Op4C · KRITIS-Resilienz aus einer Hand
Op4C für das KRITIS-Dachgesetz
Vom Wargame zum Resilienzplan: alle sechs Pflichtenfelder, ein Produkt.
Für Betreiber kritischer Anlagen in Energie, Wasser, Verkehr und weiteren Sektoren. Ein Produkt deckt alle sechs Pflichtenfelder ab. Bestehende Nachweise werden angerechnet.
Op4C · Hybride Bedrohungen · Lagebild 2018 bis 2030
Der Angriff kommt vor dem Patch.
Die Zeit zwischen Bekanntwerden und Ausnutzung einer Schwachstelle ist unter null gefallen. Gleichzeitig haben sich Schwachstellen und Schaden fast verdreifacht.
- 63 → −7
- Time-to-Exploit, Tage
- 2018 bis 2025. Negativ heißt: Ausnutzung vor dem Patch.
- ×2,9
- Schwachstellen pro Jahr
- 16.510 CVEs 2018, 48.185 CVEs 2025.
- 289 Mrd €
- Schaden deutsche Wirtschaft
- 2025, davon 70 % durch Cyberangriffe.
| Jahr | Time-to-Exploit, Tage | Schaden, Mrd € |
|---|---|---|
| 2018 | 63 | |
| 2019 | 103 | |
| 2020 | 44 | |
| 2021 | 32 | 223 |
| 2022 | 203 | |
| 2023 | 5 | 205.9 |
| 2024 | -1 | 266.6 |
| 2025 | -7 | 289.2 |
| 2026 | ||
| 2027 | ||
| 2028 | ||
| 2029 | ||
| 2030 | 490 (Projektion) |
Quellen · 9
- 1Google Cloud / Mandiant, „How Low Can You Go? An Analysis of 2023 Time-to-Exploit Trends“, 15.10.2024. Mittlere TTE: 2018/19 63 Tage, 2020/21 44, 2021/22 32, 2023 5.
- 2Mandiant / Google Threat Intelligence Group, M-Trends 2026, 23.03.2026. Mittlere TTE 2024: −1 Tag; 2025: geschätzt −7 Tage.
- 3Cloudflare, Application Security Report 2024, Juli 2024. Exploit-Versuch 22 Minuten nach Veröffentlichung des Proof-of-Concept (CVE-2024-27198).
- 4CVE.ICU (J. Gamblin), growth_analysis, Stand 01.10.2025: veröffentlichte CVEs 2018 16.510 bis 2024 39.970.
- 5J. Gamblin, „2025 CVE Data Review“, 01.01.2026: 48.185 CVEs in 2025, +20,6 % gegenüber 2024.
- 6Bitkom, Wirtschaftsschutz 2021 (05.08.2021): 223 Mrd € p. a. 2020/21; 103 Mrd € p. a. 2018/19.
- 7Bitkom / BfV, Wirtschaftsschutz 2023 (01.09.2023): 206 Mrd € 2023, 203 Mrd € 2022.
- 8Bitkom, Wirtschaftsschutz 2025 (22.09.2025): 289,2 Mrd € 2025, 266,6 Mrd € 2024; 70 % Cyberanteil; 1.002 Unternehmen.
- 9Statista Market Insights, „Estimated cost of cybercrime worldwide 2018–2029“: 9,22 Bio. US-$ (2024) auf 15,63 Bio. US-$ (2029), 11,1 % p. a. Projektion: Bitkom-Wert 2025 mit dieser Rate fortgeschrieben.
Warum jetzt handeln
Die KRITIS-Verordnung ist noch nicht verkündet. Sobald sie gilt, suchen rund 1.300 Betreiber gleichzeitig Berater und Kapazität. Wer jetzt beginnt, gewinnt Zeit – vorgezogene Analysen werden angerechnet.
1.300
Betreiber suchen gleichzeitig Kapazität
T0 + 3 Monate
Frist für Registrierung
R + 9 Monate
Frist für Risikoanalyse
R + 10 Monate
Frist für Resilienzplan und Haftung
Sechs Pflichtenfelder. Ein Produkt.
Von der Registrierung bis zum Compliance-Monitoring: Op4C deckt alle sechs Pflichtenfelder ab. Ein Ansprechpartner. Nachweise aus BSIG, ISO und B3S werden angerechnet.
Pflichtenfeld
Frist · Norm
Op4C
- 01
Registrierung
Acht Angaben an das BBK über die gemeinsame Plattform. Änderungen binnen zwei Wochen.
T0 + 3 Monate
§ 8 KRITIS-DachGOp4C
Betroffenheitsprüfung, Datensatz, Übermittlung und Bescheid als Fristanker.
- 02
Risikoanalyse
All-Gefahren-Ansatz inklusive Abhängigkeiten. Mindestens alle vier Jahre.
R + 9 Monate
§ 12 KRITIS-DachGOp4C
Op4C-Wargame mit den Fachexperten des Betreibers. Dokumentierte Szenarien.
- 03
Resilienzplan
Maßnahmen für die vier Resilienzziele mit Bezug zur Risikoanalyse.
R + 10 Monate
§ 13 KRITIS-DachGOp4C
Priorisierte Maßnahmen mit Verantwortlichen aus dem Wargame-Deep-Dive.
- 04
Personalsicherheit
Sicherheitsmanagement für eigenes und externes Personal. Weglassen im Plan begründen.
R + 10 Monate
§ 13 Abs. 3 KRITIS-DachGOp4C
Rollen mit kritischer Funktion, Zugangsrechte, Prüfverfahren und Schulung.
- 05
Meldeservice 24 h
Erstmeldung spätestens 24 Stunden nach Kenntnis an die gemeinsame Meldestelle.
ab R + 10 Monate
§ 18 KRITIS-DachGOp4C
Bereitschaft, Meldeprozess, Meldevorlagen und Übung.
- 06
Compliance-Monitoring
Nachweise auf Anforderung der Behörde. Geschäftsleitung sichert Umsetzung.
Op4C
Nachweisdossier, Fristenüberwachung, Anrechnung bestehender Nachweise und Audit-Vorbereitung.
Hybrid Intelligence
Menschliche Fachexperten des Betreibers im Wargame, ergänzt um agentische Simulation und Strategic Foresight. Ein Produkt, ein Ansprechpartner, alle Pflichtenfelder.
Die Gleichung
wargaming×agentic simulation×strategic foresight=resilience, innovation, strategy
01
Betroffenheit prüfen
Geschäftsleitung prüft Betroffenheit nach § 4 und § 5. Verantwortlichen benennen und bestehende Nachweise inventarisieren.
02
Risikoanalyse starten
Wargame mit internen Experten durchführen. Szenarien dokumentieren. Bestehende Nachweise anrechnen lassen.
03
Resilienzplan ableiten
Maßnahmen priorisieren. Verantwortliche und Fristen festlegen. Meldeprozess und Nachweisdossier vorbereiten.
Häufige Fragen
- Was regelt das KRITIS-Dachgesetz?
- Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Anlagen in zehn Sektoren. IT-Sicherheit bleibt beim BSI-Gesetz. In Kraft seit 17. März 2026.
- Wann muss die Risikoanalyse vorliegen?
- Spätestens neun Monate nach dem BBK-Bescheid (R + 9 Monate, § 12). Vorgezogene Analysen sind anrechenbar.
- Wer haftet bei Verstößen?
- Die Geschäftsleitung haftet ab R + 10 Monate persönlich (§ 20). Bußgelder reichen bis 1 Mio. EUR (§ 24).
- Kann ich bestehende ISO-Nachweise nutzen?
- Ja. Nachweise aus BSIG, NIS2, B3S sowie ISO 22301 und ISO 27001 sind anrechenbar (§ 17 Abs. 1).
Nächster Schritt
Betroffenheit jetzt prüfen
Sechs Fragen, jede mit Verweis auf den Gesetzestext, Ergebnis sofort. Auf Wunsch besprechen wir das Ergebnis mit Ihnen. Kein Verkaufsdruck.
Hinweis
Diese Seite ersetzt keine Rechtsberatung. Stand: September 2026.
Stand