Für viele Unternehmen stellt sich daher weniger die Frage ob, sondern wie sie sich mit den neuen Anforderungen auseinandersetzen müssen. Dieser Beitrag ordnet das KRITIS-Dachgesetz ein, zeigt die zentralen Pflichten auf und erklärt, warum Cloud-Infrastruktur dabei eine entscheidende Rolle spielt.
Was regelt das KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie um und erweitert den bisherigen Fokus auf klassische IT-Sicherheit. Im Mittelpunkt steht künftig die Resilienz kritischer und geschäftsrelevanter Systeme – also die Fähigkeit, auch bei Störungen, Angriffen oder Krisen handlungsfähig zu bleiben.
Neu ist vor allem der ganzheitliche Ansatz des Gesetzes. Betrachtet werden nicht mehr nur einzelne technische Schutzmaßnahmen, sondern das Zusammenspiel aus:
- Cyber-Sicherheit und physischer Sicherheit
- Technik und Organisation
- Prävention sowie Krisen- und Notfallmanagement
Für Unternehmen bedeutet das: Sicherheitsmaßnahmen dürfen nicht länger isoliert betrachtet werden. Sie werden Teil einer übergreifenden Betriebs-, Risiko- und Infrastrukturstrategie.
Sascha Vorderstemann,
CEO bei elio GmbH
Welche Unternehmen sind betroffen?
Auch Unternehmen, die nicht klassisch zur KRITIS zählen, sollten das Gesetz ernst nehmen. Besonders relevant ist es für Organisationen, die:
- IT- oder Cloud-Dienstleistungen für KRITIS-nahe Branchen erbringen
- geschäftskritische Plattformen oder digitale Kernprozesse betreiben
- unter NIS2, ISO 27001 oder vergleichbare Regularien fallen
- hohe Anforderungen an Verfügbarkeit, Datenschutz und Betriebssicherheit haben
Gerade Cloud-, Hosting- und Plattformanbieter rücken dabei stärker in die Verantwortung. Denn sie tragen maßgeblich dazu bei, wie resilient die Systeme ihrer Kunden tatsächlich sind.
Zentrale Anforderungen für Unternehmen
Risiko- und Resilienzmanagement
Ein zentraler Bestandteil des KRITIS-Dachgesetzes ist die verpflichtende, strukturierte Risikoanalyse. Unternehmen müssen Risiken nicht nur technisch, sondern auch organisatorisch bewerten.
Typische Fragestellungen sind:
- Welche Systeme sind kritisch für den Geschäftsbetrieb?
- Welche Auswirkungen hätte ein Ausfall oder ein gezielter Angriff?
- Wie schnell können Systeme wiederhergestellt werden (RTO/RPO)?
Ein dokumentiertes Resilienz- und Notfallkonzept wird damit zum festen Bestandteil moderner IT-Governance.
Technische und organisatorische Schutzmaßnahmen (TOM)
Darüber hinaus fordert das Gesetz nachweisbare Maßnahmen zur Absicherung von IT-Systemen und Daten. Dazu zählen unter anderem:
- Identitäts- und Zugriffskontrollen (IAM, MFA, Zero Trust)
- Netzwerk- und Mandantentrennung
- Monitoring, Logging und Angriffserkennung
- Härtung von Cloud- und Container-Infrastrukturen
- klar definierte Verantwortlichkeiten und dokumentierte Prozesse
Gerade in Cloud-Umgebungen zeigt sich dabei deutlich: Nicht das einzelne Tool entscheidet über Sicherheit, sondern Architektur und Betrieb.
Melde- und Nachweispflichten
Sicherheitsvorfälle müssen künftig strukturiert erkannt, bewertet und gemeldet werden. Gleichzeitig steigen die Anforderungen an:
- nachvollziehbare Dokumentation
- Audit- und Reporting-Fähigkeit
- klare Eskalations- und Kommunikationsprozesse
Unternehmen ohne etablierte Betriebs- und Monitoring-Konzepte geraten hier schnell unter Handlungsdruck.
Warum Cloud-Infrastruktur jetzt ein Compliance-Thema ist
Mit der Verschärfung der regulatorischen Anforderungen wird Cloud-Infrastruktur nicht länger nur als technischer Unterbau betrachtet. Sie wird zum zentralen Treiber für Compliance, Sicherheit und Betriebsstabilität.
Moderne Infrastrukturen müssen heute nicht nur funktionieren, sondern nachweislich regelkonform, ausfallsicher und auditfähig betrieben werden. Viele Compliance-Anforderungen – etwa zu Verfügbarkeit, Verantwortlichkeit oder Protokollierung – lassen sich nicht nachträglich „aufsetzen“. Sie müssen technisch in der Plattform verankert sein.
Professionelle Cloud-Architekturen bringen dafür zentrale Voraussetzungen mit:
- hochverfügbare Setups mit automatisierter Lastverteilung
- revisionssicheres Logging, Monitoring und Incident-Management
- transparente Zugriffskontrollen und klar definierte Zuständigkeiten
So wird Compliance nicht nur geplant, sondern im laufenden Betrieb belegbar.
Kubernetes: Resilienz durch orchestrierten Betrieb
Container-Orchestrierung mit Kubernetes ist heute Industriestandard für dynamische Applikationslandschaften. Doch Kubernetes ist weit mehr als ein Deployment-Werkzeug. Richtig betrieben, bildet es ein Fundament für resilienten, nachvollziehbaren und skalierbaren IT-Betrieb.
Zu den zentralen Vorteilen zählen:
- automatische Skalierung und Selbstheilung bei Ausfällen
- deklarative Konfigurationen, die Infrastrukturzustände transparent machen
- klare Segmentierung von Workloads zur besseren Sicherheitssteuerung
Ein professionell gemanagter Kubernetes-Betrieb schafft damit eine belastbare Grundlage, um regulatorische Anforderungen wie Melde-, Nachweis- und Resilienzpflichten strukturiert umzusetzen.
Simon Neuberger,
CTO bei elio GmbH
Souveränes OpenStack-Hosting in Deutschland
Ein weiterer zentraler Aspekt regulatorischer Anforderungen ist die Datenhoheit. Cloud-Hosting in Rechenzentren von deutschen Unternehmen spielt hier eine entscheidende Rolle.
Vorteile sind unter anderem:
- Datenhaltung im deutschen und europäischen Rechtsraum
- physische Standorte, die regulatorische Prüfungen erleichtern
- klare rechtliche Zuständigkeiten
OpenStack als Open-Source-Cloud-Plattform bietet zusätzlich Transparenz und Flexibilität. In einer Managed-OpenStack-Umgebung lassen sich Private-, Hybrid- oder Multi-Cloud-Strategien umsetzen – ohne Vendor-Lock-in und mit hoher technischer Nachvollziehbarkeit. Hosting wird damit nicht nur leistungsfähig, sondern auch rechtlich belastbar.
Managed Services: Betrieb als Compliance-Enabler
Entscheidend für die Einhaltung regulatorischer Vorgaben ist nicht allein die Infrastruktur, sondern ihr laufender Betrieb. Dazu gehören:
- kontinuierliches Monitoring
- zentrales Logging und Alerting
- regelmäßiges Patch- und Vulnerability-Management
- Betrieb nach ISO 27001 und regulatorischen Standards
Managed Services sorgen dafür, dass diese Aufgaben dauerhaft, dokumentiert und prüfbar umgesetzt werden. So entsteht klare Verantwortung zwischen Betreiber und Kunde – und eine Infrastruktur, die auch Audits standhält.
Was Unternehmen jetzt konkret tun sollten
Um handlungsfähig zu bleiben, empfiehlt sich ein strukturierter Ansatz:
- Eine Ist-Analyse zu Security, Resilienz und Compliance durchführen
- Kritische Systeme priorisieren
- Cloud- und Betriebsmodelle realistisch bewerten
- KRITIS-Dachgesetz, NIS2 und ISO 27001 zusammendenken
- Auf professionelle, auditfähige Betriebsmodelle setzen
Fazit: Resilienz wird zum Wettbewerbsfaktor
Das KRITIS-Dachgesetz ist mehr als eine regulatorische Pflicht. Es markiert einen grundlegenden Wandel hin zu robusten, sicheren und langfristig tragfähigen IT-Infrastrukturen.
Unternehmen, die jetzt in professionell betriebene Cloud- und Sicherheitsarchitekturen investieren, schaffen nicht nur regulatorische Sicherheit, sondern auch höhere Verfügbarkeit und Vertrauen bei Kunden, Partnern und Aufsichtsbehörden.
Wer sich vertiefend mit dem Zusammenspiel aus Cloud-Infrastruktur, Managed Security und Compliance-Anforderungen beschäftigen möchte, findet nicht nur bei elio praxisnahe Ansätze.
👉 Weiterführende Informationen zu sicheren, compliant betriebenen Cloud-Umgebungen finden sich auf der Website unseres Partners main cloud solutions.
