KRITIS-Dachgesetz: 35 Prozent der Notstromanlagen weisen wesentliche Mängel auf

Auf Bundesebene zielt das geplante KRITIS-Dachgesetz darauf ab, die Vorsorge für schwerwiegende Krisenfälle in kritischen Infrastrukturen und Krankenhäusern grundlegend zu verbessern.

Besonders komplexe Notlagen wie eine unterbrochene Wasserversorgung, die mit einem gleichzeitigen Stromausfall einhergeht, stellen Gesundheitseinrichtungen vor erhebliche operative Probleme. Vor diesem Hintergrund analysieren Experten und Betreiber bestehende Schwachstellen sowie notwendige Anpassungen der Notfallkonzepte.

Mängel bei der Notstromversorgung und reale Belastungsproben

Dass Notfallsysteme im Ernstfall nicht immer reibungslos funktionieren, verdeutlichen Untersuchungen zur technischen Gebäudeausstattung. Laut dem TÜV-Baurechtsreport 2026 weisen 35 % der Notstromanlagen in Sonderbauten wie Krankenhäusern, Schulen, Hochhäusern oder Einkaufszentren wesentliche Mängel auf, was einem Anstieg um 9 Prozentpunkte gegenüber dem Erhebungsjahr 2022 entspricht.

Zu den typischen Problemen zählen Aggregatausfälle beim Start, überlagerter Kraftstoff sowie defekte Speicherbatterien. Im Rahmen der TÜV Cybersecurity Studie gaben zudem 15 % der befragten Unternehmen an, im Vorjahr einen Cyberangriff verzeichnet zu haben.

Dr. Joachim Bühler plädiert in diesem Kontext dafür, Mittel aus dem Sondervermögen des Bundes gezielt für die Ertüchtigung der Infrastruktur bereitzustellen.

Wie anspruchsvoll Notlagen in der Praxis sind, zeigte ein Stromausfall an der Uniklinik Freiburg an einem Sonntagmorgen. Während Intensivstationen und Operationssäle über Puffer abgesichert waren, blieben andere Bereiche dunkel; Diagnosegeräte wie MRT und CT schalteten in den Notbetrieb, was später aufwendige Neustarts erforderte.

Wer die Sicherheit kritischer Infrastrukturen erhöhen will, muss potenzielle Gefahrenquellen systematisch erfassen. Diese praxisnahe Excel-Vorlage unterstützt Sicherheitsverantwortliche dabei, eine lückenlose Dokumentation und Risikobewertung im Betrieb umzusetzen. Gefährdungsbeurteilung als vollständig bearbeitbare Excel-Datei gratis herunterladen

Obwohl laufende Eingriffe nicht abgebrochen werden mussten und Schwerverletzte versorgt wurden, meldete sich die Klinik für knapp vier Stunden von der regulären Notfallversorgung ab. Der Katastrophenschutzbeauftragte der Klinik, Dr. Thorsten Hammer, erklärte, dass solche Szenarien sowie Cyber- und hybride Vorfälle regelmäßig geübt werden.

Auch die Charité Berlin unterzieht ihre Notstromversorgung regelmäßigen Tests, um sich gegen Netzausfälle, Angriffe oder Extremereignisse zu wappnen, wobei betriebliche Krisenmanager eine stärkere Verankerung der Notfallvorsorge in bestehenden Prozessen fordern.

Für Notstromeinspeisungen schreibt die Norm DIN VDE 0100-551 vor, dass Umschaltvorgänge auch von elektrotechnischen Laien vorgenommen werden können müssen, wobei am Übergabepunkt in der Regel CEE-Steckverbinder bis 125A genutzt werden.

Forderungen nach klaren Zuständigkeiten und schneller Wiederherstellung

Trotz der gesetzgeberischen Impulse mahnen Fachleute Konkretisierungen an. Prof. Dr. Michèle Knodt von der TU Darmstadt und dem Forschungsnetzwerk DiReX stuft die europäische NIS-2-Richtlinie und das KRITIS-Dachgesetz zwar als wichtigen Rahmen ein, bemängelt jedoch fehlende Vorgaben dazu, wer im Notfall handlungsbefugt ist.

Angesichts von fast 2 Millionen Kilometern Stromleitungen und Tausenden Umspannwerken sei ein lückenloser physischer Schutz unmöglich. Resilienz bestehe daher vor allem in der schnellen Wiederherstellung durch standardisierte Komponenten, Ersatzteillager und sofort einsatzbereite Reparaturteams.

Die Vorbereitung auf komplexe Gefahrenlagen erfordert weit mehr als nur technische Vorkehrungen, wie erfahrene Sicherheitsfachkräfte wissen. Ein kostenloser Praxis-Report zeigt auf, worauf es bei der Gefährdungsbeurteilung wirklich ankommt, und liefert direkt die passenden Vorlagen für die betriebliche Praxis. Kostenloses E-Book mit Excel-Checkliste jetzt sichern

Zudem gewinnen hybride Bedrohungen an Gewicht. In Darmstadt informiert das seit 2025 erprobte Projekt einer autarken Litfaßsäule bei Netzausfällen bis zu 72 Stunden lang über Photovoltaik und Methanol-Brennstoffzellen die Bevölkerung.

Auch der bayerische Innenminister Joachim Herrmann bezeichnete das KRITIS-Dachgesetz als wichtigen Schritt, der jedoch praxistaugliche Vorgaben benötige. Energiesicherheit bleibe eine Gemeinschaftsaufgabe von Staat und Betreibern. Ein Stromausfall in Berlin Anfang des Jahres habe vor Augen geführt, wie verwundbar Netze gegenüber Sabotage, Cyberattacken oder Extremwetter seien.

Personelle Engpässe und IT-Sicherheitsstandards

Am 20. Oktober 2026 legten der Verband der Universitätsklinika Deutschlands (VUD), der 37 Universitätsklinika repräsentiert, und die BG Kliniken mit ihren 13 Standorten, über 19.000 Beschäftigten und mehr als 570.000 jährlichen Behandlungsfällen ein gemeinsames Positionspapier vor.

Darin fordern die Verbände mit Blick auf das geplante Gesundheitssicherstellungsgesetz verlässliche Personalplanungen, digitale Lagebilder, widerstandsfähige Infrastrukturen, klare Zuständigkeiten im Verteidigungsfall sowie erleichterte Vorgaben für Bevorratung und Eigenproduktion kritischer Arzneimittel. Investitionen sollten vorrangig Schwerpunktversorgern zugutekommen.

Wie dringlich organisatorische Maßnahmen sind, unterstreichen Erkenntnisse der Technischen Hochschule Würzburg-Schweinfurt (THWS). Prof. Dr. Sebastian Biedermann betont, dass rund 80 % der Sicherheitsvorfälle auf menschliche oder organisatorische Versäumnisse zurückzuführen sind.

Nach Einschätzung von Prof. Dr. Peter Bradl könnten im Katastrophenfall bis zu 40 % des eingeplanten Personals nicht für Schutzaufgaben greifbar sein. Auf technischer Ebene ergänzte das Bundesamt für Sicherheit in der Informationstechnik (BSI) das Instrumentarium durch die Veröffentlichung des BSI-Standards 300-1 for die Methodik Grundschutz++.

Dieser Standard zielt auf heterogene IT-Umgebungen und komplexe Virtualisierungen ab, priorisiert zentrale Geschäftsprozesse und soll ab 2027 nach Vorgaben zertifizierbar sein, die zur ISO/IEC 27001 kompatibel sind.