Das KRITIS-Dachgesetz kompakt: Wer ist betroffen, was ist zu tun, bis wann

Seit dem 17. März 2026 ist das KRITIS-Dachgesetz in Kraft — mit vollem Namen: Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen (Bundesgesetzblatt — BGBl. 2026 I Nr. 66). Es setzt die europäische CER-Richtlinie (EU-Richtlinie 2022/2557 über die Resilienz kritischer Einrichtungen) um und ist das physische Gegenstück zur NIS-2-Richtlinie: Dort geht es um IT-Sicherheit, hier um Zutritt, Sabotage, Naturgefahren, Drohnen und die Frage, wie schnell eine Anlage nach einem Vorfall wieder liefert. Diese Seite fasst zusammen, was Betreiber jetzt wissen müssen — ohne Paragrafenprosa.

Wer fällt darunter?

Das Gesetz gilt für Betreiber kritischer Anlagen in zehn Sektoren (§ 4): Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung und Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Ob eine konkrete Anlage als „kritisch“ gilt, hängt von Schwellenwerten ab — etwa der Zahl versorgter Menschen —, die eine Rechtsverordnung des Bundesinnenministeriums festlegt.

Stand August 2026: Diese Rechtsverordnung steht noch aus. Solange sie nicht erlassen ist, lässt sich die Betroffenheit einer einzelnen Anlage nur qualifiziert einschätzen, nicht abschließend feststellen. Wer heute knapp über oder unter einem erwarteten Schwellenwert liegt, sollte die Vorbereitung nicht von der Verordnung abhängig machen.

Wichtige Ausnahmen (§ 4 Abs. 2): Für Energieanlagen gelten weitgehend die Sonderregeln des Energiewirtschaftsgesetzes (§ 5f EnWG) mit der Bundesnetzagentur als zuständiger Behörde. Finanzunternehmen, die unter DORA (EU-Verordnung 2022/2554) fallen, sowie Betreiber im Sektor Informationstechnik und Telekommunikation sind von den Kernpflichten ausgenommen. Für die Sektoren Siedlungsabfallentsorgung und Sozialversicherung gilt von den Kernpflichten nur die Risikoanalyse nach § 12.

Die sechs Pflichten in Kürze

1. Registrierung (§ 8). Spätestens drei Monate, nachdem eine Anlage als kritisch gilt, muss der Betreiber sie beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) registrieren. Ab der Registrierung laufen alle weiteren Fristen.

2. Risikoanalyse und Risikobewertung (§ 12). Der Betreiber muss auf Grundlage der nationalen Risikoanalysen und weiterer vertrauenswürdiger Quellen eine eigene Analyse durchführen: Welche Gefahren bedrohen die Verfügbarkeit der Dienstleistung — von Naturereignissen über technisches und menschliches Versagen bis zu vorsätzlichen Handlungen und hybriden Bedrohungen? Auch Abhängigkeiten von und für andere Sektoren gehören hinein. Die Analyse ist bei Bedarf, mindestens aber alle vier Jahre zu wiederholen.

3. Resilienzmaßnahmen und Resilienzplan (§ 13). Auf Basis der Risikoanalyse sind verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen zu treffen, mit vier Zielen: Vorfälle verhindern, Liegenschaften und Anlagen physisch schützen, auf Vorfälle reagieren und ihre Auswirkungen begrenzen, die Dienstleistung zügig wiederherstellen. Die Maßnahmen werden in einem Resilienzplan dokumentiert, der die Erwägungen dahinter erkennen lässt und auf die Risikoanalyse Bezug nimmt.

4. Nachweise (§ 16). Die zuständige Behörde kann Nachweise anfordern, insbesondere den Resilienzplan, und die Umsetzung vor Ort überprüfen — auch durch beauftragte Dritte. Sie wählt Betreiber risikobasiert aus: nach Risikoexposition, Größe und möglichen Auswirkungen eines Ausfalls. Nachweise können über Audits erbracht werden; die zugrunde liegende Dokumentation muss dann auf Verlangen vorgelegt werden.

5. Meldewesen (§ 18). Vorfälle sind unverzüglich, spätestens 24 Stunden nach Kenntnis, an die gemeinsame Meldestelle zu melden. Bei andauernden Vorfällen ist die Erstmeldung zu aktualisieren; spätestens einen Monat nach Kenntnis folgt ein ausführlicher Bericht. Zu melden sind unter anderem Zahl und Anteil der Betroffenen, Dauer und betroffenes Gebiet.

6. Pflicht der Geschäftsleitung (§ 20). Die Geschäftsleitung ist verpflichtet, die Resilienzmaßnahmen umzusetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherzustellen. Das Gesetz macht die Resilienz der Anlage damit ausdrücklich zur Leitungsaufgabe.

Die Fristen im Überblick

Rechenbeispiel: Wer sich am 17. Oktober 2026 registriert, muss die Risikoanalyse bis 17. Juli 2027 und Resilienzplan samt Maßnahmen bis 17. August 2027 vorliegen haben.

Was das in der Praxis bedeutet

Die eigentliche Arbeit liegt nicht in den Fristen, sondern in der Dokumentation: Jede Maßnahme muss auf eine identifizierte Gefährdung zurückführbar sein, jede Entscheidung nachvollziehbar begründet, jeder Vorfall innerhalb eines Tages meldbar. Vorlagen und Muster für Resilienzpläne muss das BBK spätestens acht Monate nach Inkrafttreten der Rechtsverordnung bereitstellen (§ 13 Abs. 5) — bis dahin gibt es keine amtliche Vorlage, und die inhaltliche Befüllung bleibt ohnehin Aufgabe des Betreibers.

Wer mit der Vorbereitung nicht auf die Rechtsverordnung warten will, beginnt mit einer Bestandsaufnahme: Welche Anlagen könnten betroffen sein, welche Schutzmaßnahmen existieren bereits, und wo klaffen Lücken zwischen dem, was gelebt wird, und dem, was dokumentiert ist? Genau dafür ist unser Assessment gedacht.

---

Wo Ihre Anlagen heute stehen, klärt am schnellsten ein kostenloses Briefing: eine Voranalyse Ihrer Standorte auf Basis öffentlich verfügbarer Daten.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Quelle: KRITIS-Dachgesetz, BGBl. 2026 I Nr. 66, zuletzt geändert durch G. v. 21.07.2026 (BGBl. 2026 I Nr. 221); Stand 28.08.2026.