Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft und wurde durch ein Gesetz vom 21. Juli 2026 geändert. Es richtet sich an Betreiber kritischer Anlagen in zehn gesetzlich genannten Sektoren. Für die Praxis der Gebäudereinigung in kritischen Infrastrukturen ist vor allem § 13 relevant: Resilienzmaßnahmen können Zugangskontrollen, Krisen- und Alarmabläufe, Maßnahmen zur Aufrechterhaltung des Betriebs sowie ein Sicherheitsmanagement umfassen, das auch Personal externer Dienstleister einbezieht.
Daraus folgt keine pauschale KRITIS-Pflicht für jedes Reinigungsunternehmen. Das Gesetz definiert den Betreiber über den bestimmenden Einfluss auf die kritische Anlage. Ob eine Anlage in den Anwendungsbereich fällt, hängt zudem von noch zu konkretisierenden kritischen Dienstleistungen, Anlagenkategorien und Schwellenwerten ab. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, kurz BBK, weist deshalb aktuell darauf hin, dass die maßgebliche Identifizierungsverordnung noch erarbeitet wird und Betreiber kritischer Anlagen zurzeit noch nicht tätig werden müssen.
Gerade diese Übergangsphase eignet sich für einen Schnittstellencheck. Ziel ist nicht, endgültige Mindestanforderungen vorwegzunehmen. Ziel ist, vorhandene Zutritts-, Vertretungs- und Meldeprozesse so zu ordnen, dass externe Gebäudedienste später in eine risikobasierte Resilienzplanung eingebunden werden können. Die Fachzeitschrift „Facility Management“ beschreibt diese Übersetzung von Regulierung in den operativen Gebäudebetrieb als zentrale FM-Aufgabe. Diese Branchenperspektive ersetzt jedoch weder Gesetz noch Betreiberanalyse.
Zuerst den Rechtsstand und die Rollen sauber trennen
Das Gesetz gilt für Betreiber kritischer Anlagen in den Sektoren Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Eine Zugehörigkeit zu einem dieser Sektoren allein macht aber noch nicht jede Betriebsstätte zur kritischen Anlage. Die konkrete Identifizierung soll durch Rechtsverordnungen und gegebenenfalls Einzelfallfeststellungen erfolgen.
Nach der späteren Registrierung greifen die Risikoanalysepflichten nach § 12 erstmals nach neun Monaten. Die Pflichten zu Resilienzmaßnahmen, Vorfallmeldungen und Geschäftsleitungsumsetzung greifen erstmals nach zehn Monaten. Der aktuelle Stand des BBK lautet: Noch besteht keine Registrierungspflicht nach dem KRITIS-Dachgesetz, weil die konkretisierende Verordnung nicht in Kraft ist.
Auch bei ausgelagerten Facility-Services bleibt entscheidend, wer bestimmenden Einfluss auf die Anlage ausübt. Ein externer Reinigungsdienst wird durch Zugang zu einer Liegenschaft nicht automatisch zum Betreiber. Operative Aufgaben können vertraglich zugeordnet werden; die gesetzliche Betreiberrolle lässt sich daraus nicht pauschal auf den Dienstleister übertragen. Auch die Fachpresse zum Facility Management betont, dass die Betreiberverantwortung durch die Übertragung operativer Aufgaben unberührt bleibt.
Warum Reinigungsdienste in die Resilienzplanung gehören können
§ 13 verlangt vom Betreiber verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen auf Basis seiner Risikoanalyse. Als mögliche Bausteine nennt das Gesetz unter anderem physischen Objektschutz, Zugangskontrollen, Krisenmanagementprotokolle, festgelegte Alarmabläufe, Maßnahmen zur Betriebsaufrechterhaltung, Sicherheitsmanagement für eigenes und externes Personal sowie Schulungen und Übungen. Welche Maßnahmen erforderlich sind, entscheidet sich am konkreten Risiko; nicht jeder Katalogpunkt ist überall automatisch Pflicht.
Reinigungsdienste sind deshalb an mehreren Schnittstellen zu berücksichtigen, wenn sie laut Auftrag Zugang zu betroffenen Bereichen haben. Es geht um die Gültigkeit von Zutrittsmitteln, die Freigabe von Vertretungen, das Verhalten bei ungewöhnlichen Feststellungen, die Erreichbarkeit einer zuständigen Stelle und die Priorisierung von Aufgaben in einer Störung. Reinigungspersonal soll dabei keine Sicherheitsanalyse durchführen. Es braucht eine klar begrenzte Rolle: erkennen, Arbeit stoppen, Bereich nicht verändern und über den festgelegten Weg melden.
Sechs Bausteine für eine belastbare Dienstleister-Schnittstelle
1. Bereiche und Zugangsrechte zuordnen
Am Anfang steht keine Namensliste, sondern ein Zonenmodell des Betreibers. Für jede Reinigungsaufgabe wird festgelegt, welcher Bereich betreten werden darf, zu welchem Zeitfenster und unter welchen Bedingungen. Begleitung, Zwei-Personen-Regel oder technische Freigabe sind nur dort vorzusehen, wo Betreiberanalyse und Schutzkonzept dies verlangen. § 13 nennt Zugangskontrollen ausdrücklich als mögliche Resilienzmaßnahme.
Die Arbeitsunterlage für den Dienstleister sollte nur die zur Aufgabenerfüllung nötigen Angaben enthalten. Sicherheitskritische Gesamtpläne, Schutzziele und technische Details gehören nicht in breit verteilte Revierunterlagen. Eine praxistaugliche Zuordnung lautet etwa: Revier, erlaubtes Zeitfenster, erlaubte Zugänge, gesperrte Teilflächen, Freigabestelle und Abbruchkriterium.
2. Stammkräfte und Vertretungen gleich behandeln
Ein Zutrittskonzept verliert seinen Wert, wenn es nur für die Regelbesetzung funktioniert. Deshalb braucht jede Rolle einen definierten Vertretungsweg. Vor einem Einsatz wird geklärt, ob die Ersatzperson für den Bereich freigegeben, für die konkrete Aufgabe eingewiesen und im Zutrittssystem richtig hinterlegt ist. Spontanes Weitergeben von Karten oder Schlüsseln passt nicht zu einer kontrollierten Zugangskette.
Das Gesetz fordert kein einheitliches Prüfverfahren für jede Reinigungskraft. Es nennt jedoch ein angemessenes Sicherheitsmanagement unter Einbeziehung des Personals externer Dienstleister. Welche Freigaben, Nachweise oder Prüfungen verhältnismäßig und rechtlich zulässig sind, muss der Betreiber mit Sicherheits-, Personal- und Datenschutzverantwortlichen für den Einzelfall festlegen.
3. Schlüssel und Zutrittsmedien als eigenen Prozess führen
Ausgabe, Rückgabe, Sperrung und Verlustmeldung gehören in einen durchgängigen Prozess. Dafür sollte nachvollziehbar sein, welches Medium welcher Person oder Funktionsrolle zugeordnet ist, für welche Zone es gilt, wann die Berechtigung endet und wer bei Verlust erreichbar ist. Nicht benötigte Rechte werden nicht vorsorglich mitvergeben.
Für die Übergabe zwischen Betreiber und Dienstleister hilft ein kompaktes Register mit Medium, Berechtigungsumfang, Ausgabezeitpunkt, Rückgabe beziehungsweise Sperrung und dokumentierter Abweichung. Welche Protokolldaten gespeichert werden dürfen und wie lange, ist gesondert datenschutzrechtlich zu prüfen. Der Beitrag zur Datensicherheit in der Gebäudereinigung vertieft die digitale Seite von Zutritt, Apps und Reporting.
4. Alarm-, Stopp- und Meldewege üben
Ein Notfallblatt sollte nicht nur Telefonnummern enthalten. Es muss festlegen, bei welchen Beobachtungen die Arbeit sofort endet, welche Distanz oder Absperrung ohne Eigengefährdung einzuhalten ist, welche Stelle zuerst informiert wird und welche Informationen diese benötigt. § 13 nennt Krisenmanagementverfahren, Protokolle und festgelegte Abläufe im Alarmfall als mögliche Maßnahmen. Außerdem sollen betroffene Personen durch Informationen, Schulungen und Übungen mit den Maßnahmen vertraut gemacht werden.
Die Meldung einer Reinigungskraft bleibt sachlich: Ort, Zeitpunkt, beobachteter Zustand, bereits ausgelöste Warnung und eigene sichere Erreichbarkeit. Keine Ursachenvermutung, keine technische Prüfung und keine Fotos, sofern diese nicht ausdrücklich vorgesehen und rechtlich freigegeben sind. Die weitere Bewertung liegt bei der zuständigen Betreiberfunktion.
5. Mindestleistung für Störungen vorab bestimmen
§ 13 nennt Maßnahmen zur Aufrechterhaltung des Betriebs und zur zügigen Wiederherstellung der kritischen Dienstleistung. Daraus folgt nicht, dass jede reguläre Reinigungsposition im Notfall fortgeführt werden muss. Der Betreiber muss aus seiner Risikoanalyse ableiten, ob und welche Gebäudedienstleistungen für eine konkrete kritische Dienstleistung tatsächlich erforderlich sind.
Ein belastbarer Notfallplan trennt deshalb drei Kategorien: zwingend erforderliche Tätigkeit, zeitlich verschiebbare Tätigkeit und im Ereignisfall untersagte Tätigkeit. Hinzu kommen erreichbare Ansprechpersonen, alternative Zugänge, Materialfreigaben und ein geregelter Rückkehrpunkt in den Normalbetrieb. So entsteht kein pauschales Versprechen, sondern eine vom Betreiber begründete Priorisierung.
6. Nachweise auf das Notwendige begrenzen
Der Resilienzplan muss die Maßnahmen und die zugrunde liegenden Erwägungen darstellen und bei Bedarf aktualisiert werden. Behörden können unter den gesetzlichen Voraussetzungen weitere Informationen, den Resilienzplan oder Auditergebnisse anfordern. Für die Dienstleister-Schnittstelle bedeutet das: Rollen, Freigaben, Unterweisungen, Übungen, Medienübergaben und relevante Abweichungen sollten in der vom Betreiber festgelegten Form nachvollziehbar sein.
Mehr Dokumentation ist nicht automatisch mehr Resilienz. Ein kurzer, aktueller Nachweis mit eindeutiger Verantwortung ist belastbarer als mehrere widersprüchliche Listen. Sicherheitsrelevante Unterlagen brauchen zudem festgelegte Empfänger, Versionen und Aufbewahrungsregeln.
Arbeitsmatrix für Betreiber, FM und Reinigungsdienst
Die folgende Matrix ist eine redaktionelle Arbeitshilfe. Sie leitet keine pauschalen Einzelpflichten aus dem Gesetz ab und muss an Risikoanalyse, Schutzkonzept, Arbeitsrecht, Datenschutz und Vertrag angepasst werden.
| Schnittstelle | Betreiber beziehungsweise beauftragte Betreiberfunktion | Reinigungsdienst im vereinbarten Umfang | Prüfnachweis |
|---|---|---|---|
| Sicherheitszonen | Zonen, Rechte und Bedingungen festlegen | nur freigegebene Bereiche betreten | aktuelle Rechtezuordnung |
| Vertretung | Freigabeprozess und Sperren definieren | Ersatzperson vor Einsatz melden | bestätigte Einsatzfreigabe |
| Zutrittsmittel | ausgeben, begrenzen und sperren | persönlich verwahren und Verlust melden | Ausgabe-/Rückgabenachweis |
| Auffälligkeit | Meldekriterien und zuständige Stelle festlegen | stoppen, sichern ohne Eigengefährdung, melden | Ereignisnotiz nach Vorgabe |
| Störbetrieb | notwendige und untersagte Tätigkeiten priorisieren | nur freigegebenen Notfallumfang ausführen | aktivierte Aufgabenliste |
| Rückkehr zum Regelbetrieb | Bereich und Normalprozess freigeben | Status und offene Arbeiten übergeben | dokumentierte Übergabe |
Zehn Prüffragen für den nächsten Objekttermin
- Ist geklärt, ob die betreffende Anlage überhaupt unter den künftigen konkretisierten Anwendungsbereich fallen kann?
- Welche Reinigungsreviere berühren laut Betreiberanalyse geschützte oder betriebswichtige Bereiche?
- Sind Zugangsrechte auf Aufgabe, Zone und Zeitfenster begrenzt?
- Funktioniert der Freigabeprozess auch bei Vertretung und kurzfristiger Umplanung?
- Sind Ausgabe, Rückgabe, Sperrung und Verlust von Zutrittsmitteln geregelt?
- Kennt jede eingesetzte Person ihren Stopp- und Meldeweg?
- Sind notwendige, verschiebbare und untersagte Tätigkeiten für den Störbetrieb getrennt?
- Ist die Schnittstelle zur Betreiberleitstelle oder einer anderen zuständigen Funktion erreichbar und geübt?
- Stimmen Vertrag, Revierunterlage, Zutrittssystem und Notfallblatt in Rollen und Bezeichnungen überein?
- Ist festgelegt, wann Rechte, Unterweisungen und Notfallabläufe erneut geprüft werden?
Fazit: Die Schnittstelle planen, nicht Betreiberpflichten verschieben
Das KRITIS-Dachgesetz macht externe Reinigungsunternehmen nicht automatisch zu Betreibern kritischer Anlagen. Es verlangt vom Betreiber aber eine risikobasierte Resilienzorganisation, die je nach Gefährdung auch Zugangskontrollen, Alarmprozesse, Betriebsfortführung und das Personal externer Dienstleister umfasst.
Der aktuelle Umsetzungsstand spricht gegen vorschnelle Standardklauseln: Die Identifizierungsverordnung und weitere Konkretisierungen befinden sich laut BBK noch in Arbeit. Sinnvoll ist jetzt ein dokumentierter Schnittstellencheck. Wer Zonen, Vertretungen, Zutrittsmittel, Stoppregeln, Prioritäten und Nachweise widerspruchsfrei ordnet, schafft eine belastbare Grundlage für die spätere betreiberspezifische Umsetzung. Wie strukturierte Abläufe in der täglichen Objektarbeit aussehen, zeigt die Seite zum Reinigungsservice; Fragen zur Einbindung in ein konkretes Objekt lassen sich direkt über die Kontaktseite klären.
Dieser Beitrag wurde mit KI-Unterstützung erstellt und vor Veröffentlichung redaktionell geprüft. Trotz sorgfältiger Prüfung können Inhalte Fehler enthalten oder zwischenzeitlich überholt sein – alle Angaben ohne Gewähr. Die Beiträge dienen der allgemeinen Information und stellen keine rechtliche, technische oder sonstige Beratung im Einzelfall dar; sie geben nicht in jedem Fall die Auffassung der Kurt-Service Gebäudedienst GmbH wieder. Hinweise auf Fehler nehmen wir gern unter info@kurt-service.de entgegen.