Registrierungspflicht nach § 8: Wer muss sich wann registrieren?

Wer ist registrierungspflichtig?

Registrierungspflichtig ist, wer Betreiber einer kritischen Anlage ist. Ob eine Anlage als kritisch gilt, richtet sich nach Schwellenwerten, die in einer Rechtsverordnung festgelegt werden (§ 4 Abs. 1, § 5). Diese Verordnung ist mit Stand August 2026 noch nicht erlassen — die abschließende Betroffenheit lässt sich deshalb derzeit nicht rechtssicher bestimmen.

Untätig bleiben sollten potenziell betroffene Betreiber trotzdem nicht. Drei Dinge lassen sich jetzt klären: erstens die Zuordnung der eigenen Anlagen zu Sektor und kritischer Dienstleistung; zweitens die Versorgungszahlen je Anlage, an denen Schwellenwerte typischerweise ansetzen; drittens die Frage, welche Gesellschaft im Konzern- oder Stadtwerkeverbund rechtlich als Betreiber anzusehen ist. Wer diese Vorarbeit geleistet hat, kann nach Erlass der Verordnung binnen Tagen statt Wochen entscheiden und registrieren.

Zu beachten sind die Ausnahmen: § 4 Abs. 2 nimmt Finanzwesen, Informationstechnik und Telekommunikation sowie die kommunale Abfallentsorgung von den Kernpflichten des Gesetzes aus. Für Betreiber von Energieanlagen bestehen über § 5f Energiewirtschaftsgesetz (EnWG) Sonderregeln unter Aufsicht der Bundesnetzagentur; welche Pflichten des Dachgesetzes dadurch im Einzelnen überlagert werden, sollte je Anlage geprüft werden.

Welche Angaben verlangt § 8 Abs. 1?

Die Registrierung ist mehr als eine Formalie — sie verlangt eine strukturierte Selbstauskunft in sieben Kategorien:

1. Betreiberdaten: Name, Rechtsform und, falls einschlägig, Handelsregisternummer.
2. Erreichbarkeit: Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adresse und Telefonnummer.
3. Einordnung: Sektor, gegebenenfalls Branche sowie die kritische Dienstleistung, für deren Erbringung die Anlage erheblich ist.
4. Anlagendaten: soweit einschlägig die Kategorie der Anlage und ihre Werte zum Versorgungsgrad gemäß der Rechtsverordnung, Standort, Versorgungsgebiet und öffentliche IP-Adressbereiche.
5. EU-Bezug: falls einschlägig eine Auflistung der EU-Mitgliedstaaten, in denen oder für die wesentliche Dienste erbracht werden.
6. Kontaktstelle: eine Stelle, über die der Betreiber erreichbar ist — in Bezug auf Maßnahmen nach dem BSI-Gesetz mit jederzeitiger Erreichbarkeit.
7. Kritische Komponenten: die eingesetzten Typen kritischer Komponenten im Sinne des § 2 Nr. 23 BSI-Gesetz; diese Angabe geht ausschließlich an das BSI (§ 8 Abs. 5).

Vor allem die Punkte 4, 6 und 7 setzen interne Vorarbeit voraus: belastbare Versorgungszahlen, eine organisatorisch abgesicherte 24/7-Erreichbarkeit und einen Überblick über die eigene Komponentenlandschaft.

Läuft die Registrierungsfrist schon?

In der öffentlichen Diskussion kursiert der 17. Juli 2026 als Registrierungsfrist. Das war schon vorher unzutreffend — die ursprüngliche Fassung des § 8 Abs. 1 nannte dieses Datum lediglich als frühesten Zeitpunkt, ab dem eine Registrierung möglich ist, nicht als Frist. Inzwischen ist der Passus gegenstandslos: Er wurde durch Artikel 8 des Gesetzes vom 21. Juli 2026 (BGBl. 2026 I Nr. 221, in Kraft seit dem 29. Juli 2026) ersatzlos gestrichen. Die Pflicht knüpft seitdem allein daran an, dass eine Anlage als kritische Anlage gilt — ab diesem Zeitpunkt bleiben drei Monate.

Praktisch heißt das: Solange die Schwellenwert-Verordnung nicht erlassen ist, gilt keine Anlage als kritische Anlage — und damit läuft derzeit für niemanden eine Registrierungsfrist. Panik ist also unangebracht; Abwarten allerdings auch, denn mit der Registrierung startet eine enge Fristenkaskade für alle weiteren Pflichten (siehe unten).

Was passiert nach der Registrierung?

Drei Dinge folgen unmittelbar:

Behördenzuweisung (§ 8 Abs. 5). Das BBK teilt dem Betreiber spätestens zwei Wochen nach der Registrierung die zuständige Behörde mit; die erstmalige Mitteilung muss nicht vor dem 17. August 2026 erfolgen. BSI und zuständige Behörde werden über jede Registrierung informiert.

Aktualisierungspflichten (§ 8 Abs. 6). Geänderte Werte zum Versorgungsgrad sind einmal jährlich zu übermitteln; alle anderen Änderungen unverzüglich, spätestens zwei Wochen nach Kenntnis. Die Registrierung ist damit kein einmaliger Vorgang, sondern ein laufend zu pflegender Datenbestand.

Fristauslösung (§ 8 Abs. 7). Mit der Registrierung beginnen die Umsetzungsfristen: Die Risikoanalyse nach § 12 ist erstmals neun Monate danach fällig, die Pflichten aus §§ 13, 18 und 20 erstmals zehn Monate danach. Die vollständige Fristenkaskade erläutert unser Beitrag Pflichten und Fristen im Überblick.

Was passiert, wenn man sich nicht registriert?

Das Gesetz sieht ein gestuftes Vorgehen vor. Bestehen Anhaltspunkte, dass ein Betreiber seine Registrierungspflicht nicht erfüllt, kann das BBK Unterlagen und Auskünfte verlangen, um die Kritikalität der Anlage festzustellen (§ 8 Abs. 2). Bleibt die Registrierung aus, kann das BBK sie nach Anhörung des Betreibers selbst vornehmen (§ 8 Abs. 3). Wer Angaben nach § 8 Abs. 1 nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, handelt zudem ordnungswidrig (§ 24 Abs. 1 Nr. 1).

Bemerkenswert ist die Ersatzregistrierung durch die Behörde: Sie erspart dem Betreiber nichts, denn auch sie setzt nach dem Wortlaut des § 8 Abs. 7 die Umsetzungsfristen in Gang — dann allerdings ohne eigene Vorbereitung und zu einem Zeitpunkt, den der Betreiber nicht gewählt hat.

---

Die Registrierung ist der Startschuss für die eigentliche Arbeit: Ab hier zählt jeder Monat bis zur Risikoanalyse und zum Resilienzplan. Das KRITIS-Cockpit hält die geforderten Angaben, Zuständigkeiten und Fristen von Tag eins an nachvollziehbar fest. Wo Ihr Haus heute steht, klärt ein kostenloses Briefing.

Dieser Überblick dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext (Bundesgesetzblatt — BGBl. 2026 I Nr. 66, zuletzt geändert durch G. v. 21.07.2026, BGBl. 2026 I Nr. 221); die Schwellenwert-Verordnung steht mit Stand August 2026 noch aus.