§ 20 KRITIS-Dachgesetz: Was die Pflicht der Geschäftsleitung konkret bedeutet

Was genau verlangt § 20 Abs. 1?

Die Norm enthält zwei Pflichtdimensionen. Erstens die Umsetzungspflicht: Die Geschäftsleitung muss dafür sorgen, dass die Resilienzmaßnahmen des § 13 Abs. 1 — Vorfallprävention, physischer Schutz von Liegenschaften und Anlagen, Reaktionsfähigkeit, zügige Wiederherstellung der kritischen Dienstleistung — tatsächlich getroffen werden. Zweitens die Sicherstellungspflicht: Sie muss die Umsetzung durch geeignete Organisationsmaßnahmen absichern, also nicht nur anordnen, sondern organisatorisch gewährleisten, dass die Maßnahmen wirken und wirksam bleiben.

Bemerkenswert ist der Adressat. Während die übrigen Pflichten des Gesetzes den Betreiber als Organisation treffen, wendet sich § 20 unmittelbar an die Geschäftsleitung — also je nach Rechtsform an Geschäftsführerinnen und Geschäftsführer, Vorstände oder vergleichbare Leitungsorgane. KRITIS-Resilienz ist damit gesetzlich als Leitungsaufgabe definiert, nicht als delegierbare Facharbeit.

Kann die Geschäftsleitung die Aufgabe delegieren?

Die operative Ausführung — Risikoanalysen erstellen, Objektschutz beauftragen, Meldeprozesse aufbauen — wird in der Praxis selbstverständlich von Fachverantwortlichen, Sicherheitsbeauftragten oder externen Dienstleistern erledigt. Adressat der Pflicht aus § 20 Abs. 1 bleibt aber die Geschäftsleitung: Sie muss die Umsetzung sicherstellen. Delegation verschiebt also die Arbeit, nicht die Pflicht. Das entspricht der bekannten Systematik anderer Leitungspflichten: Wer delegiert, muss auswählen, einweisen und überwachen.

Was sind „geeignete Organisationsmaßnahmen"?

Das Gesetz definiert den Begriff nicht abschließend — hier beginnt die Auslegung, und verbindliche Konkretisierungen durch Behördenpraxis oder Rechtsprechung stehen naturgemäß noch aus. Aus der Systematik des Gesetzes lassen sich aber Bausteine ableiten, die eine Geschäftsleitung plausibel vorweisen können sollte:

Klare Zuständigkeiten. Wer verantwortet Risikoanalyse (§ 12), Resilienzplan (§ 13 Abs. 4), Meldewesen (§ 18)? Ohne benannte Verantwortliche und Vertretungsregeln lässt sich eine Sicherstellung kaum darstellen.

Berichtswege zur Leitung. Die Geschäftsleitung kann nur sicherstellen, was sie kennt. Regelmäßige Berichte über den Umsetzungsstand, offene Maßnahmen und Vorfälle gehören deshalb zum Kern jeder Organisationslösung.

Ressourcen. Maßnahmen nach § 13 Abs. 1 sind verhältnismäßig zu treffen (§ 13 Abs. 2) — aber sie kosten Budget, Personal und Zeit. Eine Leitung, die Maßnahmen beschließt, ohne Mittel bereitzustellen, stellt deren Umsetzung nicht sicher.

Personal und Dienstleister. Zu den Maßnahmen nach § 13 Abs. 3 zählen ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden — ausdrücklich einschließlich des Personals externer Dienstleister — sowie Schulungen und Übungen. Eine Leitung, die ihre Sicherstellungspflicht ernst nimmt, bezieht deshalb auch beauftragte Dritte nachweisbar in die Organisationsstruktur ein.

Kontrolle und Aktualisierung. Der Resilienzplan ist bei Bedarf und nach jeder Risikoanalyse zu aktualisieren (§ 13 Abs. 4). Die Organisationsmaßnahmen müssen also einen Zyklus abbilden, keinen Einmalakt.

Diese Aufzählung ist eine Einordnung, keine gesetzliche Checkliste — was im Einzelfall „geeignet" ist, hängt von Größe, Struktur und Risikoexposition des Betreibers ab.

Wie weist die Geschäftsleitung die Pflichterfüllung nach?

Hier verzahnt sich § 20 mit den Nachweispflichten des Gesetzes. Die zuständige Behörde kann Nachweise zur Einhaltung des § 13 Abs. 1 anfordern, insbesondere die Vorlage des Resilienzplans, und wählt die zu prüfenden Betreiber risikobasiert aus (§ 16 Abs. 2). Nachweise können durch Audits erfolgen; die Behörde kann die zugrunde liegende Dokumentation verlangen und Betriebsräume betreten (§ 16 Abs. 3 und 4).

Für die Geschäftsleitung heißt das: Die Pflichterfüllung ist nur so gut wie ihre Dokumentation. Der Resilienzplan muss die den Maßnahmen zugrunde liegenden Erwägungen erkennen lassen und auf die eigene Risikoanalyse Bezug nehmen (§ 13 Abs. 4) — er dokumentiert damit zugleich, dass die Leitung ihre Entscheidungen auf einer nachvollziehbaren Grundlage getroffen hat. Beschlüsse, Zuständigkeitsregelungen, Berichtstermine und Maßnahmenstände sollten so festgehalten werden, dass sie im Prüfungsfall ohne Rekonstruktionsaufwand vorgelegt werden können.

Für die Rechtsfolgen einer Verletzung der Pflicht aus Absatz 1 verweist § 20 Abs. 2 auf die für die jeweilige Rechtsform geltenden Regeln des Gesellschaftsrechts.

Ab wann gilt die Pflicht — und was sollte die Leitung vorher anstoßen?

Die Pflicht aus § 20 gilt erstmals zehn Monate nach der Registrierung des Betreibers (§ 8 Abs. 7) — zeitgleich mit den Pflichten zu Resilienzmaßnahmen (§ 13) und Meldewesen (§ 18), einen Monat nach Fälligkeit der Risikoanalyse (§ 12). Wer erst zu diesem Zeitpunkt beginnt, kommt zu spät: Die Organisationsstrukturen, die § 20 voraussetzt, müssen stehen, bevor die Maßnahmen fällig werden.

Sinnvoll ist deshalb, drei Dinge früh anzustoßen: die Klärung der eigenen Betroffenheit und die Vorbereitung der Registrierung nach § 8, die Benennung von Verantwortlichen samt Berichtsweg zur Leitung und die Aufsetzung des Risikoanalyse-Prozesses. Wie die Fristen insgesamt ineinandergreifen, zeigt der Beitrag Pflichten und Fristen im Überblick.

---

Das KRITIS-Cockpit dokumentiert Maßnahmen, Zuständigkeiten und Umsetzungsstände paragraphengenau und lückenlos dokumentiert — als laufender Nachweis dafür, dass die Leitung ihrer Sicherstellungspflicht nachkommt. Den Einstieg bietet ein kostenloses Briefing.

Dieser Überblick dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext (Bundesgesetzblatt — BGBl. 2026 I Nr. 66, zuletzt geändert durch G. v. 21.07.2026, BGBl. 2026 I Nr. 221); die konkretisierende Rechtsverordnung steht mit Stand August 2026 noch aus.