/kritis-resilienzpflichten

name: kritis-resilienzpflichten
description: "Resilienzpflichten und Resilienzplan nach dem KRITIS-Dachgesetz – Risikoanalyse und Risikobewertung des Betreibers § 12 auf Grundlage der nationalen Risikoanalysen § 11, Resilienzpflichten § 13 mit den vier Zielen Verhinderung von Vorfällen, angemessener physischer Schutz von Liegenschaften und Anlagen, Reaktion und Begrenzung negativer Auswirkungen sowie zügige Wiederherstellung, Verhältnismäßigkeitsmaßstab und Stand der Technik § 13 Abs. 2, sektorenübergreifende und sektorspezifische Mindestanforderungen § 14, Vorrang von Durchführungsrechtsakten der Kommission § 15, Nachweise und behördliche Anordnungen einschließlich Audits § 16, Gleichwertigkeit von Nachweisen § 17, Unterstützung durch die Behörden § 19 und Ausnahmebescheid § 22. Use when ein Resilienzplan zu erstellen, ein Nachweis zu erbringen oder eine behördliche Anordnung abzuwehren ist."
language: de
agents:
  researcher: ../../agents/researcher.md
  drafter: ../../agents/drafter.md
  reviewer: ../../agents/reviewer.md
provider_variants: [claude, gemini, openai]
test: ./test.md

/kritis-resilienz:kritis-resilienzpflichten

Zweck

Der Skill erstellt und prüft die materielle Compliance unter dem KRITIS-Dachgesetz: Risikoanalyse, Resilienzplan, Maßnahmenauswahl und Nachweisführung. Sein Schwerpunkt liegt auf dem **All-Gefahren-Ansatz** — anders als NIS2 erfasst das Dachgesetz Sabotage, Naturgefahren, technisches Versagen, Zutritt und Personal — und auf dem **Verhältnismäßigkeitsmaßstab**, der die einzige echte Begrenzung der Pflichten darstellt.

Eingaben

• Registrierte kritische Anlage(n) und die erbrachte kritische Dienstleistung
• Vorliegende nationale Risikoanalysen und Risikobewertungen nach § 11
• Eigene Risikoanalyse nach § 12: Stand, Methodik, Datum
• Bestehende Schutzkonzepte: Zutrittskontrolle, Perimeterschutz, Notstrom, Redundanzen, Notfall- und Wiederanlaufplanung, Personalsicherheit
• Bereits vorhandene Zertifizierungen und Audits (ISO 27001, ISO 22301, branchenspezifische Nachweise, B3S)
• Behördliche Anordnungen, Auditverlangen oder Fristsetzungen nach § 16
• Ob eine Bereichsausnahme nach § 4 Abs. 2 greift

Sub-Agent-Architektur

Der Researcher beschafft KRITIS-DachG, die Verordnungen nach §§ 11, 14, die RL (EU) 2022/2557, etwaige Durchführungsrechtsakte der Kommission und die Verlautbarungen des BBK. Der Drafter strukturiert Risikoanalyse und Resilienzplan entlang der vier Ziele des § 13 Abs. 1 und formuliert die Verhältnismäßigkeitsbegründung. Der Reviewer prüft, ob jede Maßnahme einem Ziel zugeordnet ist, ob die Zweck-Mittel-Relation belegt ist und ob Nachweise nach § 17 gleichwertig angerechnet werden können.

Ablauf

1. Anwendbarkeit der Pflichten klären

Die §§ 12 bis 16 gehören zu den Vorschriften, die nach [§ 4 Abs. 2 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__4.html) für bestimmte Betreiber **nicht** gelten — insbesondere für DORA-Finanzunternehmen und für den Sektor Informationstechnik und Telekommunikation; im Sektor Siedlungsabfallentsorgung bleibt **§ 12 anwendbar**. Die Prüfung erfolgt vor jeder inhaltlichen Arbeit (`/kritis-resilienz:kritis-anwendungsbereich-registrierung`).

2. Risikoanalyse des Betreibers ([§ 12 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__12.html))

Der Betreiber führt eine eigene **Risikoanalyse und Risikobewertung** durch. Sie baut auf den **nationalen Risikoanalysen und Risikobewertungen** nach [§ 11 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__11.html) auf, die das Bundesministerium des Innern mit dem BBK erstellt.

Inhaltlich zu erfassen sind alle Gefahrenarten des All-Gefahren-Ansatzes:

| Gefahrenkategorie | Beispiele | |---|---| | **Vorsätzliche Handlungen** | Sabotage, Anschlag, Einbruch, Insider-Täter, Drohnenüberflug | | **Naturgefahren** | Hochwasser, Sturm, Hitze, Starkregen, Erdbeben | | **Technisches und menschliches Versagen** | Ausfall von Anlagenteilen, Bedienfehler, Wartungsversäumnis | | **Abhängigkeiten** | Strom, Wasser, Telekommunikation, Lieferanten, Personal | | **Kaskadeneffekte** | Ausfallfolgen für andere kritische Dienstleistungen |

Die Analyse ist zu dokumentieren und fortzuschreiben; sie ist zugleich die Begründungsgrundlage für die Verhältnismäßigkeit der gewählten Maßnahmen.

3. Resilienzpflichten und Resilienzplan ([§ 13 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__13.html))

Nach § 13 Abs. 1 hat der Betreiber Maßnahmen zu treffen, um

1. **das Auftreten von Vorfällen zu verhindern**, 2. einen **angemessenen physischen Schutz** von Liegenschaften und kritischen Anlagen zu gewährleisten, 3. **auf Vorfälle zu reagieren, sie abzuwehren und die negativen Auswirkungen zu begrenzen**, und 4. nach Vorfällen die **zügige Wiederherstellung** der kritischen Dienstleistung zu gewährleisten.

**Jede Maßnahme des Resilienzplans wird genau einem dieser vier Ziele zugeordnet.** Ein Plan, der Maßnahmen nur aufzählt, ist gegenüber der Behörde nicht verteidigungsfähig.

**Maßstab (§ 13 Abs. 2):** Auf Grundlage der nationalen Analysen **und** der eigenen Analyse nach § 12 sind **verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen** zu treffen. Der **Stand der Technik soll eingehalten werden**. Es ist ein **Verhältnismäßigkeitsmaßstab** anzulegen und eine **Zweck-Mittel-Relation** zu bilden, bei der insbesondere der Aufwand zur Verhinderung oder Begrenzung ins Verhältnis zu setzen ist.

Praktisch heißt das: Der Plan dokumentiert je Maßnahme **Risiko → Ziel nach Abs. 1 → Maßnahme → Aufwand → Restrisiko**. Wo eine an sich mögliche Maßnahme unterbleibt, wird die Zweck-Mittel-Relation ausdrücklich begründet — das ist die einzige belastbare Verteidigung gegen eine spätere Anordnung.

4. Mindestanforderungen und Unionsrecht ([§ 14 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__14.html), [§ 15 KRITISDachG](https://www.gesetze-im-internet.de/kritisdachg/__15.html))

• **§ 14** —