KRITIS-Dachgesetz: Was es für Sicherheit auf Data-Center-Baustellen bedeutet

Seit Frühjahr 2026 ist das KRITIS-Dachgesetz (KRITIS-DachG) in Kraft. Es setzt die EU-Richtlinie 2022/2557 (CER-Richtlinie) in deutsches Recht um und verpflichtet Betreiber kritischer Anlagen erstmals ausdrücklich zur physischen Resilienz – zusätzlich zur Cybersicherheit nach NIS2. Zu den erfassten Sektoren gehört auch Informationstechnik und Telekommunikation – für Data Center gelten allerdings wichtige Ausnahmen (siehe unten).

Die wichtigsten Pflichten im Überblick

• Registrierung der kritischen Anlagen beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
• Risikoanalysen auf Basis der nationalen Risikobewertung.
• Resilienzmaßnahmen und Resilienzplan – technisch, organisatorisch und sicherheitsbezogen, unter anderem mit Notfallvorsorge, physischer und personeller Sicherheit sowie regelmäßigen Schulungen.
• Meldepflichten bei erheblichen Störungen.
• Verantwortung der Geschäftsleitung für die Umsetzung – Verstöße können mit empfindlichen Bußgeldern geahndet werden.

Wichtig für Data Center: Betreiber kritischer Anlagen im Sektor Informationstechnik und Telekommunikation – dazu gehören Data Center – sind nach § 4 Abs. 2 Nr. 2 KRITISDachG von wesentlichen Teilen dieser Pflichten ausgenommen, unter anderem von Risikobewertung und Resilienzmaßnahmen (§§ 12 bis 16). Für sie gelten vor allem die Sicherheitsanforderungen nach BSI-Gesetz und NIS2 sowie die vertraglichen Vorgaben von Betreibern und Kunden. In der Praxis bleiben physische und personelle Sicherheit damit trotzdem Thema – nur auf anderer Grundlage. Stand: Oktober 2026, keine Rechtsberatung.

Die Fristen knüpfen an die Registrierung an. Welche Anlagen im Einzelnen erfasst sind, wird über Schwellenwerte per Rechtsverordnung festgelegt – die konkrete Betroffenheit muss jeder Betreiber im Einzelfall prüfen.

Warum das schon auf der Baustelle zählt

Ein Data Center wird nicht erst mit dem Live-Gang zur kritischen Anlage. Wer in der Bauphase Zutritte, Schlüssel, Material und Personal sauber steuert und dokumentiert, schafft die Grundlage, die Betreiber später in ihrer Risikoanalyse und ihrem Resilienzplan nachweisen müssen. Lücken aus der Bauphase – unklare Zutrittsberechtigungen, ungeprüftes Personal, fehlende Dokumentation – lassen sich im Betrieb nur schwer schließen.

Was das für die Wahl des Sicherheitsdienstes bedeutet

• Personelle Sicherheit: geprüftes Personal mit Führungszeugnis, im Bewacherregister erfasst, mit Verschwiegenheitserklärung – auf Wunsch erweitert überprüft.
• Fester Personalpool: namentlich bekannte Teams statt wechselnder Springer.
• Dokumentierte Zutrittskontrolle: Ausweise, Besucher, Schlüssel, Werkzeug- und Materialkontrolle – revisionssicher erfasst.
• Schulungsnachweise: Einweisungen, Brandschutzhelfer, Erste Hilfe, Deeskalation – belegbar.
• Vorfallsmanagement: klare Melde- und Eskalationswege mit vollständigen Berichten.
• Nahtloser Übergang von der Bauphase in den Live-Betrieb, ohne Wechsel des Dienstleisters.

Wie Solid Safety unterstützt

Solid Safety ist auf Data Center spezialisiert und hat über 40 Data-Center-Projekte begleitet – mit Erfahrung an KRITIS-Anlagen. Unsere Teams arbeiten mit digitalem Wachbuch, dokumentierten Rundgängen und PDF-Berichten, mit eigenem Personal statt Springern, zertifiziert nach ISO 9001 und DIN 77200. Mehr unter Sicherheitsdienst für Data Center.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für die konkrete Betroffenheit Ihrer Anlage wenden Sie sich an Ihre Rechts- oder Compliance-Beratung.

Data-Center-Projekt in Planung? Sprechen Sie mit uns →

← Alle Insights

Über Sharif Jusufi