Das KRITIS-Dachgesetz ist geltendes Recht, aber die zentralen Betreiberpflichten sind noch nicht pauschal ausgelöst. Das Gesetz trat am 17. März 2026 in Kraft. Welche Anlagen aufgrund ihrer Kategorie und ihres Versorgungsgrads erfasst werden, muss eine Rechtsverordnung nach §§ 4 und 5 KRITISDachG konkretisieren. Nach dem aktuellen Hinweis des BBK besteht deshalb noch keine Registrierungspflicht nach dem KRITIS-Dachgesetz; weitere Pflichten beginnen zudem erst neun beziehungsweise zehn Monate nach der Registrierung.
Für Unternehmen lautet die richtige Aufgabe daher nicht „sofort jede Pflicht erfüllen“, sondern: mögliche kritische Anlagen identifizieren, den Verordnungsstand beobachten und die spätere Risiko- und Resilienzdokumentation vorbereiten.
Was regelt das KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz setzt die CER-Richtlinie (EU) 2022/2557 um. Es schafft einen sektorübergreifenden Rahmen für die physische und organisatorische Resilienz kritischer Anlagen. Gemeint ist die Fähigkeit, Vorfälle zu verhindern, sich davor zu schützen, darauf zu reagieren, Auswirkungen zu begrenzen und die kritische Dienstleistung wiederherzustellen.
Der Ansatz ist gefahrenübergreifend. Neben Sabotage und vorsätzlichen Angriffen können deshalb beispielsweise Naturgefahren, technische Ausfälle, Personalausfälle und Abhängigkeiten von Lieferketten relevant sein.
Welche Sektoren nennt das Gesetz?
§ 4 KRITISDachG nennt zehn Sektoren:
- Energie,
- Transport und Verkehr,
- Finanzwesen,
- Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende,
- Gesundheitswesen,
- Wasser,
- Ernährung,
- Informationstechnik und Telekommunikation,
- Weltraum,
- Siedlungsabfallentsorgung.
Die Nennung eines Sektors genügt nicht. Erfasst wird der Betreiber einer kritischen Anlage. Dafür muss die Anlage für eine kritische Dienstleistung erheblich sein. Kategorien, Schwellenwerte und Stichtage legt die noch erforderliche Rechtsverordnung fest. Der gesetzliche Regelwert von grundsätzlich 500.000 versorgten Einwohnern ist ein Maßstab für die Verordnungsgebung, aber keine universelle, bereits anwendbare Selbsteinstufungsschwelle.
Zusätzlich enthält § 4 sektorale Ausnahmen und Vorrangregeln. Unter anderem sind bestimmte DORA-Finanzunternehmen sowie Betreiber im Sektor Informationstechnik und Telekommunikation von wesentlichen Betreiberpflichten des Dachgesetzes ausgenommen. Ob eine Organisation betroffen ist, lässt sich deshalb nicht aus einer allgemeinen Sektorliste ableiten.
Rechtsstand und Zeitachse
| Zeitpunkt | Bedeutung |
|---|---|
| 17. März 2026 | KRITIS-Dachgesetz tritt in Kraft |
| Inkrafttreten der Schwellenwertverordnung | Kategorien und Schwellenwerte für kritische Anlagen werden operativ bestimmbar |
| spätestens drei Monate nach erstmaliger Einstufung | Registrierung der kritischen Anlage nach § 8, vorbehaltlich der gesetzlichen Startregel |
| neun Monate nach Registrierung | Pflichten aus § 12 zur Betreiber-Risikoanalyse beginnen erstmals |
| zehn Monate nach Registrierung | Pflichten unter anderem aus §§ 13 und 18 zu Resilienzmaßnahmen und Vorfallsmeldungen beginnen erstmals |
Der Gesetzestext enthält Übergangsregeln für die Zeit bis zur neuen Rechtsverordnung. Die bisherige BSI-Kritisverordnung bleibt in ihrem Übergangsbereich relevant. Unternehmen sollten daher nicht mit einem Entwurf oder einem pauschalen Schwellenwert arbeiten, sondern die Veröffentlichung im Bundesgesetzblatt und die BBK-Hinweise verfolgen.
Welche Pflichten werden nach der Registrierung relevant?
Registrierung
Betreiber übermitteln dem BBK über die gemeinsame Registrierungsmöglichkeit von BBK und BSI unter anderem Betreiber-, Kontakt-, Sektor-, Anlagen- und Versorgungsangaben. Änderungen sind je nach Angabe jährlich oder unverzüglich, spätestens binnen zwei Wochen nach Kenntnis, zu aktualisieren. Eine NIS2-Registrierung nach BSIG und eine KRITIS-Registrierung beruhen auf unterschiedlichen Tatbeständen; vorhandene Portalzugänge ersetzen die rechtliche Zuordnungsprüfung nicht.
Risikoanalyse und Risikobewertung
Nach § 12 bewertet der Betreiber relevante natürliche und vom Menschen verursachte Risiken einschließlich sektorübergreifender und grenzüberschreitender Abhängigkeiten. Die Analyse ist mindestens alle vier Jahre sowie bei wesentlichen Änderungen zu aktualisieren. Sie muss die nationale Risikobewertung und die konkrete Anlage zusammenführen.
Resilienzmaßnahmen und Resilienzplan
§ 13 verlangt verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen. Dazu können gehören:
- Notfallvorsorge und Krisenabläufe,
- baulicher und technischer Objektschutz,
- Umgebungsüberwachung, Detektion und Zugangskontrolle,
- Notstromversorgung und alternative Lieferketten,
- Sicherheitsmanagement für eigene und externe Mitarbeitende,
- Information, Schulung und Übungen.
Die Maßnahmen werden in einem angewendeten Resilienzplan dargestellt und mit der Risikoanalyse begründet. Diese Liste ist kein starrer Produktkatalog: Maßgeblich sind Risiko, Verhältnismäßigkeit, sektorale Sonderregeln und die noch ausstehenden Konkretisierungen.
Vorfallsmeldung
Sobald die Pflicht nach der gesetzlichen Anlaufphase greift, ist ein Vorfall, der die Erbringung einer kritischen Dienstleistung erheblich stört oder erheblich stören könnte, unverzüglich und spätestens innerhalb von 24 Stunden zu melden. Wesentliche Aktualisierungen und ein ausführlicher Bericht spätestens einen Monat nach der ersten Meldung folgen nach § 18. Das ist ein eigener Meldeweg neben einer möglichen Cybermeldung nach BSIG oder Datenschutzmeldung nach DSGVO.
Nachweise und Aufsicht
Zuständige Behörden können Audits und weitere Nachweise verlangen sowie Abhilfemaßnahmen anordnen. § 24 sieht je nach Verstoß gestaffelte Geldbußen bis zu einer Million Euro vor. Die alten Aussagen von pauschal zwei Millionen Euro oder einem Prozent Weltumsatz entsprechen dem geltenden Bußgeldkatalog nicht.
KRITIS-Dachgesetz und NIS2: die praktische Abgrenzung
| Frage | KRITIS-Dachgesetz | BSIG / deutsche NIS2-Umsetzung |
|---|---|---|
| Schutzfokus | physische und organisatorische Resilienz kritischer Anlagen | Sicherheit der für Dienste genutzten IT-Systeme, Komponenten und Prozesse |
| Adressatenlogik | kritische Anlage, Dienstleistung, Kategorie und Versorgungsgrad | Einrichtungsart nach Anlagen 1/2 plus Größen- und Sonderregeln |
| Zentrale Behörden | BBK und sektorale Behörden, Zusammenarbeit mit BSI | BSI und sektorale Aufsichten |
| Risikodokument | Betreiber-Risikoanalyse und Resilienzplan | dokumentierte Risikomanagementmaßnahmen nach § 30 BSIG |
| Vorfall | erhebliche Störung einer kritischen Dienstleistung | erheblicher Sicherheitsvorfall im Sinne des BSIG |
Eine Organisation kann unter beide Regelwerke fallen, nur unter eines oder unter sektorales Spezialrecht. Gemeinsame Asset-, Abhängigkeits-, Krisen- und Lieferkettendaten lassen sich integrieren. Die rechtlichen Schwellen, Meldungsentscheidungen und Nachweise sollten dennoch getrennt dokumentiert werden.
Was Unternehmen jetzt vorbereiten können
- Anlagen und kritische Dienstleistungen erfassen. Dokumentieren Sie Standort, Betreiberrolle, versorgte Gruppen und Abhängigkeiten.
- Rechtskataster versionieren. Halten Sie fest, welche Gesetzesfassung, BBK-Information und Verordnung geprüft wurde.
- NIS2 separat prüfen. Das BSIG gilt bereits seit 6. Dezember 2025; eine ausstehende KRITIS-Verordnung verschiebt keine vorhandenen BSIG-Pflichten.
- Risikoquellen zusammenführen. Verknüpfen Sie Cyber-, physische, personelle, Lieferketten- und Naturgefahren.
- Melde- und Krisenrollen entwerfen. Legen Sie fest, wer BBK-, BSI-, Datenschutz- und sektorale Entscheidungen koordiniert.
- Keine Scheinfrist erfinden. Interne Vorbereitungsziele sollten als Projekttermine bezeichnet werden, nicht als bereits geltende gesetzliche Fristen.
Für eine kombinierte Betroffenheits- und Umsetzungsanalyse unterstützt unsere NIS2-Beratung bei der Trennung von geltenden BSIG-Pflichten, KRITIS-Vorlauf und gemeinsamen Resilienznachweisen.
Quellen und Prüfung
- KRITIS-Dachgesetz in der geltenden Fassung
- § 8 KRITISDachG: Registrierung und Geltungszeitpunkte
- § 13 KRITISDachG: Resilienzpflichten und Resilienzplan
- BBK: FAQ zum aktuellen Umsetzungsstand des KRITIS-Dachgesetzes
- Deutscher Bundestag: Beschluss zum KRITIS-Dachgesetz
- Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.