Neu: KRITIS-Dachgesetz

Wer ist betroffen?

Das KRITIS-Dachgesetz richtet sich an Betreiber kritischer Anlagen in insgesamt zehn Sektoren. Für Unternehmen aus Industrie und Infrastruktur sind insbesondere relevant:

• Energie
• Transport und Verkehr
• Wasser
• Informationstechnik und Telekommunikation
• Siedlungsabfallentsorgung

Welche Anlagen als kritisch gelten, legt eine noch ausstehende Rechtsverordnung fest. Als Ausgangspunkt nennt das Gesetz einen Regelwert von 500.000 versorgten Einwohnern. Sektorspezifische Abweichungen, Kategorien ohne Schwellenwert und Einzelfallfeststellungen sind möglich.

Für Industrie- und Infrastrukturunternehmen können insbesondere große Energie-, Wasser-, Entsorgungs- oder Logistikinfrastrukturen relevant sein.

Wichtig: Für bestimmte Finanzunternehmen sowie Betreiber in den Sektoren IT und Telekommunikation, Siedlungsabfallentsorgung sowie Sozialversicherung und Grundsicherung gelten zentrale Betreiberpflichten ganz oder teilweise nicht

Was ändert sich konkret?

Neues Regelwerk für physische Resilienz

Das KRITIS-Dachgesetz führt sektorübergreifende Anforderungen an die physische Resilienz kritischer Anlagen ein (All-Gefahren-Ansatz: Naturgefahren, Unfälle, vorsätzliche Handlungen und sonstige Gefahren). Es ergänzt die bestehenden Cybersicherheitsregelungen des BSI-Gesetzes.

Registrierungspflicht

Betreiber müssen sich spätestens drei Monate, nachdem ihre Anlage als kritische Anlage gilt, beim BBK registrieren. Zu melden sind Betreiber- und Anlagendaten, Sektor, kritische Dienstleistung, Standort, Versorgungsgebiet und eine Kontaktstelle.

Aktuell besteht noch keine Registrierungspflicht – die erforderliche Rechtsverordnung ist noch nicht in Kraft.

Risikoanalyse und Risikobewertung

Erstmals neun Monate nach Registrierung, danach mindestens alle vier Jahre. Zu berücksichtigen sind insbesondere Naturereignisse, technische Störungen, vorsätzliche Handlungen sowie Abhängigkeiten von anderen kritischen Infrastrukturen.

Resilienzplan und Vorfallmeldung

Spätestens zehn Monate nach Registrierung müssen Betreiber einen Resilienzplan erstellen und anwenden sowie Vorfälle innerhalb von 24 Stunden an die gemeinsame Meldestelle von BBK und BSI melden. Ein ausführlicher Bericht folgt spätestens einen Monat nach Kenntnis.

Verantwortung der Geschäftsleitung

Die Geschäftsleitung muss Resilienzmaßnahmen umsetzen und deren Einhaltung organisatorisch sicherstellen – ebenfalls ab zehn Monate nach Registrierung. Bei schuldhafter Pflichtverletzung besteht Haftung nach gesellschaftsrechtlichen Regeln.

Bußgelder

Je nach Verstoß sind Bußgelder bis zu 100.000 Euro, 200.000 Euro, 500.000 Euro oder 1 Million Euro möglich. Verstöße gegen die Registrierungspflicht können mit bis zu 100.000 Euro geahndet werden.

Was ist zu tun?

• Betroffenheit prüfen: Prüfen Sie, ob Ihre Anlagen einem der erfassten Sektoren zugeordnet werden könnten. Eine abschließende Beurteilung ist erst nach Inkrafttreten der Rechtsverordnung möglich.
• Kritisverordnung beobachten: Ein Referentenentwurf (Stand: Mai 2026) liegt vor und bietet erste Orientierung – er ist aber noch nicht in Kraft.
• Registrierung vorbereiten: Stellen Sie Unternehmens- und Anlagendaten sowie interne Zuständigkeiten zusammen. Eine Pflicht besteht noch nicht.
• Resilienzmanagement vorbereiten: Prüfen Sie, ob bestehende Risiko- und Krisenmanagementprozesse die künftigen Anforderungen abdecken.

Hintergrund

Das KRITIS-Dachgesetz setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um. Während das BSI-Gesetz Cybersicherheit regelt, schafft das KRITIS-Dachgesetz erstmals ein sektorübergreifendes Regelwerk für die physische Resilienz.

Die bisherige BSI-Kritisverordnung gilt weiter, bis die neue Rechtsverordnung in Kraft tritt. Sie ersetzt diese jedoch nicht und löst die Pflichten des KRITIS-Dachgesetzes nicht aus.

Ab wann gilt das?

• Inkrafttreten: 17.03.2026
• Neue Kritisverordnung: noch nicht in Kraft
• Registrierung: drei Monate nach Einstufung als kritische Anlage
• Risikoanalyse: neun Monate nach Registrierung
• Resilienzplan, Vorfallmeldung, Geschäftsleitungspflichten: zehn Monate nach Registrierung

Aktuell besteht noch keine Registrierungspflicht. Erst mit der Rechtsverordnung steht fest, welche Anlagen erfasst sind.