Das KRITIS-Dachgesetz ist ein neuer, umfassender Rechtsrahmen, mit dem Deutschland die Resilienz seiner kritischen Infrastrukturen stärken will. Er setzt die EU-Richtlinie 2022/2557 zur Resilienz kritischer Einrichtungen (CER-Richtlinie) in nationales Recht um und etabliert damit erstmals bundesweit einheitliche Mindeststandards für den physischen Schutz kritischer Anlagen, die genau definieren, welche Einrichtungen als kritisch gelten. Während bisher vor allem IT-Sicherheit im Vordergrund stand, verfolgt das KRITIS-Dachgesetz einen All- Gefahren-Ansatz. Konkret heißt das, es berücksichtigt Risiken wie Naturkatastrophen genauso wie technisches und menschliches Versagen sowie vorsätzliche Handlungen wie Sabotage oder Terror.

Das Gesetz umfasst elf Sektoren: Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, Abfallentsorgung, Informationstechnik und Telekommunikation, Ernährung, Weltraum sowie die öffentliche Verwaltung. Betreiber kritischer Infrastrukturen innerhalb dieser Sektoren, deren Anlagen für die Versorgung der Bevölkerung essenziell sind und typischerweise mehr als 500.000 Menschen versorgen, werden als KRITIS-Betreiber eingestuft. Für sie gelten künftig stringente Pflichten:

• Risiko- und Resilienzmanagement: Kritische Betreiber müssen regelmäßig Gefährdungsanalysen aller denkbaren Risiken durchführen und daraus Resilienzpläne entwickeln. Dabei sind auch Abhängigkeiten von Dritten – etwa wichtige Zulieferer – explizit zu berücksichtigen. Diese ganzheitlichen Sicherheitskonzepte sollen sowohl IT- Sicherheit als auch physischen Schutz und Notfallvorsorge abdecken.
• Konkrete Schutzmaßnahmen: Es gelten Mindestvorgaben, beispielsweise für Zugangskontrollen, Videoüberwachung, Detektionssysteme an kritischen Punkten, Notstromversorgung und Krisenmanagement-Prozesse. Betreiber müssen sowohl bauliche/technische Vorkehrungen treffen als auch organisatorische Maßnahmen wie Notfallpläne und regelmäßige Sicherheitsübungen implementieren.
• Melde- und Nachweispflichten: Sicherheitsvorfälle, die die kritische Dienstleistung erheblich beeinträchtigen, müssen unverzüglich den Behörden gemeldet werden. Zudem können Aufsichtsbehörden regelmäßig Nachweise einfordern, dass alle Resilienzpflichten erfüllt werden.
• Haftung und Sanktionen: Das Gesetz nimmt die Geschäftsleitung direkt in die Pflicht. Sie muss für die Einhaltung der Sicherheitsauflagen sorgen. Versäumnisse können mit Sanktionen geahndet werden. Diese klare Verantwortungszuweisung soll dafür Sorge tragen, dass Sicherheit zur Chefsache wird.

Das KRITIS-Dachgesetz befand sich Ende 2024 noch im Gesetzgebungsprozess. Es wird mit einem Inkrafttreten im Laufe des Jahres 2025 gerechnet. Nach Verabschiedung haben betroffene Organisationen nur eine begrenzte Zeit, die Vorgaben umzusetzen – aktuell gilt eine Umsetzungsfrist bis voraussichtlich 2026. Diese neuen Regeln markieren einen Kulturwandel: Kritische Infrastruktur soll nicht mehr nur digital sicher, sondern rundum ausfallsicher werden. Für viele Branchen bedeutet das zunächst einen erheblichen Mehraufwand, langfristig jedoch eine Stärkung der Versorgungssicherheit.

KRITIS und die Verpacker

Auf den ersten Blick zählt die Verpackungsindustrie nicht zu den KRITIS-Sektoren. Tatsächlich taucht sie in der offiziellen Liste nicht als eigenständiger Bereich auf. Dennoch spielt sie in mehreren kritischen Sektoren eine Schlüsselrolle und genau hier greifen die indirekten Auswirkungen des Gesetzes. Verpackungen sind oft die stille Voraussetzung, damit essenzielle Güter die Bevölkerung sicher erreichen. Ohne geeignete Verpackungen lassen sich weder Lebensmittel noch Medikamente zuverlässig transportieren. Entsprechend wurden während der Corona-Pandemie beispielsweise Hersteller von Lebensmittelverpackungen als systemrelevant eingestuft. Das neue KRITIS-Dachgesetz nimmt derartige Abhängigkeiten in den Fokus. So verpflichtet es die Betreiber kritischer Anlagen, ihre Lieferketten auf Resilienz zu prüfen und alternative Zulieferer für den Notfall zu identifizieren. Diese Vorgabe strahlt direkt auf vorgelagerte Akteure aus, sodass Packmittelhersteller, Verpackungsmaschinenbauer und andere Zulieferer im Umfeld kritischer Branchen mit in der Verantwortung stehen. Die Folge: Ein Lebensmittel- oder Pharma-Konzern, der nun als KRITIS-Betreiber gilt, wird seine Verpackungslieferanten viel stärker auf Ausfallsicherheit abklopfen. Neue Anforderungen von Kunden sind somit absehbar. Zulieferer müssen dadurch eventuell nachweisen, dass sie eigene Notfallkonzepte wie beispielsweise Zweitproduktionsstätten oder Lagerbestände haben, um im Krisenfall die Versorgung aufrechtzuerhalten. Auch Audits entlang der Supply Chain könnten zur Norm werden, da betroffene Unternehmen dokumentieren müssen, dass ihre gesamten Wertschöpfungsketten robust sind. Verpackungsunternehmen, die hier nicht mithalten, laufen Gefahr, bei Ausschreibungen ausgeschlossen zu werden. Ausfallsicherheit wird in der Lieferkette somit zum strategischen Erfolgsfaktor.

Besonders im Lebensmittel- und Pharmabereich ist die Verpackungsbranche de facto unverzichtbar. Laut BSI-Kritisverordnung zählt das Verpacken von Lebensmitteln sogar explizit zu den Prozessen, die unmittelbar an der Lebensmittelversorgung der Bevölkerung beteiligt sind. Packmittelproduzenten und Verpackungsmaschinenbauer können also als Teil der erweiterten kritischen Infrastruktur angesehen werden. Zwar gelten die gesetzlichen KRITIS- Pflichten formal bislang nur für die großen Betreiber am Ende der Kette, doch in der Praxis werden auch deren Zulieferer mit einbezogen. Die Verpackungsindustrie befindet sich somit in einer Grauzone: offiziell nicht KRITIS, aber essenziell, um KRITIS-Bereiche am Laufen zu halten.

Hinzu kommt, dass moderne Verpackungsprozesse immer digitaler werden. Produktionsanlagen, Sensorik und Steuerungssysteme sind häufig vernetzt – Stichwort Industrial IoT –, um die Effizienz zu steigern. Das eröffnet jedoch neue Angriffsflächen. Ein Hackerangriff, der beispielsweise eine automatisierte Verpackungslinie lahmlegt, kann die Lieferkette genauso unterbrechen wie ein physischer Schaden. KRITIS-Betreiber werden daher von ihren Zulieferern auch verstärkt Cyber-Sicherheit einfordern: Maschinenbauer müssen sichere Steuerungssysteme, Zugriffsbeschränkungen und Patch-Management gewährleisten, IT-Dienstleister robuste Netzwerke und Monitoring. Denn besonders vernetzte Verpackungssysteme gelten als anfällig, wenn sie nicht zeitgemäß geschützt werden – und das ist hierzulande bei einigen der Fall. Vor allem viele kleinere und mittlere Zulieferer weisen laut Bundesamt für Sicherheit in der Informationstechnik noch besorgniserregende Lücken in ihrer IT-Infrastruktur auf. Angreifer könnten solche Schwachstellen gezielt ausnutzen, um über den Umweg des Zulieferers an größere Unternehmen heranzukommen. Sprich: Ein mittelständischer Verpackungsbetrieb mit ungesicherter IT kann zum Einfallstor für einen Angriff auf einen Lebensmittelkonzern werden. Das KRITIS-Dachgesetz rückt dieses Risiko nun ins Bewusstsein und steigert den Druck auf die ganze Branche, ein höheres Sicherheitsniveau zu erreichen. Zwar betrifft es Verpackungsunternehmen nur indirekt, aber dennoch spürbar. Wer an Kunden in den Sektoren Ernährung, Gesundheitsversorgung oder Gefahrgut-Transport liefert, wird sich auf strengere Vorgaben von physischen Schutzvorkehrungen in den eigenen Werken bis zur Verpflichtung, Sicherheitskonzepte vorzulegen, einstellen müssen. Selbst Bereiche wie Instandhaltung oder Reinigung in Verpackungsbetrieben könnten ins Blickfeld geraten, da sie sicherheitsrelevant sein können. Die Verpackungsbranche wird somit Teil der Lösung für resiliente Lieferketten. Das erfordert ein Umdenken bei vielen Firmen, insbesondere in mittelständisch geprägten Zulieferketten.

Wann handeln? Jetzt!

Auch wenn es zusätzliche Arbeit und eine finanzielle Investition bedeutet: Die Frage danach, ob sich die Verpackungsbranche bereits jetzt mit dem Thema beschäftigen muss, lässt sich eindeutig mit „Ja“ beantworten. Dafür gibt es mehrere Gründe:

Knappe Umsetzungsfristen: Betreiber kritischer Infrastrukturen müssen bis spätestens 2026 umfangreiche Schutzmaßnahmen umgesetzt haben. Praktisch bedeutet das: Schon 2025 werden Audits, Risikoanalysen und Sicherheitsinvestitionen anlaufen. Zulieferer stehen im gleichen Zeitfenster unter Beobachtung. Unternehmen, die erst reagieren, wenn der erste Großkunde konkrete Anforderungen stellt, könnten ins Hintertreffen geraten. Denn die Umsetzung von Sicherheitsmaßnahmen – egal ob neue Zutrittskontrollsysteme, Netzwerk- Upgrades oder Notfallpläne – braucht Vorlaufzeit.

Parallel laufende Regulierung (NIS2): Zeitgleich mit dem KRITIS-Dachgesetz greift die EU- Richtlinie NIS2 (Network and Information Security 2). Diese verpflichtet auch mittelgroße Unternehmen zu Cyber-Sicherheitsmaßnahmen, sobald sie bestimmte Mitarbeiterzahlen oder Umsätze überschreiten. Darunter fällt die Lebensmittelversorgung genauso wie die Herstellung medizinischer Produkte und somit möglicherweise auch größere Verpackungshersteller, Maschinenbauer oder IT-Zulieferer der Branche. NIS2 bringt verbindliche Auflagen in der IT-Sicherheit und sieht ebenfalls erhebliche Bußgelder bei Nicht- Einhaltung vor. Mit anderen Worten: Selbst wenn ein Verpackungsunternehmen formal nicht unter das KRITIS-Dachgesetz fällt, könnte es über NIS2 direkt in die Regulierungspflicht rutschen. Die Geschäftsleitungen wären dann rechtlich verpflichtet, IT-Sicherheit zu organisieren, und würden bei Versäumnissen persönlich haften.

Aktuelle Bedrohungslage: Unabhängig von Gesetzen zeigt die unternehmerische Lebenswirklichkeit, wie verwundbar unsere Versorgungsstrukturen sind. Gezielte Sabotageakte, Cyberangriffe auf Industrieanlagen und sogar die Erfahrungen aus der Pandemie haben deutlich gemacht, dass Unterbrechungen von Lieferketten fatale Folgen haben können. Ein Brandanschlag, ein IT-Ausfall oder Sabotage in einem Verpackungswerk für Arzneimittel würde sich schnell auf Krankenhäuser und Patienten auswirken. Prävention ist deshalb das Gebot der Stunde.

Marktdruck und Reputation: Große Abnehmer investieren bereits massiv in Resilienz und erwarten das auch von ihren Partnern. In Ausschreibungen werden zunehmend Nachweise über Sicherheitsstandards verlangt. Ein Verpackungslieferant, der hier kein Konzept vorlegen kann, hat zukünftig einen Wettbewerbsnachteil. Wer seinen Kunden jedoch glaubhaft versichert, auch in Krisen zuverlässig zu liefern und gegen Angriffe gewappnet zu sein, wird als Partner bevorzugt.

Interne Verantwortung und Fürsorgepflicht: Schließlich geht es um die unternehmerische Sorgfaltspflicht gegenüber Mitarbeitern und der Gesellschaft. Auch ohne gesetzlichen Zwang sollte es ein Ziel der Unternehmensführung sein, Schaden von Belegschaft, Kunden und Öffentlichkeit abzuwenden. Ein resilienter Betrieb schützt Arbeitsplätze und trägt dazu bei, Versorgungsengpässe zu vermeiden.

Das KRITIS-Dachgesetz mag formal nur für große kritische Infrastrukturen gelten, faktisch zieht es jedoch Kreise bis in jeden Zulieferbetrieb, der an derartigen Gütern mitwirkt. Damit steht die Verpackungsbranche an einem Wendepunkt. Auch als nicht offizieller KRITIS-Sektor rückt ihr Beitrag zur Versorgungssicherheit stärker ins Rampenlicht. Unternehmen sollten Sicherheit und Resilienz daher ab sofort als integralen Bestandteil ihrer Wertschöpfung begreifen. In vielen Fällen bietet es sich an, gemeinsam mit spezialisierten Beratungsfirmen zunächst eine Analyse der eigenen Betriebsstruktur durchzuführen und im Anschluss konkrete Maßnahmen zu entwickeln und zu implementieren. Nur so bleiben Unternehmen in einer sicherheitsorientierten Marktumgebung konkurrenzfähig und leisten ihren Beitrag zur Stabilität der Lieferketten.

Erste Schritte zum KRITIS-Dachgesetz

Sicherheitsmanagement etablieren: Bauen Sie ein unternehmensweites Sicherheitsmanagement-System auf. Dazu gehören klare Schutzziele und Richtlinien, regelmäßige Risikoanalysen aller Bedrohungen und ein Resilienzplan mit definierten Maßnahmen. Ein Sicherheitsmanagement-System ist ein kontinuierlicher, iterativer Prozess, der sich fortlaufend an neue Bedrohungen, technologische Entwicklungen sowie organisatorische Veränderungen anpasst und somit regelmäßig überprüft, bewertet und weiterentwickelt werden muss.

IT- und Cyber-Sicherheit erhöhen: Schützen Sie digitale Produktionsanlagen und Unternehmens-IT nach dem neuesten Stand der Technik. Etablieren Sie Mechanismen zur Angriffserkennung und planen Sie, wie Sie im Ernstfall auf Cybervorfälle reagieren.

Physische Schutzmaßnahmen umsetzen: Überprüfen Sie die Zugangssicherheit Ihrer Werke und Lager. Implementieren Sie Zutrittskontrollsysteme und Videoüberwachung an kritischen Punkten, um Sabotage oder unbefugtes Eindringen zu verhindern. Stellen Sie Notfallausrüstung bereit – etwa Notstromaggregate, Brandmelde- und Löschtechnik –, um bei Ausfall externer Infrastrukturen wie Strom, Wasser und IT den Betrieb aufrechterhalten zu können. Entwickeln Sie konkrete Notfallpläne für verschiedene Szenarien. Definieren Sie alternative Bezugsquellen für kritische Materialien. Legen Sie Mindestlagerbestände für wichtige Verpackungsmaterialien an, um kurzfristige Störungen zu überbrücken. Ein Business- Continuity-Plan hilft, den Produktionsbetrieb nach Zwischenfällen möglichst rasch wiederherzustellen.

Mitarbeiter sensibilisieren und schulen: Fördern Sie ein Sicherheitsbewusstsein in der Belegschaft auf allen Ebenen. Schulen Sie Mitarbeiter regelmäßig. Üben Sie den Ernstfall von der Evakuierung bis zum Cyberangriffsszenario, damit im Krisenfall alle wissen, was zu tun ist.

Lieferketten-Transparenz und Kooperation: Treten Sie proaktiv in den Dialog mit Ihren Kunden und Zulieferern über Sicherheitsanforderungen. Klären Sie, welche Erwartungen kritische Kunden an Sie haben und wie Sie diese erfüllen können. Integrieren Sie selbst wichtige Dienstleister in Ihr Sicherheitskonzept, denn vertraglich vereinbarte Standards und gemeinsame Notfallübungen stellen sicher, dass alle Glieder der Kette im Ernstfall zusammenarbeiten können.

Rechtliche Entwicklung verfolgen: Behalten Sie die weitere Entwicklung der KRITIS- Gesetzgebung und der NIS2-Umsetzung im Blick. Prüfen Sie, ob Ihr Unternehmen ggf. formal unter neue Regulierungen fällt, und halten Sie entsprechende Compliance-Nachweise bereit.