit belastbarer Datenbasis begegnen können.
Notfall- & Krisenprozesse
Das KRITIS-Dachgesetz fordert Krisen- und Notfallpläne — nicht als Dokument in der Schublade, sondern als gelebten Prozess. Simago® integriert Notfallszenarien direkt in den laufenden Betrieb.
Wir integrieren:
Ziel: Handlungsfähigkeit auch bei Störung oder Angriff.
Resilienz im Personalmanagement
Betriebssicherheit unter Belastung bedeutet: Schlüsselpositionen müssen auch bei Ausfall, Krankheit oder Krise besetzt sein. Simago® verknüpft Personalplanung direkt mit Zutrittsberechtigung.
Wir verknüpfen:
Resilienz entsteht durch Struktur – nicht durch Reaktion.
Wir beraten nicht nur. Wir setzen auch um.
Das unterscheidet uns von klassischen Sicherheitsberatungen: Was wir empfehlen, können wir auch realisieren – mit eigener Software Simago®
und bewährter Hardware unserer Partner (Datafox, dormakaba, PCS).
Beratung und Umsetzung aus einer Hand. Mit voller Verantwortung bis zum Go-Live. Und darüber hinaus.
Was das für Sie bedeutet:
Von der Analyse bis zum Nachweis – Schritt für Schritt.
KRITIS-Projekte scheitern nicht an der Technik – sondern an fehlender Struktur. Unser bewährtes Vorgehen:
Klären Sie hier Ihre offenen Fragen
Was zählt zur kritischen Infrastruktur (KRITIS)?
Zur kritischen Infrastruktur zählen Einrichtungen und Unternehmen, deren Ausfall die Versorgung der Bevölkerung erheblich beeinträchtigen würde. Dazu gehören u. a. Energie, Wasser, Abfall, Gesundheit, Transport und öffentliche Verwaltung. Grundlage ist die BSI-Kritisverordnung, die Schwellenwerte und Sektoren definiert.
Bin ich von NIS-2 betroffen?
Das hängt von Branche und Unternehmensgröße ab. NIS-2 betrifft in der Regel Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz, wenn sie in sicherheitsrelevanten Sektoren tätig sind. Auch kleinere Unternehmen können betroffen sein, wenn sie Teil einer kritischen Lieferkette sind.
Gilt das KRITIS-Dachgesetz auch für mein Unternehmen?
Das KRITIS-Dachgesetz (Umsetzung der CER-Richtlinie) betrifft Betreiber kritischer Anlagen sowie Unternehmen mit hoher Versorgungsrelevanz. Auch Organisationen unterhalb der klassischen Schwellenwerte können einbezogen werden, wenn sie für die regionale Versorgung entscheidend sind.
Was ist der Unterschied zwischen NIS-2 und dem KRITIS-Dachgesetz?
NIS-2 fokussiert sich auf Cybersecurity und organisatorische Sicherheit
(z. B. IT-Systeme, Risikomanagement).
Das KRITIS-Dachgesetz ergänzt dies um physische Sicherheit und Resilienz, etwa Zutrittskontrolle, Schutz von Anlagen und Notfallfähigkeit. Beide Regelwerke greifen in der Praxis ineinander.
Welche konkreten Pflichten ergeben sich daraus?
Unternehmen müssen Risiken systematisch bewerten, geeignete Schutzmaßnahmen umsetzen und diese nachweisen können. Dazu gehören technische, organisatorische und physische Maßnahmen. Grundlage sind u. a. Art. 21 NIS-2 sowie die Anforderungen aus dem KRITIS-Dachgesetz.
Welche Fristen muss ich beachten?
Die erste Frist des KRITIS-Dachgesetzes ist bereits abgelaufen: Betreiber kritischer Anlagen mussten sich bis zum 17. Juli 2026 beim BBK registrieren. Wer das noch nicht getan hat, sollte die Registrierung jetzt zügig nachholen.
Mit der Registrierung beginnen die Folgefristen: Innerhalb von etwa 9 Monaten muss eine Risikoanalyse und -bewertung vorliegen, innerhalb von etwa 10 Monaten greifen die Resilienzpflichten – einschließlich eines dokumentierten Resilienzplans mit konkreten physischen Schutzmaßnahmen. Unabhängig davon gelten die Meldepflichten bereits seit Inkrafttreten des Gesetzes: Erhebliche Störungen sind innerhalb von 24 Stunden zu melden.
Für die meisten Betreiber heißt das: Die Umsetzungsphase läuft jetzt. Da Risikoanalyse und Maßnahmenumsetzung bereichsübergreifend sind, empfiehlt sich ein früher Start mit einer strukturierten Bestandsaufnahme.
Stand: Juli 2026. Verbindliche Fristen ergeben sich aus dem Gesetz (KRITISDachG) und den Vorgaben der zuständigen Behörden.
Welche Anlagen müssen besonders geschützt werden?
Zu den besonders schützenswerten Bereichen gehören u. a. Leitstellen, Steuerungszentralen, technische Anlagen, Energieversorgungseinheiten, Zugangspunkte sowie kritische Infrastruktur im Außenbereich. Entscheidend ist, ob ein Ausfall direkte Auswirkungen auf die Versorgung hat.
Welche Rolle spielt physische Sicherheit konkret?
Physische Sicherheit ist ein zentraler Bestandteil der Resilienzanforderungen. Dazu zählen Zutrittskontrollen, Absicherung von Gebäuden und Anlagen, Schutz vor unbefugtem Zugriff sowie klare Zugangsregelungen für Personal und Fremdfirmen. Ziel ist es, Manipulationen und Ausfälle zu verhindern.
Wie weise ich meine Sicherheitsmaßnahmen im Audit nach?
Unternehmen müssen ihre Maßnahmen strukturiert dokumentieren, nachvollziehbar umsetzen und auswertbar protokollieren. Dazu gehören z. B. Zugriffsprotokolle, Berechtigungskonzepte und definierte Prozesse. Im Audit wird geprüft, ob Maßnahmen nicht nur existieren, sondern auch wirksam sind.
Welche Behörden sind für KRITIS zuständig?
Für Cybersecurity und Meldungen ist in Deutschland das BSI (Bundesamt für Sicherheit in der Informationstechnik) zuständig.
Für Resilienz und physische Sicherheit spielt das BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) eine zentrale Rolle, insbesondere im Rahmen des KRITIS-Dachgesetzes.
Was passiert, wenn ich die Anforderungen nicht erfülle?
Verstöße können zu behördlichen Maßnahmen, Bußgeldern und im Ernstfall zu Betriebsauflagen führen. Noch kritischer ist jedoch das Risiko realer Ausfälle, Imageschäden und Haftungsfragen bei unzureichender Absicherung.
Wie starte ich konkret mit der Umsetzung?
Der erste Schritt ist eine strukturierte Bestandsaufnahme: Welche Anlagen sind kritisch, wo bestehen Risiken, welche Maßnahmen fehlen? Darauf aufbauend wird ein priorisierter Maßnahmenplan entwickelt, der technische, organisatorische und physische Aspekte berücksichtigt.
Steffen Mankiewicz
CEO & Ansprechpartner für
die kritische Infrastruktur bei
LÜTH & DÜMCHEN
Lassen Sie uns Ihre Situation gemeinsam einordnen
In einem kurzen Gespräch erhalten Sie eine klare Einschätzung –
ohne Vorbereitung und ohne Verpflichtung.
Unverbindlich · ca. 15 Minuten ·
ohne Vorbereitung
