Skip to content

KRITIS-Dachgesetz (KRITIS-DachG)

Das KRITIS-Dachgesetz (Dachgesetz zur Stärkung der physischen Resilienz kritischer Anlagen, KRITISDachG) ist Artikel 1 des Gesetzes zur Umsetzung der Richtlinie (EU) 2022/2557 und zur Stärkung der Resilienz kritischer Anlagen und setzt die CER-Richtlinie (CER) in deutsches Recht um. Es verpflichtet Betreiber kritischer Anlagen zu Registrierung, Risikoanalyse, Resilienzmaßnahmen und Vorfallmeldung. Die Cybersicherheit dieser Betreiber regelt weiterhin das BSI-Gesetz (NIS2).

[!NOTE]

Verweise mit "§" beziehen sich auf das KRITISDachG, sofern nicht anders angegeben; "Art." auf die Richtlinie (EU) 2022/2557 (CER). Stand der Prüfung: 09.10.2026. Das Gesetz ist in Kraft, die Pflichten für Betreiber beginnen aber erst nach Erlass der Verordnung zur Bestimmung kritischer Anlagen und nach der Registrierung. Die Seite ist eine Orientierungshilfe und keine Rechtsberatung. Alle Quellen stehen im Abschnitt Quellen.

Überblick

  • Segment: Physische Resilienz kritischer Anlagen (KRITIS) in Deutschland

  • Verabschiedet / Veröffentlicht:

    • Regierungsentwurf: Drucksache 21/2510 vom 03.11.2025 (erste Lesung im Bundestag am 06.11.2025)
    • Bundestag: Beschluss am 29.01.2026 in der Fassung des Innenausschusses (Drucksache 21/3906, Bundestag)
    • Bundesrat: Befassung in der Sitzung am 06.03.2026 (Hinweis zur Sitzung); die Zustimmung ergibt sich aus der Eingangsformel des Gesetzes im Bundesgesetzblatt ("mit Zustimmung des Bundesrates"). Das genaue Abstimmungsdatum habe ich nicht in einer Primärquelle geprüft.
    • Ausfertigung 11.03.2026, verkündet in BGBl. 2026 I Nr. 66 am 16.03.2026

  • Gültig ab:

    • Inkrafttreten: 17.03.2026 (Tag nach der Verkündung, Art. 11 Abs. 1 des Gesetzes; BBK-FAQ). Nur § 14 Abs. 3 bis 5 (Fußnote dort: Art. 11 Abs. 2 des Gesetzes) treten erst am 01.01.2030 in Kraft.
    • Pflichtbeginn für Betreiber: Die Pflichten knüpfen an die Einstufung als kritische Anlage an, die sich aus einer noch ausstehenden Rechtsverordnung ergibt (siehe unten). Nach dem BBK besteht daher derzeit weder Registrierungs- noch Meldepflicht (BBK-FAQ).
    • Registrierung beim BBK: spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt (§ 8 Abs. 1)
    • Risikoanalyse und Risikobewertung (§ 12): erstmals neun Monate nach der Registrierung; Resilienzmaßnahmen und Resilienzplan (§ 13), Vorfallmeldung (§ 18) und Umsetzungs- und Überwachungspflicht der Geschäftsleitung (§ 20): erstmals zehn Monate nach der Registrierung (§ 8 Abs. 7)
    • Rechtsverordnung zur Bestimmung kritischer Anlagen (§ 4 Abs. 3, § 5 Abs. 1): Das BMI hat laut Noerr am 26.05.2026 einen Referentenentwurf ("KritisV") vorgelegt. Einen Beschluss oder eine Verkündung konnte ich nicht belegen; laut BBK-FAQ ist sie "in Erarbeitung und Abstimmung". Mit ihrem Inkrafttreten tritt die bisherige BSI-Kritisverordnung außer Kraft (Art. 9 des Gesetzes, neuer § 12 BSI-KritisV; BGBl. 2026 I Nr. 66). Das BBK legt das Registrierungsverfahren innerhalb von vier Wochen nach Inkrafttreten dieser Verordnung fest (§ 8 Abs. 8).
    • Die EU-Vorgabe, kritische Einrichtungen bis zum 17.07.2026 zu ermitteln, steht in Art. 6 der CER-Richtlinie.

  • Gültig für (§ 4 Abs. 1):

    • Betreiber kritischer Anlagen (§ 2 Nr. 1) in den Sektoren Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung
    • Eine kritische Anlage ist eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist (§ 2 Nr. 3). Anlage ist auch Software und IT-Dienste; soweit diese nicht unmittelbar physische Prozesse der kritischen Dienstleistung steuern, überwachen oder unterstützen, gelten ausschließlich die Vorgaben des BSI-Gesetzes (§ 2 Nr. 2).
    • Schwellenwerte: Die Verordnung nach § 5 Abs. 1 legt Anlagenkategorien, Schwellenwerte zum Versorgungsgrad und Stichtage fest. Der Regelwert beträgt grundsätzlich 500.000 zu versorgende Einwohner (§ 5 Abs. 2 Satz 2). Anlagen unterhalb der Schwelle können im Einzelfall vom BMI als erheblich festgestellt werden (§ 5 Abs. 3). Die bisherigen Schwellenwerte stehen in der BSI-Kritisverordnung (nicht in einer "KRITIS-Anlagenverordnung"; eine solche Bezeichnung kennt das Gesetz nicht).
    • Einrichtungen der Bundesverwaltung: entsprechende Geltung eines Teils der Pflichten (§ 7)

  • Nicht gültig für:

    • Die §§ 12 bis 16, § 18, § 20 sowie weitere Vorschriften (§ 4 Abs. 2) gelten nicht für Finanzunternehmen nach Art. 2 Abs. 2 der DORA-Verordnung (siehe DORA) und für Betreiber im Sektor Informationstechnik und Telekommunikation. Im Sektor Siedlungsabfallentsorgung und im Sektor Sozialversicherung/Grundsicherung gilt nur § 12 (Risikoanalyse).
    • Betreiber, die nur für nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung tätig sind, können durch Ausnahmebescheid des BMI ganz oder teilweise befreit werden (§ 22).
    • Betreiber in Strom-, Gas- und Wasserstoffversorgung: Nachweise und Anordnungen nach § 16 Abs. 1 bis 6 gelten nicht; stattdessen § 5f EnWG (§ 16 Abs. 7).

  • Grauzone:

    • Abgrenzung zum BSI-Gesetz: Cybersicherheit bleibt im BSIG (§ 2 Nr. 2); Vorfälle, die ausschließlich Sicherheitsvorfälle nach BSIG oder TKG sind, sind keine Vorfälle im Sinne des KRITISDachG (§ 2 Nr. 9).
    • Anrechnung bestehender Nachweise und gleichwertiger Pflichten aus anderen Vorschriften (§ 17); die Gleichwertigkeit muss per Verordnung festgestellt werden.
    • Zuständigkeiten außerhalb des BBK hängen von der kritischen Dienstleistung ab (Bund oder Land, § 3 Abs. 2 und 6); für Dienstleistungen, die nicht in § 3 Abs. 2 Satz 1 Nr. 1 bis 11 genannt sind, bestimmen die Länder ihre Behörden erst nach Inkrafttreten der Verordnung.

Zentrale Forderungen

Registrierung (§ 8)

  • Betreiber müssen sich spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, über die gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit beim BBK registrieren (§ 8 Abs. 1).
  • Zu übermitteln sind u. a. Name und Kontaktdaten, Bezeichnung der Anlage, Sektor und kritische Dienstleistung, Kategorie und Versorgungsgrad, Standort und Versorgungsgebiet, öffentliche IP-Adressbereiche, eine Kontaktstelle und die eingesetzten Typen kritischer Komponenten nach BSIG (§ 8 Abs. 1 Nr. 1 bis 8). Die Kontaktstelle muss für Maßnahmen nach dem BSIG jederzeit erreichbar sein (Nr. 7).
  • Änderungen: Versorgungsgrad einmal jährlich, alle anderen Angaben unverzüglich, spätestens zwei Wochen nach Kenntnis (§ 8 Abs. 6).
  • Kommt der Betreiber der Pflicht nicht nach, kann das BBK die Registrierung nach Anhörung selbst vornehmen (§ 8 Abs. 3).

Risikoanalyse und Risikobewertung (§ 12; nationale Ebene § 11)

  • Betreiber führen auf Grundlage der nationalen Risikoanalysen im Bedarfsfall, mindestens alle vier Jahre, eine Risikoanalyse und Risikobewertung durch (§ 12 Abs. 1; vgl. Art. 12).
  • Zu berücksichtigen sind die Risiken nach § 11 Abs. 2 Nr. 1 (natur-, technisch oder menschlich bedingt, einschließlich hybrider Bedrohungen) sowie Abhängigkeiten von anderen Betreibern, auch sektorübergreifend und grenzüberschreitend.
  • Methodische Vorgaben, Vorlagen und Muster kann das BMI per Rechtsverordnung festlegen (§ 12 Abs. 3); sie liegen nach BBK-FAQ noch nicht vor.

Resilienzmaßnahmen und Resilienzplan (§ 13)

  • Betreiber müssen verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen treffen, um Vorfälle zu verhindern, einen angemessenen physischen Schutz zu gewährleisten, auf Vorfälle zu reagieren und die Wiederherstellung der kritischen Dienstleistung zu sichern (§ 13 Abs. 1 und 2; vgl. Art. 13). Der Stand der Technik soll eingehalten werden; Wirtschaftlichkeit und Leistungsfähigkeit sind zu berücksichtigen.
  • Zu den Maßnahmen können zählen (§ 13 Abs. 3, soweit nicht spezialgesetzliche Regelungen vorgehen):
    • Notfallvorsorge
    • Objektschutz (Liegenschaftsabgrenzung, Umgebungsüberwachung, Detektion, Zugangskontrollen)
    • Risiko- und Krisenmanagementverfahren, vorgegebene Abläufe im Alarmfall
    • Aufrechterhaltung des Betriebs (u. a. Notstromversorgung), alternative Lieferketten
    • Sicherheitsmanagement für Mitarbeitende einschließlich Personal externer Dienstleister
    • Schulungen und Übungen für das Personal
  • Die Maßnahmen sind in einem Resilienzplan darzustellen und anzuwenden; er ist bei Bedarf sowie nach jeder neuen Risikoanalyse zu aktualisieren (§ 13 Abs. 4). Das BBK stellt spätestens acht Monate nach Inkrafttreten der Verordnung Vorlagen und Muster bereit (§ 13 Abs. 5).
  • Das BMI kann sektorübergreifende Mindestanforderungen per Verordnung festlegen; Branchen können Resilienzstandards vorschlagen, deren Eignung das BBK feststellt (§ 14 Abs. 1 und 2). Ab 01.01.2030 kommen weitere Regelungen hinzu (§ 14 Abs. 3 bis 5).
  • Konkretisiert die EU-Kommission die Pflichten durch Durchführungsrechtsakte nach Art. 13 Abs. 6, gehen diese vor (§ 15).

Nachweise und behördliche Anordnungen (§ 16)

  • Der Nachweis kann durch Audits erfolgen; die zuständige Behörde kann Audit-Ergebnisse und den Resilienzplan verlangen und Betreiber risikobasiert überprüfen, auch mit Betreten der Betriebsräume (§ 16 Abs. 2 bis 4).
  • Bei Mängeln kann sie einen Mängelbeseitigungsplan und einen Nachweis der Beseitigung verlangen (§ 16 Abs. 5).
  • Bestehende Risikoanalysen, Zertifikate und Maßnahmen aus anderen Verpflichtungen oder freiwilligem Handeln können als Nachweis herangezogen werden (§ 17 Abs. 1); Teile der nach § 16 Abs. 1 angeforderten Nachweise stammen aus den BSIG-Nachweisen nach § 39 BSIG.

Vorfallmeldung (§ 18)

  • Vorfälle sind unverzüglich, spätestens 24 Stunden nach Kenntnis, über die gemeinsame Meldestelle von BSI und BBK zu melden; die Erstmeldung ist bei andauernden Vorfällen zu aktualisieren, ein ausführlicher Bericht folgt spätestens einen Monat nach Kenntnis des Vorfalls (§ 18 Abs. 1; vgl. Art. 15).
  • "Vorfall" ist ein Ereignis, das die Erbringung einer kritischen Dienstleistung erheblich beeinträchtigt oder beeinträchtigen könnte; reine Sicherheitsvorfälle nach BSIG oder TKG sind ausgenommen (§ 2 Nr. 9).
  • Anzugeben sind u. a. Zahl und Anteil der Betroffenen, bisherige und voraussichtliche Dauer sowie das betroffene Gebiet (§ 18 Abs. 2). Meldepflichten aus anderen Gesetzen bleiben unberührt.
  • Die Pflicht gilt erstmals zehn Monate nach der Registrierung (§ 8 Abs. 7).

Geschäftsleitung (§ 20)

  • Geschäftsleitungen müssen die Resilienzmaßnahmen umsetzen und deren Umsetzung durch Organisationsmaßnahmen sicherstellen; bei Verletzung haften sie der Einrichtung nach den gesellschaftsrechtlichen Regeln (§ 20).

Zuständigkeiten (§ 3)

  • Das BBK ist zentrale Anlaufstelle im Sinne von Art. 9 und zuständig u. a. für Registrierung (§ 8) und Meldewesen (§ 18) (§ 3 Abs. 1 und Abs. 2 Satz 1 Nr. 11).
  • Zuständige Behörden für Aufsicht und Nachweise je nach kritischer Dienstleistung (§ 3 Abs. 2): z. B. Bundesnetzagentur (Strom, Gas, Wasserstoff, Telekommunikation), BMWE (Mineralöl), BSI (Sprach- und Datenübertragung, Datenspeicherung und -verarbeitung), BaFin (Unternehmen unter DORA-Aufsicht), Sozialversicherungsaufsicht und Bundesagentur für Arbeit; in übrigen Fällen weitere Bundes- oder Landesbehörden.
  • BBK und zuständige Behörden tauschen Informationen wechselseitig aus, auch zu Maßnahmen nach BSIG, EnWG, TKG und DORA (§ 3 Abs. 7).

Verhältnis zu NIS2 / BSIG

  • Das KRITISDachG regelt die physische Resilienz; die Cybersicherheitspflichten der Betreiber kritischer Anlagen ergeben sich aus dem BSIG (NIS2). Betreiber kritischer Anlagen gelten dort als besonders wichtige Einrichtungen (§ 28 BSIG). Beide Pflichtenkataloge gelten nebeneinander.
  • Gemeinsame Meldestelle: BSI und BBK betreiben eine gemeinsame Meldestelle (§ 18 Abs. 1; § 32 Abs. 1 BSIG). Betreiber kritischer Anlagen müssen im BSIG-Sicherheitsvorfall zusätzlich Angaben zur betroffenen Anlage und kritischen Dienstleistung machen (§ 32 Abs. 3 BSIG).
  • Die Registrierung erfolgt über eine gemeinsam von BSI und BBK eingerichtete Möglichkeit (§ 8 Abs. 1); das BSI erhält die Registrierungsdaten (§ 8 Abs. 5).
  • Die Einstufung als Betreiber kritischer Anlagen soll künftig für beide Gesetze aus einer Verordnung folgen (Noerr, siehe oben).

Sanktionen (§ 24)

  • Ordnungswidrig handelt u. a., wer Registrierungsangaben nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, vollziehbaren Anordnungen zuwiderhandelt, Audit-Ergebnisse nicht übermittelt oder Zutritt und Auskünfte bei Überprüfungen verweigert (§ 24 Abs. 1).
  • Geldbußen: bis 1 Mio. Euro (vollziehbare Anordnung nach § 8 Abs. 2 Satz 1), bis 500.000 Euro (Audit-Ergebnisse), bis 200.000 Euro (vollziehbare Anordnung nach § 16 Abs. 2, 3 oder 5) und in den übrigen Fällen bis 100.000 Euro (§ 24 Abs. 2). Ein Verstoß gegen die Pflichten aus § 13 oder § 18 selbst ist in § 24 nicht als Ordnungswidrigkeit aufgeführt; bußgeldbewehrt ist erst die Missachtung vollziehbarer Anordnungen (z. B. nach § 16) und bestimmte Mitwirkungspflichten.
  • Verwaltungsbehörde: das BBK (Registrierung, Anordnung nach § 8 Abs. 2), sonst die zuständige Behörde nach § 3 Abs. 2 (§ 24 Abs. 3). Die Höhe der Bußgelder wird nach § 25 evaluiert.
  • Sanktionsgrundlage der Richtlinie: Art. 22.

Lösungsansätze & Hilfestellungen

  • Das BBK stellt Betreibern Vorlagen, Muster und Leitlinien sowie Beratung, Schulungen und Übungen bereit (§ 19 Abs. 1); Muster für Resilienzpläne sind laut BBK-FAQ noch in Erstellung. Das BBK empfiehlt, schon jetzt mit der Resilienzsteigerung zu beginnen.
  • Das BSI ist zuständig für die IT-Aspekte nach BSIG; branchenspezifische Standards nach § 30 Abs. 8 BSIG sollen Grundlage für branchenspezifische Resilienzstandards sein (§ 14 Abs. 2).
  • Bestehende Nachweise (z. B. Zertifikate, Risikoanalysen) können nach § 17 herangezogen werden.
  • Methodische Anknüpfungspunkte (nicht gesetzlich vorgeschrieben): ISO 22301 (Business Continuity Management) und ISO 31000 (Risikomanagement).
  • Für Betreiber, die bereits unter die BSI-Kritisverordnung fallen: Prüfen, welche Nachweise und Maßnahmen bereits vorliegen und was durch das KRITISDachG (physischer Schutz, Registrierung beim BBK, Resilienzplan) neu hinzukommt.

Tools & Werkzeuge

Die Werkzeuge sind keine Compliance-Garantie; der Bezug zu den Paragraphen ist eine Orientierung.

Risikoanalyse & Risikomanagement

Tool Lizenz Problem / Zweck Regulatorische Relevanz
MONARC Open Source (AGPL-3.0) Strukturierte Risikoanalyse nach ISO 27005; entwickelt von CASES Luxemburg Methodische Unterstützung für Risikoanalysen (§ 12); Fokus auf Informationssicherheit

Incident Management / ITSM / Monitoring

Tool Lizenz Problem / Zweck Regulatorische Relevanz
MISP Open Source (AGPL-3.0) Threat Intelligence Sharing; Austausch von Indicators of Compromise (IoC) Informationsaustausch; ohne unmittelbaren Paragraphenbezug im KRITISDachG
Zabbix Open Source (AGPL-3.0, ab Version 7.0) IT-Monitoring und Alerting für Netzwerke, Server und OT-Umgebungen Störungserkennung als Voraussetzung für die Meldung nach § 18 (24 Stunden ab Kenntnis)
Nagios Core Open Source (GPL-2.0) Infrastruktur-Monitoring, Verfügbarkeitsüberwachung Störungserkennung (§ 18)
GLPI Open Source (GPL-3.0) ITSM mit Incident/Problem/Change-Management und CMDB Dokumentation von Vorfällen und Assets als Grundlage für § 12 bis § 13
Deming Open Source (GPL-3.0) Management von Kontrollen und Audits (ISO 27001), Maßnahmen-Tracking Nachweisführung, z. B. Audit-Dokumentation (§ 16 Abs. 3)

Asset Management für kritische Infrastrukturen

Tool Lizenz Problem / Zweck Regulatorische Relevanz
NetBox Open Source (Apache-2.0) IT-Infrastruktur- und Netzwerk-Asset-Management (DCIM/IPAM) Inventarisierung als Basis für die Risikoanalyse (§ 12)
Ralph Open Source (Apache-2.0) Asset- und DCIM-Management für physische und Cloud-Assets Inventarisierung als Basis für die Risikoanalyse (§ 12)
Snipe-IT Open Source (AGPL-3.0) IT Asset Management, Lizenz- und Geräteverwaltung Asset-Tracking als Basis für die Risikoanalyse (§ 12)

Quellen

Deutsche Rechtsgrundlage:

Gesetzgebungsverfahren:

Umsetzungsstand und Verordnung:

EU-Recht: