KRITIS-Dachgesetz: Was ändert sich seit Inkrafttreten am 17. März 2026?

Mit dem Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, kurz KRITIS-Dachgesetz oder KRITISDachG (Artikel 1 des Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen, BGBl. 2026 I Nr. 66), existiert seit dem 17. März 2026 erstmals ein bundeseinheitlicher Rechtsrahmen für den physischen Schutz kritischer Infrastrukturen. Der Bundestag hatte das Gesetz am 29. Januar 2026 beschlossen, der Bundesrat stimmte in seiner Sitzung am 6. März 2026 zu. Das KRITISDachG setzt die europäische CER-Richtlinie (EU) 2022/2557 in nationales Recht um und ergänzt damit die rein digital ausgerichtete Cyber-Regulierung des BSIG. Für betroffene Betreiber bedeutet das: Neben den IT-Sicherheitspflichten aus dem NIS-2-Umsetzungsgesetz tritt nun eine zweite, eigenständige Compliance-Ebene für den Schutz vor physischen Gefahren hinzu.

Worum es beim KRITIS-Dachgesetz geht

Bislang war der Schutz kritischer Infrastrukturen in Deutschland überwiegend auf die Informationstechnik fokussiert. Das IT-Sicherheitsgesetz und zuletzt das NIS-2-Umsetzungsgesetz adressieren die digitale Verteidigung von Anlagen, etwa gegen Hackerangriffe oder Schadsoftware. Physische Bedrohungen wie Sabotage an Versorgungsleitungen, Anschläge auf Umspannwerke, Naturkatastrophen oder der Ausfall von Lieferketten waren bislang nicht umfassend bundeseinheitlich geregelt. Genau diese Lücke schließt das KRITISDachG.

Grundlage ist die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen, häufig als CER-Richtlinie bezeichnet (Critical Entities Resilience). Sie verpflichtet die Mitgliedstaaten, einen Rahmen für die physische Widerstandsfähigkeit kritischer Einrichtungen zu schaffen. Während die NIS-2-Richtlinie die Cybersicherheit regelt, betrachtet die CER-Richtlinie die analoge Welt: Standorte, Anlagen, Zugangskontrolle, Notfallplanung und Wiederherstellung nach einem Ausfall. Das KRITISDachG ist die deutsche Umsetzung dieses europäischen Auftrags.

Der zentrale Begriff lautet physische Resilienz: die Fähigkeit einer kritischen Anlage, Störungen vorzubeugen, ihnen standzuhalten, auf sie zu reagieren und den Regelbetrieb anschließend wiederherzustellen. Das Gesetz folgt dabei einem All-Gefahren-Ansatz. Betrachtet werden also nicht nur einzelne Szenarien, sondern das gesamte Spektrum denkbarer Gefährdungen, von Naturereignissen über technisches Versagen bis hin zu vorsätzlichen Angriffen und Lieferkettenunterbrechungen.

Wer ist betroffen? Sektoren und Schwellenwerte

Das KRITISDachG benennt in § 4 Abs. 1 die erfassten Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Die genaue Bestimmung, welche Anlagen innerhalb dieser Sektoren als kritisch gelten, erfolgt über Schwellenwerte. Ein zentrales Kriterium ist die Zahl der versorgten Personen.

Die Schwellenwerte zum Versorgungsgrad legt das Bundesministerium des Innern durch Rechtsverordnung fest; eine Anlage gilt ab einem dort bestimmten Stichtag als kritisch, wenn sie den Schwellenwert ihrer Kategorie erreicht (§ 5 Abs. 1 KRITISDachG). Der Regelwert für diese Schwellenwerte beträgt nach § 5 Abs. 2 grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner. Der Bundesrat hatte in seiner Stellungnahme empfohlen, den Regelwert auf 150.000 zu senken (BR-Drs. 558/25 (B), Nr. 11); in der verabschiedeten Fassung blieb es bei 500.000. Welche Dienstleistungen zu den Sektoren gehören, bestimmt ebenfalls eine Rechtsverordnung des Bundesinnenministeriums (§ 4 Abs. 3). Unabhängig davon kann das Bundesinnenministerium im Einzelfall feststellen, dass eine Anlage erheblich ist oder nicht (§ 5 Abs. 3).

Merkmal	Regelung im KRITISDachG
Erfasste Sektoren	Zehn Sektoren, u. a. Energie, Transport, Finanzen, Gesundheit, Wasser, Ernährung, IT/TK (§ 4)
Regelschwelle	Regelwert 500.000 zu versorgende Einwohner für die Schwellenwerte der Rechtsverordnung (§ 5 Abs. 2)
Schutzgegenstand	Physische Resilienz, All-Gefahren-Ansatz
Zuständige Stellen	BBK als zentrale Anlaufstelle, zuständig für Registrierung und Meldewesen; im Übrigen je nach Dienstleistung u. a. Bundesnetzagentur, BaFin, BSI oder Landesbehörden (§ 3)

Wichtig für die Einordnung: Betreiber kritischer Anlagen sind im Cyber-Recht eine Teilmenge der besonders wichtigen Einrichtungen nach dem neuen BSIG. Dieselben Unternehmen können daher sowohl unter das BSIG (digitale Sicherheit) als auch unter das KRITISDachG (physische Sicherheit) fallen. Die beiden Regelungskreise sind eng verzahnt, aber rechtlich getrennt. Den Begriff der kritischen Anlage übernimmt das BSIG aus dem KRITISDachG (§ 2 Nr. 22 BSIG verweist auf § 2 Nr. 3 KRITISDachG). Bis eine Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG in Kraft tritt, gilt für das BSIG nach § 66 BSIG allerdings die bisherige Begriffsbestimmung weiter.

Die zentralen Pflichten und ihre Fristen

Das KRITISDachG knüpft die meisten Pflichten an den Zeitpunkt der Registrierung. Diese gestaffelte Logik gibt Betreibern nach der Identifikation als kritische Anlage einen geordneten Aufbauzeitraum. Die folgenden Fristen ergeben sich aus den Vorschriften des Gesetzes. Nicht alle Betreiber trifft das volle Programm: Nach § 4 Abs. 2 gelten unter anderem die §§ 12 bis 16, 18 und 20 nicht für Finanzunternehmen im Sinne von DORA und nicht für Betreiber im Sektor Informationstechnik und Telekommunikation; für die Sektoren Siedlungsabfallentsorgung sowie Sozialversicherung und Grundsicherung gilt davon nur § 12.

Registrierung (§ 8)

Betreiber kritischer Anlagen müssen sich nach § 8 Abs. 1 spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, registrieren. Wann das der Fall ist, legt die Rechtsverordnung nach § 5 Abs. 1 mit Kategorien, Schwellenwerten und Stichtagen fest. Die Registrierung erfolgt beim BBK über eine gemeinsame Registrierungsmöglichkeit des Bundesamtes für Bevölkerungsschutz und Katastrophenhilfe (BBK) und des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Anzugeben sind unter anderem Kontaktdaten, Standort, Sektor und Art der erbrachten kritischen Dienstleistung.

Risikoanalyse und Risikobewertung (§ 12)

Auf Basis der nationalen Risikoanalysen und weiterer verlässlicher Quellen führen Betreiber eine eigene, anlagenspezifische Risikoanalyse und Risikobewertung durch. Diese ist erstmals neun Monate nach der Registrierung fällig und danach im Bedarfsfall, mindestens jedoch alle vier Jahre, zu wiederholen. Die nationale Risikoanalyse selbst koordiniert das Bundesinnenministerium und überprüft sie ebenfalls mindestens alle vier Jahre (§ 11 KRITISDachG).

Resilienzmaßnahmen und Resilienzplan (§ 13)

Aus der Risikobewertung leiten Betreiber geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen ab. Diese decken Prävention, physischen Schutz, Reaktion auf Vorfälle sowie die Wiederherstellung des Betriebs ab und werden in einem Resilienzplan dokumentiert. Die Pflichten nach § 13 gelten nach § 8 Abs. 7 erstmals zehn Monate nach der Registrierung.

Meldepflichten bei Störungen (§ 18)

Vorfälle, also Ereignisse, die die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigen oder beeinträchtigen könnten (§ 2 Nr. 9), sind dem BBK unverzüglich, spätestens 24 Stunden nach Kenntnis, über die gemeinsame Meldestelle von BSI und BBK zu melden. Spätestens einen Monat nach Kenntnis des Vorfalls ist ein ausführlicher Bericht zu übermitteln (§ 18 Abs. 1). Auch diese Pflicht gilt nach § 8 Abs. 7 erstmals zehn Monate nach der Registrierung.

Pflicht	Erstmalige Frist	Wiederholung	Rechtsgrundlage
Registrierung	spätestens 3 Monate, nachdem die Anlage als kritisch gilt	bei Änderungen	§ 8
Risikoanalyse	9 Monate nach Registrierung	mind. alle 4 Jahre	§ 12
Resilienzmaßnahmen	10 Monate nach Registrierung (§ 8 Abs. 7)	laufend	§ 13
Vorfallmeldung	ab 10 Monaten nach Registrierung; je Vorfall spätestens 24 Stunden nach Kenntnis, Bericht nach 1 Monat	im Ereignisfall	§ 18

Die Monatsfristen für Risikoanalyse, Resilienzmaßnahmen und Meldepflichten knüpfen an die Registrierung an und stehen in § 8 Abs. 7 KRITISDachG (neun Monate für § 12, zehn Monate für §§ 13, 18 und 20).

Verantwortung der Geschäftsleitung und Nachweise

Das KRITISDachG nimmt die Geschäftsleitung ausdrücklich in die Pflicht. Nach § 20 Abs. 1 sind Geschäftsleitungen verpflichtet, die nach § 13 Abs. 1 zu ergreifenden Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts; eine Haftung nach dem KRITISDachG selbst greift nur, wenn das Gesellschaftsrecht keine entsprechende Regelung enthält (§ 20 Abs. 2). Diese Konstruktion entspricht der Logik, die auch das NIS-2-Umsetzungsgesetz für die digitale Sicherheit vorsieht: Cybersicherheit und physische Sicherheit sind beide Leitungsaufgaben.

Die zuständigen Behörden können nach § 16 KRITISDachG Nachweise über die getroffenen Resilienzmaßnahmen verlangen, Prüfungen durchführen und die Beseitigung festgestellter Mängel innerhalb angemessener Fristen anordnen. Anders als das BSIG, das Betreiber kritischer Anlagen zu einem Nachweis alle drei Jahre verpflichtet (§ 39 Abs. 1 BSIG), arbeitet das KRITISDachG mit behördlich angeforderten Nachweisen: Die Behörde kann Bestandteile der Nachweise nach § 39 BSIG beim BSI anfordern und wählt die zu kontrollierenden Betreiber risikobasiert aus (§ 16 Abs. 1 und 2 KRITISDachG). Betreiber sollten ihre Dokumentation daher so führen, dass sie auf Anforderung kurzfristig vorgelegt werden kann.

Verhältnis zum BSIG und zur NIS-2-Umsetzung

Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz (NIS2UmsuCG), das das BSIG umfassend novelliert hat. In der neu strukturierten Fassung, häufig als BSIG 2025 bezeichnet, finden sich die Risikomanagementpflichten in den §§ 30 und 31, während die Nachweispflicht in § 39 geregelt ist. Die Inhalte des früheren § 8a finden sich im Wesentlichen in diesen Vorschriften, die Melde- und Registrierungspflichten stehen in den §§ 32 und 33. Betreiber kritischer Anlagen erbringen den Nachweis nach § 39 Abs. 1 BSIG erstmals zu einem vom BSI festgelegten Zeitpunkt und danach alle drei Jahre.

Für betroffene Unternehmen ergibt sich damit eine doppelte Compliance-Struktur:

• BSIG 2025 (NIS-2-Umsetzung): regelt die Cybersicherheit, also Risikomanagement, technische und organisatorische Maßnahmen sowie Meldepflichten für IT-Vorfälle. Maßgeblich sind die Größenschwellen nach § 28 BSIG sowie die Einordnung in die Kategorien besonders wichtige und wichtige Einrichtungen.
• KRITISDachG (CER-Umsetzung): regelt die physische Resilienz, also Standortsicherheit, Notfallplanung, physischen Schutz und Wiederherstellung. Maßgeblich sind die Sektoren nach § 4 und die Schwellenwerte nach § 5.

Beide Regelungskreise verfolgen denselben Zweck, die Aufrechterhaltung kritischer Dienstleistungen, setzen aber an unterschiedlichen Risikodimensionen an. Das KRITISDachG sieht selbst Verknüpfungen vor: Risikoanalysen, Dokumente und Zertifikate, die aufgrund anderer rechtlicher Pflichten oder freiwillig erstellt wurden, können zum Nachweis herangezogen werden (§ 17 Abs. 1 KRITISDachG), und die Behörde kann auf Nachweise nach § 39 BSIG zurückgreifen (§ 16 Abs. 1 KRITISDachG).

Ergänzend ist im Finanzsektor die Verordnung (EU) 2022/2554 (DORA) zu beachten, die seit dem 17. Januar 2025 unmittelbar gilt und die digitale operationale Resilienz von Finanzunternehmen regelt. Für Finanzunternehmen im Sinne von Art. 2 Abs. 2 DORA gelten unter anderem die §§ 12 bis 16, 18 und 20 KRITISDachG nicht (§ 4 Abs. 2 Nr. 1 KRITISDachG); im BSIG sind sie von den §§ 30, 31, 32, 35, 36, 38 und 39 ausgenommen (§ 28 Abs. 6 Nr. 1 BSIG).

Bußgeldrahmen

Das KRITISDachG enthält in § 24 einen Bußgeldkatalog mit vier Stufen (§ 24 Abs. 2): bis zu einer Million Euro bei Verstößen gegen eine vollziehbare Anordnung des BBK nach § 8 Abs. 2 (Vorlage von Unterlagen zur Registrierungsprüfung), bis zu 500.000 Euro, wenn ein Audit-Ergebnis nach § 16 Abs. 3 nicht, nicht richtig oder nicht rechtzeitig übermittelt wird, bis zu 200.000 Euro bei Verstößen gegen Anordnungen nach § 16 und bis zu 100.000 Euro in den übrigen Fällen, darunter fehlende oder unrichtige Registrierungsangaben nach § 8 Abs. 1. Aus redaktioneller Sicht ist der Bußgeldrahmen hier nicht als Druckmittel, sondern als sachliche Information zu verstehen: Er markiert den äußeren Rahmen behördlicher Durchsetzung.

Der All-Gefahren-Ansatz in der Praxis

Der vom KRITISDachG geforderte All-Gefahren-Ansatz unterscheidet sich grundlegend von einer reinen IT-Betrachtung. Während die Cybersicherheit nach dem BSIG vorrangig Angriffe auf Netze und Systeme abwehrt, verlangt die physische Resilienz eine Auseinandersetzung mit Gefährdungen, die sich aus der materiellen Umwelt einer Anlage ergeben. Dazu zählen Naturereignisse wie Hochwasser, Sturm oder extreme Hitze, technisches Versagen einzelner Komponenten, menschliches Fehlverhalten, vorsätzliche Angriffe wie Sabotage oder Anschläge sowie die Unterbrechung von Lieferketten, etwa bei Ersatzteilen, Energie oder Personal.

Eine belastbare Risikoanalyse nach § 12 KRITISDachG verknüpft diese Szenarien mit der konkreten Anlage. Sie betrachtet, welche Komponenten für die kritische Dienstleistung unverzichtbar sind, wie stark einzelne Standorte voneinander abhängen und welche Ausfallzeiten gesellschaftlich vertretbar wären. Aus dieser Bewertung leiten sich die Resilienzmaßnahmen nach § 13 ab. Das Gesetz gibt dafür vier Ziele vor (§ 13 Abs. 1): Prävention, also das Verhindern von Störungen; physischer Schutz, etwa Zugangskontrolle und Perimetersicherung; Reaktion, also Notfall- und Krisenmanagement; sowie Wiederherstellung, also die Rückkehr in den Regelbetrieb. Wichtig ist die Verhältnismäßigkeit: Das Gesetz verlangt geeignete und verhältnismäßige Maßnahmen, keine vollständige Absicherung gegen jedes denkbare Ereignis. Der Aufwand soll in einem nachvollziehbaren Verhältnis zur Eintrittswahrscheinlichkeit und zum potenziellen Schaden stehen.

Ein häufig unterschätzter Punkt ist die personelle Sicherheit. Zu den möglichen Maßnahmen zählt nach § 13 Abs. 3 Nr. 5 KRITISDachG ein angemessenes Sicherheitsmanagement hinsichtlich der Mitarbeitenden, einschließlich des Personals externer Dienstleister; nach Nr. 6 gehören Informationsmaterialien, Schulungen und Übungen für das Personal dazu.

Was Betreiber sinnvollerweise jetzt prüfen

Die erste und wichtigste Frage lautet, ob eine Anlage überhaupt in den Anwendungsbereich fällt. Da die Schwellenwerte sektorspezifisch sind und sich aus dem Zusammenspiel von § 4, § 5 und einer nachgelagerten Verordnung ergeben, ist eine saubere Betroffenheitsanalyse der Ausgangspunkt jeder weiteren Maßnahme. Erst danach lassen sich die fristgebundenen Pflichten, also Registrierung, Risikoanalyse, Resilienzplan und Meldewege, sinnvoll planen.

Üblicherweise wird empfohlen, vorhandene Strukturen aus dem Cyber-Bereich zu nutzen. Wer bereits ein Informationssicherheits-Managementsystem für das BSIG betreibt, kann Governance, Risikoinventar und Berichtswege auf die physische Dimension erweitern, statt parallele Strukturen aufzubauen. So lassen sich die eng verzahnten Anforderungen aus BSIG und KRITISDachG effizient zusammenführen.

Der kostenlose KRITIS-Check gibt eine erste, orientierende Einschätzung anhand von Schwellenwerten der BSI-KritisV; eine Einzelfallprüfung ersetzt er nicht.

Häufige Fragen

Seit wann gilt das KRITIS-Dachgesetz?

Das KRITISDachG ist am 17. März 2026 in Kraft getreten. Der Bundestag hatte es am 29. Januar 2026 beschlossen, der Bundesrat stimmte am 6. März 2026 zu. Es setzt die EU-Richtlinie 2022/2557 (CER-Richtlinie) zur physischen Resilienz kritischer Einrichtungen in deutsches Recht um.

Bis wann müssen sich Betreiber registrieren?

Nach § 8 Abs. 1 KRITISDachG hat die Registrierung spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, zu erfolgen. Einen festen Stichtag gibt es nicht; maßgeblich sind die Stichtage der Rechtsverordnung nach § 5 Abs. 1. Die Registrierung läuft beim BBK über eine gemeinsam von BBK und BSI eingerichtete Registrierungsmöglichkeit. Anzugeben sind unter anderem Kontaktdaten, Standort, Sektor und Art der kritischen Dienstleistung.

Worin unterscheidet sich das KRITIS-Dachgesetz vom BSIG?

Das BSIG in der Fassung des NIS-2-Umsetzungsgesetzes (seit 6. Dezember 2025) regelt die Cybersicherheit besonders wichtiger und wichtiger Einrichtungen einschließlich der Betreiber kritischer Anlagen, etwa Risikomanagement nach §§ 30 und 31 sowie Nachweise nach § 39. Das KRITISDachG regelt demgegenüber die physische Resilienz, also Schutz vor Sabotage, Naturkatastrophen und Lieferkettenausfällen. Beide Regelungskreise sind eng verzahnt, aber rechtlich getrennt.

Welche Sektoren erfasst das KRITIS-Dachgesetz?

§ 4 KRITISDachG nennt zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Ob eine konkrete Anlage als kritisch gilt, hängt von den Schwellenwerten der Rechtsverordnung nach § 5 Abs. 1 ab.