KRITIS-DachG
Das KRITIS-Dachgesetz regelt den physischen Schutz kritischer Infrastrukturen in Deutschland. Hier finden Sie eine kompakte Übersicht zu Betroffenheit, Pflichten und dem Verhältnis zu NIS2.
Was ist das KRITIS-DachG?
Das KRITIS-Dachgesetz (KRITIS-DachG) ist das deutsche Umsetzungsgesetz der europäischen CER-Richtlinie(Critical Entities Resilience Directive). Der Bundestag beschloss es am 29. Januar 2026, verkündet wurde es am 11. März 2026 (BGBl. 2026 I Nr. 66); in Kraft ist es seit dem 17. März 2026. Eine Ausnahme bildet § 14 Abs. 3 bis 5, der erst zum 1. Januar 2030 in Kraft tritt. Es verpflichtet Betreiber kritischer Anlagen zu umfassenden Maßnahmen zur physischen Resilienz und zum Schutz vor Bedrohungen, die Versorgungsunterbrechungen verursachen können — von Naturkatastrophen über technische Ausfälle bis hin zu vorsätzlichen Angriffen.
Im Kern definiert das KRITIS-DachG, welche Einrichtungen als kritische Anlagen eingestuft werden, welche Resilienzpflichten für diese Betreiber gelten und welche Behörde — das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) — die Aufsicht übernimmt. Das Gesetz ergänzt den bestehenden KRITIS-Rahmen des BSI um eine eigenständige physische Sicherheitsebene und schafft damit einen dualen Regelungsrahmen für Deutschlands kritische Infrastrukturen.
Betreiber, die unter das KRITIS-DachG fallen, müssen sich beim BBK registrieren, Risikoanalysen durchführen und konkrete Resilienzpläne vorlegen. Die erste Registrierungspflicht galt bereits für Betreiber in besonders systemrelevanten Sektoren. Ob Ihr Unternehmen betroffen ist, hängt von Sektor-spezifischen Schwellenwerten ab, die im Gesetz und in begleitenden Verordnungen festgelegt sind.
Unterschied zu NIS2
KRITIS-DachG und NIS2 werden häufig verwechselt, adressieren jedoch grundlegend verschiedene Schutzebenen. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) fokussiert auf Cybersicherheit: Netz- und Informationssicherheit, Meldepflichten bei Cybervorfällen, technisch-organisatorische Maßnahmen gegen digitale Bedrohungen. Zuständige Aufsichtsbehörde ist das BSI.
Das KRITIS-DachG hingegen regelt die physische Resilienz: Schutz von Gebäuden, Anlagen, Versorgungsinfrastruktur und Personal vor physischen Bedrohungen. Der gesetzliche Ursprung ist die CER-Richtlinie, die Aufsichtsbehörde ist das BBK. Beide Gesetze können gleichzeitig auf einen Betreiber zutreffen — ein Energie-Netzbetreiber etwa unterliegt sowohl NIS2 (Cybersicherheit) als auch dem KRITIS-DachG (physische Sicherheit).
Für die Praxis bedeutet dies: Compliance-Projekte müssen beide Regelwerke koordiniert angehen, um Doppelaufwand zu vermeiden und Synergien bei Risikoanalysen, Dokumentation und Meldeprozessen zu nutzen. Unternehmen, die bereits ein ISMS nach ISO 27001 betreiben, können wesentliche Teile ihrer Dokumentation für beide Gesetze wiederverwenden.
Detaillierter Vergleich: NIS2 vs. KRITIS-DachGBetroffene Sektoren
Das KRITIS-DachG erfasst elf Sektoren, die als besonders systemrelevant für die Versorgungssicherheit und gesellschaftliche Stabilität Deutschlands gelten. Für jeden Sektor legen Rechtsverordnungen konkrete Schwellenwerte fest, ab denen ein Betreiber als kritische Anlage eingestuft wird und den Resilienzpflichten unterliegt.
Zu den zentralen Sektoren gehören Energie, Trinkwasser- und Abwasserversorgung, digitale Infrastruktur, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Verkehr, Raumfahrt sowie öffentliche Verwaltung. Besonders im Fokus stehen Betreiber mit hoher Versorgungsrelevanz, da Ausfälle dort unmittelbar die Bevölkerung betreffen.
Wichtigste Pflichten nach KRITIS-DachG
Betreiber kritischer Anlagen im Sinne des KRITIS-DachG unterliegen einem mehrstufigen Pflichtenprogramm. Die Anforderungen bauen aufeinander auf — von der initialen Registrierung über die Risikoanalyse bis zur laufenden Nachweispflicht. Folgende Kernpflichten sind zu erfüllen:
- Registrierung beim BBK: Betreiber kritischer Anlagen müssen sich beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe registrieren und wesentliche Informationen zur Anlage melden.
- Risikoanalyse und Resilienzplan: Eine umfassende Analyse aller relevanten Risiken für die kritische Anlage ist Pflicht — von physischen Bedrohungen über Klimarisiken bis zu menschlichem Versagen. Auf Basis dieser Analyse ist ein konkreter Resilienzplan zu erstellen und regelmäßig fortzuschreiben.
- Physische und technisch-organisatorische Schutzmaßnahmen: Betreiber müssen geeignete Maßnahmen umsetzen, um die identifizierten Risiken zu mitigieren — darunter Zutritts- kontrollen, Perimeterschutz, redundante Systeme und Notfallpläne.
- Meldung erheblicher Vorfälle ans BBK: Störungen, die erhebliche Auswirkungen auf die Versorgung haben oder haben könnten, sind unverzüglich an das BBK zu melden. Die Meldeschwellen werden durch Rechtsverordnung konkretisiert.
- Nachweispflicht alle drei Jahre: Betreiber müssen gegenüber dem BBK in einem Dreijahresrhythmus nachweisen, dass die geforderten Resilienzmaßnahmen umgesetzt und wirksam sind — durch Audits, Prüfberichte oder vergleichbare Nachweise.
- Benennung einer verantwortlichen Person: Für die Koordination der KRITIS-DachG-Compliance ist eine verantwortliche Ansprechperson beim BBK zu benennen, die als zentraler Kontaktpunkt für Behörden und bei Vorfällen fungiert.
Weiterführende Inhalte
Vertiefen Sie Ihr Verständnis des KRITIS-DachG mit unseren weiterführenden Analysen. Der direkte Vergleich mit NIS2 hilft Ihnen, Compliance-Überschneidungen zu identifizieren und doppelte Arbeit zu vermeiden. Unser Blogbeitrag beleuchtet die praktischen Anforderungen an physische Resilienzmaßnahmen anhand konkreter Beispiele aus der Beratungspraxis.
KRITIS-DachG-Compliance starten
Sie sind unsicher, ob Ihr Unternehmen unter das KRITIS-DachG fällt oder wie Sie die Resilienzpflichten effizient umsetzen? Wir begleiten Sie von der ersten Risikoanalyse bis zur Nachweisdokumentation.
Beratung anfragen