Am 29. Januar 2026 verabschiedete der Bundestag das KRITIS-Dachgesetz, der Bundesrat stimmte am 6. März 2026 zu. Damit ist Deutschland der erste EU-Mitgliedstaat, der die CER-Richtlinie vollständig in nationales Recht umgesetzt hat. Für rund 1.300 Betreiber kritischer Anlagen beginnt jetzt die Uhr zu ticken.

Wer ist betroffen?

Das Gesetz gilt für Betreiber in elf Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Weltraum und Lebensmittel. Die genaue Identifikation betroffener Unternehmen erfolgt durch das BBK.

Die Fristen im Überblick

• Ab 17. Juli 2026: Registrierungspflicht beim BBK
• 9 Monate nach Registrierung: Risikoanalyse muss vorliegen
• 10 Monate nach Registrierung: Resilienzplan muss umgesetzt sein
• Alle 4 Jahre: Pflicht zur Überprüfung und Aktualisierung

Physische Anforderungen nach §13

• Perimeterschutz (Zäune, Poller, Fahrzeugsperren)
• Zutrittskontrollsysteme mit Protokollierung
• Videoüberwachung kritischer Bereiche
• Alarmierungs- und Meldesysteme
• Business Continuity Management (BCM)
• Notfallpläne und Krisenorganisation
• Personalsicherheit (Zuverlässigkeitsüberprüfungen)

Was kostet Nicht-Compliance?

Bußgelder bis zu 2 Prozent des weltweiten Jahresumsatzes sind möglich. Die geschätzten Gesamtkosten für die Wirtschaft: 1,7 Milliarden Euro einmalig, 500 Millionen Euro jährlich.

Die geopolitische Lage hat sich seit Februar 2026 dramatisch verändert. US-amerikanische und israelische Militärschläge gegen den Iran haben die Spannungen auf ein neues Niveau gehoben. Für Deutschland und insbesondere die Region Mainz/Rheinland-Pfalz entstehen daraus konkrete physische Sicherheitsrisiken.

Staatliche Akteure in Deutschland

Der iranische Geheimdienst (MOIS) und die IRGC-Quds-Brigaden unterhalten nachgewiesene Netzwerke in Deutschland. Aktuell verzeichnete Fälle:

• Fall 2025: Ausländischer Geheimdienstagent spähte jüdische Einrichtungen in einer deutschen Großstadt aus
• Synagoge NRW (2022): Brandanschlag im Auftrag eines ausländischen Geheimdienstes, gerichtlich bestätigt
• Diplomatische Einrichtung (Oktober 2024): Geplanter Anschlag durch Sicherheitsbehörden vereitelt

Physische Risiken für die Region Mainz/RLP

Rheinland-Pfalz beherbergt eine ungewöhnlich hohe Dichte an strategisch wichtigen Einrichtungen: Bundeswehrstandorte, NATO-Militärbasen, Großchemie-Komplexe und international tätige Biotechnologieunternehmen. Verdächtige Drohnenüberflüge über militärische und industrielle Anlagen wurden Ende 2024 / Anfang 2025 registriert.

Was Unternehmen jetzt tun sollten

• Bedrohungslagebewertung durch unabhängige Experten
• Überprüfung bestehender Perimeterschutzmaßnahmen
• Schulung der Mitarbeiter zu aktuellen Bedrohungsszenarien
• Notfallpläne für physische Angriffe aktualisieren
• Koordination mit LKA RLP und Verfassungsschutz

Im Jahr 2024 wurden in Deutschland 6.236 antisemitische Straftaten registriert – ein Anstieg von 20,8 Prozent und der höchste jemals erfasste Wert. Seit dem 7. Oktober 2023 hat sich die Sicherheitslage für jüdische Einrichtungen fundamental verändert. Was können Gemeinden konkret tun?

Förderung: Was steht zur Verfügung?

• Bundesförderung: 22 Millionen Euro jährlich über den Zentralrat der Juden (seit 2023)
• Rheinland-Pfalz: 4 Millionen Euro in 12 Objekte seit 2019 (Mainz, Worms, Koblenz, Ludwigshafen u.a.)
• RLP-Landeskonzept 2025: 11 Handlungsziele, 34 Maßnahmen

Technische Schutzmaßnahmen

• Eingangssicherung: Schusssichere Türen (RC4–RC6 nach DIN EN 1627), Einlassschleusen
• Perimeterschutz: Fahrzeugsperren (Poller, Betonelemente), Beleuchtungskonzept
• Elektronische Systeme: Videoüberwachung mit Echtzeit-Monitoring, Alarmanlage VdS-Klasse C
• Fensterschutz: Schuss- und sprengwirkungshemmende Sicherheitsverglasung

Organisatorische Maßnahmen

• Sicherheitskonzept mit klaren Verantwortlichkeiten und Eskalationspfaden
• Schulung des gesamten Personals (Wachpersonal, Verwaltung, Rabbiner)
• Regelmäßige Notfallübungen (Evakuierungsplan, Bombendrohungsprotokoll)
• Enge Abstimmung mit örtlicher Polizei und LKA

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz in Deutschland – ohne Übergangsfrist. Mehr als 30.000 Unternehmen sind betroffen. Die meisten konzentrieren sich auf IT-Sicherheit. Ein gefährlicher Denkfehler: Das Gesetz fordert explizit physische Sicherheitsmaßnahmen.

Was fordert NIS2 physisch?

• Zugangskontrolle zu kritischen Systemen und Bereichen
• Schutz vor unbefugtem physischen Zugang
• Sicherheit der physischen Umgebung (Serverräume, Technikräume)
• Maßnahmen gegen Diebstahl und Vandalismus
• Notfall- und Krisenmanagement mit physischen Komponenten

Geschäftsführerhaftung: Das übersehene Risiko

§38 BSIG führt die persönliche Haftung der Geschäftsleitung ein. Wenn ein Sicherheitsvorfall eintritt, den ein angemessenes Sicherheitsmanagement hätte verhindern können, haftet die Geschäftsführung persönlich. Diese Haftung kann nicht auf die GmbH übertragen werden.

Bußgelder und Sanktionen

• Wichtige Einrichtungen: bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes
• Besonders wichtige Einrichtungen: bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes
• Abschaltung des Betriebs als letzte Konsequenz

Rheinland-Pfalz ist auf den ersten Blick ein beschauliches Bundesland mit Weinbergen und Mittelstädten. Auf den zweiten Blick ist es einer der sicherheitssensitivsten Standorte in ganz Europa – mit einer KRITIS-Dichte, die kaum ein anderes Bundesland erreicht.

Die KRITIS-Landschaft in Mainz und RLP

• Großchemiestandort Rhein-Neckar: Einer der weltgrößten integrierten Chemiestandorte – Tausende Beschäftigte
• NATO-Militärbasis Westpfalz: Größter US-Militärstützpunkt außerhalb der USA – zentrale NATO-Relaisstation
• Globales Biotechnologieunternehmen Mainz: International führend in der mRNA-Technologie
• Öffentlich-rechtliches Sendezentrum Mainz: Kritische Medieninfrastruktur
• Universitätsklinikum Mainz: Größtes Krankenhaus in Rheinland-Pfalz
• 25 Bundeswehrstandorte in Rheinland-Pfalz insgesamt

Aktuelle Sicherheitslage (PKS 2024)

Die PKS 2024 zeigt: Wohnungseinbrüche in RLP auf dem niedrigsten Stand seit 50 Jahren (2.626 Fälle), aber Messerangriffe (+23,7%) und hybride Bedrohungslagen nehmen deutlich zu.

Was das für lokale Unternehmen bedeutet

Unternehmen in Mainz und RLP sind erhöhten Risiken durch die geopolitische Lage ausgesetzt. Eine regionale Sicherheitsberatung, die diese spezifischen Gegebenheiten kennt, ist kein Luxus – sondern Notwendigkeit.

87 Prozent aller deutschen Unternehmen waren laut Bitkom 2025 von Wirtschaftsspionage, Sabotage oder Diebstahl betroffen. Der Gesamtschaden: 289,2 Milliarden Euro – ein Rekord. Rund 30 Prozent entfielen auf physische Angriffe. Trotzdem haben die meisten KMU kein professionelles Sicherheitskonzept.

Was kostet ein professionelles Sicherheitskonzept?

• Kleines KMU (bis 50 MA): 5.000 – 8.000 Euro
• Mittelständisches Unternehmen (50–250 MA): 8.000 – 15.000 Euro
• Großunternehmen / komplexe Liegenschaft: ab 15.000 Euro
• KRITIS-Betreiber: Individualpreis nach Umfang

Was ist im Sicherheitskonzept enthalten?

• Bestandsaufnahme und Schwachstellenanalyse
• Bedrohungs- und Risikoanalyse (ISO 31000)
• Maßnahmenkatalog mit Prioritäten und Zeitplan
• Kostenschätzung für empfohlene Maßnahmen
• Notfallpläne und Alarmierungskonzept
• Compliance-Nachweis (NIS2, KRITIS, VdS)

Der Ablauf bei SecureStay Solutions

1. Kostenloses Erstgespräch (30 Minuten, telefonisch oder vor Ort)
2. Angebot innerhalb von 48 Stunden
3. Analyse vor Ort (Begehung, Interviews, Dokumentensichtung)
4. Konzepterstellung (2–4 Wochen je nach Umfang)
5. Präsentation und Übergabe mit Erläuterung aller Maßnahmen
6. Optionale Implementierungsbegleitung