Wissen · Kritische Infrastrukturen
KRITIS-Dachgesetz: Was kritische Einrichtungen umsetzen müssen
Das KRITIS-Dachgesetz (KRITISDachG) ist am 16. März 2026 in Kraft getreten und schafft erstmals einen bundeseinheitlichen Rahmen für den physischen und organisatorischen Schutz kritischer Anlagen. Es setzt die europäische CER-Richtlinie (EU) 2022/2557 in nationales Recht um. Betroffene Betreiber müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren, Resilienzrisiken bewerten, Schutzmaßnahmen umsetzen, Personal in sensiblen Positionen überprüfen und erhebliche Störungen melden.
- Rechtsgrundlage
- KRITIS-Dachgesetz (KRITISDachG) / RL (EU) 2022/2557 (CER)
- In Kraft seit
- 16.03.2026 (BGBl. 2026 I Nr. 66)
- Registrierung
- beim BBK, Frist Juli 2026
- Betroffene
- ca. 1.300 Betreiber kritischer Anlagen
- Sektoren
- 11 KRITIS-Sektoren (Energie, Wasser, Ernährung, Gesundheit u. a.)
- Verhältnis zu NIS2
- NIS2 = Cyber-Resilienz, KRITIS-DachG = physische Resilienz
Was ist das KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz ergänzt die auf Cybersicherheit ausgerichtete NIS-2-Umsetzung um die physische Dimension: Es adressiert die Widerstandsfähigkeit kritischer Einrichtungen gegenüber allen Gefahren („all hazards“) – von Naturereignissen und technischem Versagen über Sabotage und Anschläge bis zu Ausfällen der Versorgung. Rechtsgrundlage ist die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie).
Während NIS2 die IT- und Cyber-Sicherheit regelt, verlangt das KRITIS-Dachgesetz von denselben Betreibern zusätzlich organisatorische und bauliche Schutzmaßnahmen sowie belastbare Notfall- und Wiederherstellungskonzepte. Beide Regelwerke werden daher oft als Schwester-Regelungen bezeichnet.
Wer ist betroffen?
Erfasst werden Betreiber kritischer Anlagen in den KRITIS-Sektoren – dazu zählen unter anderem Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser, Abwasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum, Siedlungsabfallentsorgung sowie die öffentliche Verwaltung.
Maßgeblich ist die Überschreitung von Schwellenwerten, die sich an der Versorgungsbedeutung einer Anlage orientieren (Regelschwelle: Versorgung von rund 500.000 Personen). Schätzungen zufolge sind in Deutschland etwa 1.300 Betreiber betroffen. Kommunale Unternehmen wie Stadtwerke fallen dabei häufig unter das Gesetz.
Welche Pflichten bestehen?
Kritische Einrichtungen müssen sich beim BBK registrieren, eine Resilienzstrategie und eine All-Hazards-Risikobewertung erstellen, angemessene technische und organisatorische Schutzmaßnahmen umsetzen und erhebliche Störungen an die zuständige Behörde melden.
Neu ist die Pflicht zu Zuverlässigkeitsüberprüfungen für Personal in besonders sensiblen Positionen – häufig auch für eingesetzte Drittdienstleister. Die Umsetzung ist zu dokumentieren, um sie im Prüf- oder Krisenfall nachweisen zu können.
Fristen im Überblick
Das Gesetz ist am 16. März 2026 in Kraft getreten (veröffentlicht im Bundesgesetzblatt, BGBl. 2026 I Nr. 66). Die Registrierung als kritische Einrichtung beim BBK war bis Juli 2026 vorzunehmen. Da es sich um Dauerpflichten handelt, sind Risikobewertung, Maßnahmen, Zuverlässigkeitsüberprüfungen und Meldeprozesse fortlaufend aktuell zu halten.
Häufige Fragen
- Seit wann gilt das KRITIS-Dachgesetz?
- Es ist am 16. März 2026 in Kraft getreten und setzt die CER-Richtlinie (EU) 2022/2557 in deutsches Recht um.
- Wer muss sich beim BBK registrieren?
- Betreiber kritischer Anlagen oberhalb der Schwellenwerte in den KRITIS-Sektoren. Die Registrierungsfrist lief im Juli 2026.
- Was ist der Unterschied zu NIS2?
- NIS2 regelt die Cybersicherheit kritischer Einrichtungen, das KRITIS-Dachgesetz ihre physische und organisatorische Resilienz. Häufig sind dieselben Betreiber von beiden Regelwerken betroffen.
- Was sind Zuverlässigkeitsüberprüfungen?
- Überprüfungen der Vertrauenswürdigkeit von Personal in sensiblen Positionen – oft auch für Drittdienstleister. Sie sind zu dokumentieren.