Das KRITIS Dachgesetz im Überblick: physische Resilienz statt Cybersicherheit allein

07.09.2026 | C. Wilhelm – Online-Redaktion, FORUM VERLAG HERKERT GMBH

KRITIS-Dachgesetz: Mitarbeiter in Schutzhelm und Warnweste prüft Industrieanlagen mit einer Taschenlampe. — © JD Studio – stock.adobe.com

Das „Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen“, kurz KRITIS-Dachgesetz, ist seit dem 17. März 2026 in Kraft und setzt die EU-Richtlinie CER erstmals sektorübergreifend in deutsches Recht um. Es verpflichtet Betreiber kritischer Anlagen in zehn Sektoren – von Energie bis Ernährung – zu Registrierung, Risikoanalyse und einem Resilienzplan mit konkreten Schutzmaßnahmen. Anders als NIS2 steht dabei die physische Resilienz im Fokus. Lesen Sie, wer betroffen ist, welche Fristen gelten und welche Bußgelder bei Verstößen drohen.

Inhaltsverzeichnis

Was ist das KRITIS Dachgesetz?
KRITIS-Dachgesetz aktueller Stand: Ist das KRITIS Dachgesetz schon gültig?
Das KRITIS Dachgesetz: Wer ist betroffen?
Welche Schwellenwerte gelten im KRITIS-Dachgesetz?
Informationen zur Registrierung: Worauf sollten Unternehmen achten?
Risikoanalyse: Diese Gefahren werden im Zusammenhang mit kritischen Dienstleistungen relevant?
Das KRITIS-DachG im Detail: Ein Überblick über wichtige Resilienzmaßnahmen
Wenn doch etwas passiert: Welche Meldepflichten gelten?
Verstöße gegen das KRITIS-Dachgesetz können eine Ordnungswidrigkeit darstellen
Fazit
FAQ: häufige Fragen zum KRITIS-Dachgesetz

Was ist das KRITIS Dachgesetz?

Das KRITIS-Dachgesetz wurde ins Leben gerufen, um die Widerstandsfähigkeit wichtiger Anlagen gegenüber möglichen Störungen zu erhöhen. Hierbei geht es vor allem darum, Vorfälle zu verhindern, Anlagen physisch zu schützen, auf Ereignisse zu reagieren und kritische Bereiche schnell wiederherzustellen.

Das KRITS Dachgesetz ergänzt die Regelungen zur IT- und Cybersicherheit. Während beispielsweise NIS2 beziehungsweise das BSI-Gesetz einen Schwerpunkt auf die Informations- und Cybersicherheit legen, steht beim KRITIS-Dachgesetz vor allem die physische Resilienz im Fokus. Und dementsprechend geht der Ansatz über den klassischen Objektschutz hinaus. Dies zeigt sich unter anderem insofern, als dass unter anderem auch Notfallvorsorge und Krisenmanagement eine wichtige Rolle spielen.

Wann tritt das KRITIS Dachgesetz in Kraft?

KRITIS-Dachgesetz aktueller Stand: Ist das KRITIS Dachgesetz schon gültig?

Das KRITIS-Dachgesetz wurde am 11. März 2026 ausgefertigt und ist am 17. März 2026 in Kraft getreten. Eine Ausnahme bildet lediglich § 14 Abs. 3 bis 5. Die hier enthaltenen Vorgaben treten erst zum 1. Januar 2030 in Kraft. Bis das Gesetz in Kraft treten konnte, war ein längeres Gesetzgebungsverfahren nötig. So hatte der Bundestag das Gesetz, das unter anderem die europäische Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen, kurz CER-Richtlinie, in deutsches Recht umsetzt, zum Beispiel schon am 29. Januar 2026 beschlossen.

Charakteristisch für das KRITIS-Dachgesetz ist, dass es verschiedene Verordnungsermächtigungen enthält. In ihm werden unter anderem:

die kritischen Dienstleistungen,
Anlagenkategorie und
konkrete Schwellenwerte

durch Rechtsverordnungen näher bestimmt.

Veranstaltungsempfehlung

Machen Sie Ihre Organisation KRITIS-fit: Der Zertifikats-Lehrgang zum Informationssicherheitsbeauftragten vermittelt das Know-how, um physische und digitale Risiken wirksam zu steuern und Resilienz nachhaltig aufzubauen.

Jetzt informieren.

Das KRITIS Dachgesetz: Wer ist betroffen?

Das KRITIS-Dachgesetz richtet sich vor allem an Betreiber kritischer Anlagen. Hierbei ist es nicht nur entscheidend, welcher Branche ein Unternehmen angehört oder wie groß es ist. Wichtig ist vielmehr die Antwort auf die Frage, ob eine Anlage für die Erbringung einer kritischen Dienstleistung genutzt wird.

In diesem Zusammenhang wird auch die Frage danach relevant, welche Dienstleistungen als „kritisch“ gelten: Unter anderem gehören dazu Leistungen, die der Versorgung der Allgemeinheit in den erfassten Sektoren dienen, und deren Ausfall oder deren Beeinträchtigung zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde.

Daher wäre es falsch, als Unternehmen allein aufgrund der Zugehörigkeit zu einer Branche automatisch abzuleiten, dass automatisch sämtliche Anforderungen des KRITIS-Dachgesetzes erfüllt werden müssen. Auch die jeweilige Dienstleistung, die Anlagenkategorie und der Versorgungsgrad spielen eine Rolle.

Exkurs: Was fällt alles unter kritische Infrastruktur?

Das KRITIS-Dachgesetz unterscheidet im Zusammenhang mit kritischen Infrastrukturen zwischen zehn Sektoren. Diese sind:

Energie
Transport und Verkehr
Finanzwesen
Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
Gesundheitswesen
Wasser
Ernährung
Informationstechnik und Telekommunikation
Weltraum
Siedlungsabfallentsorgung.

Welche Dienstleistungen dann wiederum innerhalb der einzelnen Bereiche als „kritisch“ gelten, wird über die Rechtsverordnung konkretisiert. Es gilt jedoch, zu berücksichtigen, dass nicht alle Vorschriften des KRITIS-Dachgesetzes gleichermaßen für alle genannten Sektoren gelten. Ausnahmen bestehen beispielsweise für verschiedene Finanzunternehmen sowie für Betreiber kritischer Anlagen aus den Bereichen Informationstechnik und Telekommunikation. Auch für die Siedlungsabfallentsorgung und für Leistungen der Sozialversicherung beziehungsweise der Grundsicherung gelten gesonderte Vorgaben.

Welche Schwellenwerte gelten im KRITIS-Dachgesetz?

Im Zusammenhang mit dem KRITIS-Dachgesetz lesen viele, die sich über die geltenden Schwellenwerte informieren möchten, immer wieder die Zahl 500.000. Wichtig ist es allerdings, diese nicht als starre Grenze zu verstehen. Aber natürlich hat es auch seinen Grund, dass immer wieder von der „500.000“ gesprochen wird. § 5 KRITISDachG sieht tatsächlich einen Regelwert von 500.000 Einwohnern vor, die von der entsprechenden Anlage versorgt werden müssen. Die konkreten Schwellenwerte zum Versorgungsgrad werden jedoch über die jeweilige Rechtsverordnung bestimmt und können allgemein sowie sektor-, branchen-, dienstleistungs- oder anlagenspezifisch ausgestaltet werden. Dabei gilt es, verschiedene Kriterien zu berücksichtigen.

Wichtig werden unter anderem:

die Anzahl der Nutzer einer kritischen Dienstleistung
Abhängigkeiten anderer Sektoren
mögliche wirtschaftliche und gesellschaftliche Auswirkungen eines Vorfalls
der Marktanteil des Betreibers
das betroffene Gebiet (in geografischer Hinsicht).

Zudem kann das Bundesministerium des Innern im Einzelfall feststellen, dass eine Anlage erheblich für die Erbringung einer kritischen Dienstleistung ist, obwohl sie die Voraussetzungen der Rechtsverordnung nicht erfüllt. Und auch umgekehrt kann das Bundesministerium des Inneren im Einzelfall auch feststellen, dass eine Anlage nicht erheblich ist, obwohl sie eigentlich die Voraussetzungen der Rechtsverordnung erfüllt.

Informationen zur Registrierung: Worauf sollten Unternehmen achten?

Die Betreiber kritischer Anlagen müssen sich im ersten Schritt registrieren lassen. Nach § 8 KRITISDachG müssen die erforderlichen Angaben grundsätzlich spätestens drei Monate nach dem Zeitpunkt übermittelt werden, ab dem eine Anlage als „kritische Anlage“ gilt. Im Zuge der Registrierung müssen unter anderem Informationen zum Betreiber, zur Anlage, zum jeweiligen Sektor und zur erbrachten kritischen Dienstleistung gemacht werden. Ergänzend hierzu müssen die Verantwortlichen eine Kontaktstelle benennen.

Die Registrierung ist allerdings auch wichtig, weil mit ihr weitere Fristen verbunden sind. Die erste eigene Risikoanalyse und Risikobewertung müssen grundsätzlich neun Monate nach der Registrierung durchgeführt werden. Für die Umsetzung weiterer Betreiberpflichten sieht das Gesetz einen Zeitraum von zehn Monaten nach der Registrierung vor.

Risikoanalyse: Diese Gefahren werden im Zusammenhang mit kritischen Dienstleistungen relevant

Um im Notfall entsprechende Maßnahmen ergreifen zu können, braucht es eine individuelle Risikoanalyse und die dazugehörige Risikobewertung. Die verantwortlichen Betreiber sind dazu verpflichtet, diese im Bedarfsfall, mindestens jedoch alle vier Jahre, durchzuführen.

Vorgesehen ist, dass dabei nicht nur einzelne Gefahren betrachtet werden. Relevant sind unter anderem naturbedingte und vom Menschen verursachte Risiken sowie Abhängigkeiten von anderen kritischen Dienstleistungen. Vor allem diese Wechselwirkungen können wichtig werden. Immerhin kann sich der Ausfall einer Infrastruktur auf weitere Sektoren auswirken und dort wiederum Störungen verursachen.

Daher bildet eine umfangreiche Analyse die Grundlage dafür, welche Schutzmaßnahmen für die jeweilige Anlage tatsächlich angemessen sind und worauf verzichtet werden kann.

Das KRITIS-DachG im Detail: Ein Überblick über wichtige Resilienzmaßnahmen

Das KRITIS-DachG verpflichtet die Verantwortlichen dazu, auf der Grundlage der ermittelten Risiken verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen. Das Gesetz nennt hierzu verschiedene mögliche Maßnahmen. Dazu gehören beispielsweise:

Notfallvorsorge
bauliche und technische Sicherungen
organisatorischer Objektschutz
Überwachung der Umgebung und Detektionssysteme
Zugangskontrollen
Risiko- und Krisenmanagement
festgelegte Abläufe für Alarmfälle
Maßnahmen zur Aufrechterhaltung des Betriebs wie eine Notstromversorgung
die Ermittlung alternativer Lieferketten
Sicherheitsmaßnahmen in Bezug auf eigenes Personal und externe Dienstleister
Schulungen und Übungen.

Die Geschäftsleitung trägt hierbei insofern Verantwortung, als dass sie nach § 20 KRITISDachG dazu verpflichtet ist, die erforderlichen Resilienzmaßnahmen umzusetzen und sicherzustellen, dass die nötigen Organisationsmaßnahmen durchgeführt werden. Im Falle einer Pflichtverletzung haftet der Geschäftsführer gegenüber der eigenen Einrichtung.

Welche dieser Maßnahmen erforderlich sind, ist immer vom jeweiligen Risiko abhängig. Die Grundlage hierfür bildet ein Verhältnismäßigkeitsmaßstab. Zudem müssen auch wirtschaftliche Interessen des Betreibers berücksichtigt werden.

Besonders wichtig: Der Resilienzplan und eine nachvollziehbare Dokumentation

Die Maßnahmen, die ein Unternehmen trifft, müssen in einem Resilienzplan dargestellt und somit dokumentiert werden. Besagter Plan soll klar aufzeigen, welche Überlegungen den jeweiligen Vorkehrungen zugrunde liegen, und gleichzeitig auf die eigene Risikoanalyse und Risikobewertung Bezug nehmen.

Wichtig ist es hierbei, zu berücksichtigen, dass es sich bei diesem Plan nicht um ein Dokument handelt, das einmal erstellt wird und dann über etliche Jahre gilt. Stattdessen ist es wichtig, den besagten Plan nach einer neuen Risikoanalyse beziehungsweise nach einer neuen Risikobewertung zu aktualisieren.

Wenn doch etwas passiert: Welche Meldepflichten gelten?

Das KRITIS-Dachgesetz setzt sich nicht nur mit den Themen Prävention und Vorbereitung auseinander, sondern bezieht sich auch auf den Umgang mit Vorfällen, die trotz aller Vorkehrungen eingetreten sind. Das Gesetz legt unter anderem fest, dass meldepflichtige Ereignisse unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, an die gemeinsame Meldestelle von BBK und BSI gemeldet werden müssen.

Sollte es sich um einen fortdauernden Vorfall handeln, müssen die Verantwortlichen die Erstmeldung aktualisieren. Spätestens einen Monat nach Kenntnis ist zusätzlich ein ausführlicher Bericht vorgesehen. Zu den Informationen, die hierbei angegeben werden müssen, gehören unter anderem:

die Anzahl beziehungsweise der Anteil der betroffenen Personen,

die Dauer des Vorfalls und

das betroffene geografische Gebiet.

Die Meldungen helfen auch bei der übergreifenden Einschätzung der Gefährdungslage. Auf ihrer Grundlage kann das BBK regelmäßige und anlassbezogene Lagebilder erstellen und diese unter anderem den Betreibern zur Verfügung stellen.

Verstöße gegen das KRITIS-Dachgesetz können eine Ordnungswidrigkeit darstellen

Bestimmte Verstöße gegen das KRITIS-Dachgesetz stellen Ordnungswidrigkeiten dar. Je nach Tatbestand sind Bußgelder von bis zu 100.000 Euro, 200.000 Euro, 500.000 Euro oder einer Million Euro möglich. Die entsprechenden Sanktionen können zum Beispiel bei bestimmten Verstößen gegen:

Registrierungs-,
Auskunfts-,
Nachweis- und
Mitwirkungspflichten

relevant werden. Welche Bußgeldobergrenze im konkreten Fall gilt, ist vom jeweiligen Tatbestand abhängig.

Fazit

Das KRITIS-Dachgesetz, das am 17. März 2026 in Kraft getreten ist, schafft erstmals einen sektorübergreifenden gesetzlichen Rahmen für die physische Resilienz kritischer Anlagen in Deutschland. Für Unternehmen ist es nun wichtig, herauszufinden, inwiefern sie im Einzelnen betroffen sind. Der Regelwert von 500.000 versorgten Einwohnern ist hierbei nur einer von mehreren, zu berücksichtigenden Bestandteilen. Auch die Anlagenkategorie, die jeweilige kritische Dienstleistung, der Versorgungsgrad und weitere Kriterien müssen beachtet werden.

Wer hierbei betroffen ist, muss sich mit mehreren aufeinander aufbauenden Anforderungen auseinandersetzen. Wichtige Bereiche sind unter anderem die Registrierung, die Risikoanalyse, Resilienzmaßnahmen und -pläne. Auch das Meldewesen wird wichtig. Einzelne Vorgaben des Gesetzes werden durch Rechtsverordnungen noch weiter konkretisiert.

FAQ: häufige Fragen zum KRITIS-Dachgesetz

Können bereits vorhandene Unterlagen und Nachweise genutzt werden?

Ja. Betreiber müssen nicht zwangsläufig alle erforderlichen Unterlagen neu erstellen. Bereits vorhandene Risikoanalysen, Risikobewertungen, Dokumente und Zertifikate sowie schon umgesetzte Maßnahmen können nach § 17 KRITISDachG als Nachweis für die Erfüllung der gesetzlichen Pflichten herangezogen werden.

Können Branchen eigene Standards für die Umsetzung entwickeln?

Die Betreiber kritischer Anlagen oder Branchenverbände haben die Möglichkeit, branchenspezifische Resilienzstandards vorzuschlagen. Das BBK kann dann (auf Antrag) feststellen, ob diese Standards die gesetzlichen Anforderungen erfüllen.

Gibt es Ausnahmen von den Pflichten?

Unter bestimmten Voraussetzungen sind Ausnahmebescheide möglich. Dies betrifft insbesondere Betreiber, deren Resilienz bereits anderweitig gewährleistet und staatlich beaufsichtigt ist und die bestimmte Tätigkeiten in Bereichen wie nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung ausüben.

Wer ist für die Aufsicht zuständig?

Die Zuständigkeit hängt unter anderem von der jeweiligen kritischen Dienstleistung ab. Das BBK übernimmt hierbei als zentrale Anlaufstelle wichtige Aufgaben. Für bestimmte Bereiche sind jedoch verschiedene Behörden zuständig, beispielsweise die Bundesnetzagentur für kritische Dienstleistungen der Strom-, Erdgas- und Wasserstoffversorgung.

Wird das KRITIS-Dachgesetz noch einmal überprüft?

Das Gesetz sieht alle fünf Jahre eine Evaluierung vor. Die erste Überprüfung dieser Art erfolgt bereits zwei Jahre nach dem Inkrafttreten. Dabei sollen unter anderem die Identifizierung kritischer Anlagen, die Ausgestaltung des Regelschwellenwertes, die Bußgeldhöhen und die Frage nach einem möglichen Zertifizierungssystem für Nachweise untersucht und bewertet werden.

KRITIS-resilient handeln – qualifizieren Sie sich jetzt zum

Zertifizierte/r Informationssicherheitsbeauftragte/r