KRITIS-Dachgesetz: Pflichten, Fristen und Umsetzung für Betreiber

Was ist das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz (KRITISDachG) ist ein deutsches Bundesgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, das die EU-CER-Richtlinie umsetzt und am 17. März 2026 in Kraft getreten ist. Der Bundesrat hatte dem Gesetz am 6. März 2026 zugestimmt.

Ziel des Gesetzes ist es, die Widerstandsfähigkeit kritischer Infrastrukturen gegen physische Bedrohungen zu erhöhen. Dazu zählen Naturkatastrophen, Sabotage, Terroranschläge oder technische Ausfälle. Das Gesetz setzt die europäische CER-Richtlinie (EU 2022/2557) in nationales Recht um und schafft erstmals einen bundeseinheitlichen Rahmen für den physischen Schutz kritischer Anlagen.

Abgrenzung: physischer Schutz vs. IT-Sicherheit

Das KRITIS-Dachgesetz konzentriert sich auf die physische Sicherheit und Resilienz von Anlagen. Es ergänzt bestehende Regelungen zur IT-Sicherheit, ersetzt sie aber nicht. Die NIS2-Richtlinie und das IT-Sicherheitsgesetz 2.0 (IT-SiG) regeln die Cybersicherheit kritischer Infrastrukturen. Betreiber können von mehreren Gesetzen gleichzeitig betroffen sein – mit unterschiedlichen Schwellenwerten, Zuständigkeiten und Pflichten.

Wer ist vom KRITIS-Dachgesetz betroffen?

Betroffen sind Betreiber kritischer Anlagen in neun Sektoren nach sektorspezifischen Schwellenwerten. Das Gesetz nennt die Sektoren Energie, Wasser, Gesundheit, Ernährung, Transport und Verkehr, Finanzwesen, Informationstechnik, Telekommunikation sowie Sozialversicherungen. Die genauen Schwellenwerte und Anlagentypen sind im Gesetz und seinen Anlagen definiert.

Sektoren im Überblick

Die neun Sektoren umfassen:

• Energie (z. B. Kraftwerke, Stromnetze, Raffinerien)
• Wasser (z. B. Wasserwerke, Kläranlagen)
• Gesundheit (z. B. Krankenhäuser, Arzneimittelhersteller)
• Ernährung (z. B. Lebensmittelproduktion, Lieferketten)
• Transport und Verkehr (z. B. Flughäfen, Bahnhöfe, Häfen)
• Finanzwesen (z. B. Zahlungsdienstleister, Börsen)
• Informationstechnik (z. B. Rechenzentren, Cloud-Anbieter)
• Telekommunikation (z. B. Mobilfunknetze, Festnetzinfrastruktur)
• Sozialversicherungen (z. B. Träger der gesetzlichen Sozialversicherung)

Die Schwellenwerte sind sektorspezifisch unterschiedlich und in den Anlagen zum Gesetz festgelegt. Die genaue Prüfung der Betroffenheit erfordert einen Blick in die Anlage des Gesetzes.

Unterschied zu KRITIS nach IT-SiG 2.0

Das IT-Sicherheitsgesetz 2.0 definiert kritische Infrastrukturen über die BSI-KritisV und setzt andere Schwellenwerte an. Während das IT-SiG die IT-Sicherheit regelt, fokussiert das KRITIS-Dachgesetz auf physische Resilienz. Betreiber können unter beide Gesetze fallen, müssen dann aber unterschiedliche Pflichten erfüllen und sich an verschiedene Behörden wenden: das Bundesamt für Sicherheit in der Informationstechnik (BSI) für IT-Sicherheit und das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) für physische Resilienz.

Prüfschema: Bin ich Betreiber einer kritischen Anlage?

1. Prüfen Sie, ob Ihre Anlage einem der neun Sektoren zugeordnet werden kann.
2. Ermitteln Sie die Anzahl der versorgten Personen oder die Versorgungsleistung Ihrer Anlage.
3. Vergleichen Sie diese Werte mit den Schwellenwerten in der Anlage des KRITIS-Dachgesetzes.
4. Prüfen Sie, ob sektorspezifische Ausnahmen oder Sonderregelungen greifen.
5. Wenden Sie sich im Zweifel an das BBK oder an einen Fachanwalt für Regulierungsrecht.

Welche Pflichten gelten für Betreiber?

Betreiber kritischer Anlagen müssen sich beim BBK registrieren, eine Risikoanalyse erstellen, einen Resilienzplan vorlegen und erhebliche Vorfälle melden. Die Pflichten sind gestuft und bauen aufeinander auf. Dokumentations- und Nachweispflichten gelten durchgängig. Die konkreten Fristen sind im Gesetz festgelegt.

Zentrale Pflichten im Überblick

Registrierung beim BBK: Die Registrierung erfolgt über ein elektronisches Portal des BBK. Betreiber müssen Angaben zur Anlage, zum Sektor, zur Versorgungsleistung und zu Ansprechpersonen machen. Nach der Registrierung beginnen die Fristen für weitere Pflichten.

Risikoanalyse: Betreiber müssen eine Risikoanalyse erstellen, die alle relevanten Gefährdungen für die physische Sicherheit der Anlage bewertet. Die Frist für die Erstellung ist im Gesetz geregelt.

Resilienzplan: Der Resilienzplan beschreibt konkrete Maßnahmen zum Schutz der Anlage und zur Wiederherstellung nach einem Vorfall. Auch hier gilt eine gesetzliche Frist.

Meldepflicht: Erhebliche Vorfälle müssen unverzüglich an das BBK gemeldet werden. Die Meldung erfolgt über das elektronische Portal des BBK.

Was gehört in die Risikoanalyse?

Die Risikoanalyse muss alle relevanten Gefährdungen für die physische Sicherheit der Anlage bewerten. Dazu zählen Naturereignisse, technische Störungen, menschliches Versagen und vorsätzliche Angriffe. Die Analyse soll die Eintrittswahrscheinlichkeit und das Schadensausmaß für jede Gefährdung ermitteln. Auf dieser Basis leitet der Betreiber Schutzmaßnahmen ab und priorisiert sie nach Risiko.

Die Risikoanalyse muss schriftlich dokumentiert werden und dem BBK auf Anfrage vorgelegt werden können. Sie ist regelmäßig oder bei wesentlichen Änderungen der Anlage oder der Bedrohungslage zu aktualisieren.

Was muss der Resilienzplan enthalten?

Der Resilienzplan beschreibt konkrete Maßnahmen, um die Anlage vor identifizierten Risiken zu schützen und die Wiederherstellung nach einem Vorfall sicherzustellen. Er umfasst organisatorische, technische und bauliche Schutzmaßnahmen. Dazu gehören Zugangskontrollen, Überwachungssysteme, Notfallpläne, Redundanzen und Wiederanlaufprozesse.

Der Plan muss auch festlegen, wie der Betreiber Vorfälle erkennt, meldet und bewältigt. Er ist regelmäßig zu üben und zu aktualisieren. Das BBK kann Vorgaben zur Struktur und zum Inhalt des Resilienzplans machen.

Meldepflicht bei erheblichen Vorfällen

Erhebliche Vorfälle, die die Funktionsfähigkeit der kritischen Anlage beeinträchtigen oder beeinträchtigen könnten, müssen unverzüglich an das BBK gemeldet werden. Als erheblich gelten Vorfälle, die zu einer Unterbrechung oder erheblichen Beeinträchtigung der Versorgung führen oder führen können. Die Meldung erfolgt über das elektronische Portal des BBK und muss Angaben zu Art, Ursache, Ausmaß und geplanten Gegenmaßnahmen enthalten.

Aufsicht, Kontrolle und Bußgelder

Die Aufsicht über die Einhaltung des KRITIS-Dachgesetzes liegt beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Das BBK kann Nachweise verlangen, Prüfungen durchführen und bei Verstößen Bußgelder verhängen. Die Behörde unterstützt Betreiber auch bei der Umsetzung der Pflichten und bietet Informationen und Leitfäden an.

Das BBK ist befugt, Betriebsstätten zu betreten, Unterlagen einzusehen und Auskünfte zu verlangen. Bei schwerwiegenden oder wiederholten Verstößen kann die Behörde auch Anordnungen zur Beseitigung von Mängeln erlassen. Die Bußgelder richten sich nach der Schwere des Verstoßes und können auch gegen verantwortliche Personen verhängt werden.

Abgrenzung zu NIS2 und IT-Sicherheitsgesetz

Das KRITIS-Dachgesetz regelt die physische Sicherheit und Resilienz kritischer Anlagen, während NIS2 und das IT-Sicherheitsgesetz 2.0 die IT- und Cybersicherheit adressieren. Alle drei Regelwerke können parallel gelten, haben aber unterschiedliche Schwerpunkte, Schwellenwerte und Zuständigkeiten.

Betreiber, die unter mehrere Gesetze fallen, müssen die Pflichten aus allen Regelwerken erfüllen. In der Praxis bedeutet das oft, dass Risikoanalysen, Schutzkonzepte und Meldeprozesse aufeinander abgestimmt werden müssen. Eine enge Verzahnung von physischer Sicherheit und IT-Sicherheit ist sinnvoll, da viele Bedrohungen beide Bereiche betreffen.

Mögliche Doppelregulierung und Überschneidungen

Kritiker bemängeln, dass das KRITIS-Dachgesetz zu Überschneidungen mit bestehenden sektorspezifischen Regelungen führt. Beispielsweise unterliegen Energieversorger bereits dem Energiewirtschaftsgesetz, Wasserversorger dem Wasserhaushaltsgesetz und Krankenhäuser Landesgesetzen. Die Abgrenzung zwischen diesen Regelungen und dem KRITIS-Dachgesetz ist nicht immer klar. Das BBK und die Fachministerien arbeiten an Leitfäden, um Doppelregulierungen zu vermeiden.

Kritik und offene Fragen aus der Praxis

Wirtschaftsverbände und Unternehmen kritisieren den hohen Bürokratieaufwand und die Kosten, die durch das KRITIS-Dachgesetz entstehen. Die Erstellung von Risikoanalysen und Resilienzplänen erfordert personelle und finanzielle Ressourcen, die gerade kleinere Betreiber belasten. Zudem fehlen bislang Detailregelungen und Ausführungsverordnungen, die konkrete Anforderungen an Risikoanalysen und Resilienzpläne festlegen.

Ein weiterer Kritikpunkt ist die unklare Abgrenzung zu sektorspezifischen Regelungen. Betreiber wissen oft nicht, welche Anforderungen aus welchem Gesetz gelten und wie sie Überschneidungen vermeiden können. Die IHK Dortmund wies in einer Stellungnahme darauf hin, dass viele Fragen zur praktischen Umsetzung geklärt werden müssen.

Experten bemängeln zudem, dass das Gesetz vor allem große Betreiber in den Blick nimmt. Kleinere Anlagen, die regional oder lokal bedeutsam sind, fallen oft nicht unter die Schwellenwerte und sind damit nicht erfasst. Das kann zu Schutzlücken führen, wenn solche Anlagen ausfallen.

Wie Betreiber jetzt vorgehen sollten

Betreiber sollten zunächst prüfen, ob sie vom KRITIS-Dachgesetz betroffen sind. Dazu vergleichen sie ihre Versorgungsleistung mit den Schwellenwerten im Gesetz und klären die Zuordnung zu einem Sektor. Im Zweifel empfiehlt sich eine Rücksprache mit dem BBK oder einem Fachanwalt für Regulierungsrecht.

Betroffene Betreiber sollten die Registrierung beim BBK vorbereiten und die erforderlichen Angaben zusammenstellen. Parallel dazu können sie mit der Erstellung der Risikoanalyse beginnen. Viele Unternehmen verfügen bereits über Notfallpläne, Gefährdungsbeurteilungen oder Business-Continuity-Konzepte, die als Grundlage dienen können.

Die Abstimmung mit bestehenden Compliance-Prozessen ist wichtig. Betreiber, die bereits unter NIS2, IT-SiG oder sektorspezifischen Regelungen stehen, sollten prüfen, wie sich die Anforderungen ergänzen und wo Synergien genutzt werden können. Eine integrierte Sicht auf physische Sicherheit, IT-Sicherheit und Arbeitsschutz spart Ressourcen und erhöht die Wirksamkeit.

Für Detailfragen und Unterstützung bei der Umsetzung können sich Betreiber an das BBK, an Fachverbände oder an spezialisierte Berater wenden. Das BBK stellt auf seiner Website Informationen, Leitfäden und Kontaktmöglichkeiten bereit.