T-SEN

KRITIS-Dachgesetz · BGBl. 2026 I Nr. 66 · in Kraft seit 17. März 2026

KRITIS-Dachgesetz: Pflichten für Betreiber

Betreiber müssen Risiken analysieren, einen Resilienzplan vorlegen und Vorfälle unverzüglich melden.

Für Betreiber kritischer Anlagen, Sicherheitsverantwortliche und Geschäftsleitungen: wer betroffen ist, welche Pflichten gelten und welche Fristen laufen – auf einer Seite, mit Verweis auf den Gesetzestext.

Was ist das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz (KRITIS-DachG) vom 11. März 2026 (BGBl. 2026 I Nr. 66) gilt seit dem 17. März 2026 und setzt die CER-Richtlinie (EU) 2022/2557 um. Es verpflichtet Betreiber kritischer Anlagen in zehn Sektoren, ihre physische Resilienz sicherzustellen. Zentrale zuständige Behörde ist das BBK.

10

Sektoren

500.000

Einwohner als Regelschwelle

24 Stunden

Meldefrist bei Vorfällen

bis 1 Mio. €

Höchstbußgeld

Wer ist vom KRITIS-Dachgesetz betroffen?

Das Gesetz gilt für Betreiber kritischer Anlagen in zehn Sektoren. Als Anlage zählen Betriebsstätten, Installationen, Geräte und Software. Ob eine Anlage tatsächlich kritisch ist, entscheiden Schwellenwerte.

Regelschwelle

Anlagenkategorien und Schwellenwerte legt die KRITIS-Verordnung fest. Als Regelwert gilt: Eine Anlage ist kritisch, wenn sie 500.000 Einwohner versorgt. Daneben kann das BMI eine Anlage im Einzelfall als kritisch feststellen. Der Bundesrat hatte empfohlen, die Schwelle auf 150.000 Einwohner abzusenken.

§ 5 KRITIS-DachG

Ausnahmen

Ausgenommen von den Kernpflichten sind Finanzunternehmen unter DORA und der Sektor IT und TK. Für Siedlungsabfallentsorgung und Sozialversicherung gilt von den Kernpflichten nur § 12. In diesen Bereichen greifen die jeweiligen Spezialgesetze.

§ 4 KRITIS-DachG

KRITIS-Verordnung

Die KRITIS-Verordnung liegt im September 2026 noch nicht vor. Erst sie legt fest, welche Anlagen konkret als kritisch gelten. Wer voraussichtlich betroffen ist, kann sich trotzdem schon jetzt auf die Pflichten einstellen.

Sektoren nach § 4 Abs. 1

  1. 01Energie
  2. 02Transport und Verkehr
  3. 03Finanzwesen
  4. 04Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
  5. 05Gesundheitswesen
  6. 06Wasser
  7. 07Ernährung
  8. 08Informationstechnik und Telekommunikation
  9. 09Weltraum
  10. 10Siedlungsabfallentsorgung

KRITIS-Dachgesetz: Pflichten und Fristen

Die Fristen beginnen mit der Registrierung beim BBK: Die Risikoanalyse nach § 12 ist nach neun Monaten fällig, die Pflichten nach §§ 13, 18 und 20 nach zehn Monaten (§ 8 Abs. 7).

  1. 3 Monate

    nach Feststellung als kritische Anlage

    Registrierung

    Betreiber registrieren ihre Anlage beim BBK mit Standort, Versorgungsgrad und Kontaktstelle. Änderungen sind unverzüglich mitzuteilen, spätestens nach zwei Wochen. Der Versorgungsgrad wird einmal jährlich aktualisiert.

    § 8 KRITIS-DachG

  2. 9 Monate

    nach Registrierung, danach alle vier Jahre

    Risikoanalyse

    Betreiber analysieren und bewerten die Risiken ihrer Anlage. Dazu zählen naturbedingte, technische und vom Menschen verursachte Risiken ebenso wie Abhängigkeiten von anderen Betreibern und Sektoren (§ 11 Abs. 2).

    § 12 KRITIS-DachG

  3. 10 Monate

    nach Registrierung

    Resilienzplan

    Betreiber treffen verhältnismäßige Maßnahmen nach dem Stand der Technik, um Vorfälle zu verhindern, die Anlage zu schützen, auf Vorfälle zu reagieren und den Betrieb wiederherzustellen. Die Maßnahmen werden im Resilienzplan festgehalten und nach jeder Risikoanalyse fortgeschrieben.

    § 13 KRITIS-DachG

  4. 24 Stunden

    nach Kenntnis des Vorfalls

    Meldewesen

    Vorfälle sind unverzüglich, spätestens 24 Stunden nach Kenntnis, an die gemeinsame Meldestelle von BSI und BBK zu melden. Spätestens einen Monat später folgt ein ausführlicher Bericht.

    § 18 KRITIS-DachG

  5. 10 Monate

    nach Registrierung

    Geschäftsleitung

    Die Geschäftsleitung ist dafür verantwortlich, dass die Resilienzmaßnahmen umgesetzt werden. Verletzt sie diese Pflicht, haftet sie dem Unternehmen persönlich.

    § 20 KRITIS-DachG

  6. auf Anforderung

    risikobasiert

    Nachweise

    Die Behörde kann den Resilienzplan und weitere Nachweise anfordern und Audits anordnen. Werden Mängel festgestellt, ist ein Plan zu ihrer Beseitigung vorzulegen.

    § 16 KRITIS-DachG

  7. jederzeit

    als Nachweis

    Gleichwertigkeit

    Bereits vorhandene Risikoanalysen, Maßnahmen und Zertifizierungen wie ISO 22301 oder ISO 27001 können als Nachweis dienen. Feststellungen anderer Behörden wirken zugunsten des Betreibers.

    § 17 KRITIS-DachG

Bußgelder nach § 24 KRITIS-Dachgesetz

Bußgeldbewehrt sind Verstöße bei Registrierung, Nachweisen und Mitwirkung. Wer Resilienzmaßnahmen nicht umsetzt, riskiert dafür selbst kein Bußgeld – wohl aber die persönliche Haftung der Geschäftsleitung nach § 20.

RahmenVerstoß
bis 1 Mio. €Verstoß gegen die Anordnung, bei vermuteter Registrierungspflicht Unterlagen vorzulegen§ 24 Abs. 2 i. V. m. § 8 Abs. 2 KRITIS-DachG
bis 500.000 €Audit-Ergebnisse nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt§ 24 Abs. 2 i. V. m. § 16 Abs. 3 KRITIS-DachG
bis 200.000 €Verstoß gegen Anordnungen zu Nachweisen, zum Resilienzplan oder zur Mängelbeseitigung§ 24 Abs. 2 i. V. m. § 16 Abs. 2, 3, 5 KRITIS-DachG
bis 100.000 €Registrierung unterlassen, falsch, unvollständig oder verspätet vorgenommen; Zutritt oder Auskunft verweigert§ 24 Abs. 2 i. V. m. § 8 Abs. 1, § 16 Abs. 4 KRITIS-DachG

KRITIS-Dachgesetz: CER, NIS2, KRITIS-Verordnung

CER-Richtlinie

Mit dem KRITIS-Dachgesetz setzt Deutschland die Richtlinie (EU) 2022/2557 (CER-Richtlinie) um. Das Gesetz regelt die physische Resilienz kritischer Anlagen; für die IT-Sicherheit gilt daneben das BSI-Gesetz.

NIS2 und BSI-Gesetz

Betreiber kritischer Anlagen gelten zugleich als besonders wichtige Einrichtungen nach dem BSI-Gesetz. Physische und digitale Pflichten bleiben getrennt geregelt, laufen aber über eine gemeinsame Registrierungs- und Meldestelle. Nachweise nach § 39 BSIG können für § 13 genutzt werden.

KRITIS-Verordnung

Die Verordnung mit Anlagenkategorien und Schwellenwerten liegt im September 2026 noch nicht vor. Erst sie entscheidet, welche Anlagen konkret als kritisch gelten.

Zeitplan

Kabinettsbeschluss am 10.09.2025, Bundestag am 29.01.2026, Bundesrat am 06.03.2026, in Kraft seit 17. März 2026. Geändert durch Art. 8 des Gesetzes vom 21. Juli 2026. Erste Evaluierung zwei Jahre nach Inkrafttreten, danach alle fünf Jahre.

Häufige Fragen zum KRITIS-Dachgesetz

Bin ich vom KRITIS-Dachgesetz betroffen?
Ja, wenn Sie eine kritische Anlage in einem der zehn Sektoren betreiben – also sobald die KRITIS-Verordnung die Schwellenwerte festlegt oder das BMI Ihre Anlage im Einzelfall als kritisch feststellt (§ 4, § 5).
Wann tritt das KRITIS-Dachgesetz in Kraft?
Seit dem 17. März 2026 (BGBl. 2026 I Nr. 66). Zuletzt geändert wurde es durch Art. 8 des Gesetzes vom 21. Juli 2026 (BGBl. 2026 I Nr. 221). § 14 Abs. 3 bis 5 treten erst am 1. Januar 2030 in Kraft.
Welche Fristen gelten nach Registrierung?
Die Risikoanalyse nach § 12 ist neun Monate nach der Registrierung fällig, die Pflichten nach §§ 13, 18 und 20 zehn Monate danach (§ 8 Abs. 7).
Was ist der Unterschied zwischen KRITIS-Dachgesetz und KRITIS-Verordnung?
Das Gesetz regelt die Pflichten (§§ 8, 12, 13, 16, 18, 20). Die Verordnung legt nach § 4 Abs. 3 und § 5 Abs. 1 fest, welche Anlagenkategorien und Schwellenwerte gelten. Im September 2026 ist sie noch nicht erlassen.
Welche Behörde ist für das KRITIS-Dachgesetz zuständig?
Das BBK. Es nimmt die Registrierung entgegen und betreibt gemeinsam mit dem BSI die Meldestelle (§ 3, § 8, § 18). Je nach Sektor kommen weitere Behörden hinzu, etwa die BNetzA für Energie oder die BaFin für das Finanzwesen.
Was muss der Resilienzplan enthalten?
Die technischen, sicherheitsbezogenen und organisatorischen Maßnahmen zu den vier Zielen des § 13. Der Plan baut auf der Risikoanalyse auf und wird nach jeder neuen Analyse fortgeschrieben (§ 13 Abs. 4).
Wie unterscheidet sich das KRITIS-Dachgesetz von NIS2?
Das Dachgesetz betrifft die physische Resilienz, zuständig ist das BBK. NIS2 und das BSI-Gesetz betreffen die IT-Sicherheit, zuständig ist das BSI. Registrierung und Meldungen laufen für beide über eine gemeinsame Stelle.
Welche Bußgelder drohen?
Bis zu 1 Mio. € bei Verstößen gegen Anordnungen zur Prüfung der Registrierungspflicht, bis zu 500.000 € bei nicht übermittelten Audit-Ergebnissen, bis zu 200.000 € bei Verstößen rund um Nachweise und bis zu 100.000 € bei unterlassener Registrierung (§ 24).
Was sollten Betreiber jetzt tun?
Prüfen, ob die eigene Anlage betroffen sein könnte, Risikoanalyse und Resilienzplan vorbereiten und den Erlass der KRITIS-Verordnung im Blick behalten. Op4C begleitet jeden dieser Schritte.

Op4C von T-SEN

Op4C compounds resilience

Op4C führt Risikoanalyse, Resilienzplan, Nachweise, Übungen und Meldewesen in einem Produkt zusammen – getragen von menschlichen Experten, ergänzt um Wargaming, agentische Simulation und Strategic Foresight. define the future.

Quellen

Hinweis

Diese Seite ersetzt keine Rechtsberatung. Stand: September 2026. Quelle: gesetze-im-internet.de.

Stand