Regelwerk · KRITIS-Dachgesetz (KRITISDachG)

KRITIS-Dachgesetz: Resilienz, die Sie belegen können

Gilt nur in Deutschland (deutsches Recht). Betreiber kritischer Anlagen müssen ihre physische Resilienz stärken. Complass führt von der Betroffenheitsprüfung über Risikoanalyse und Resilienzplan bis zum Nachweis.

Kostenlos testen Demo anfragen

Standbild aus dem Kurzfilm „Compliance-Management in 20 Sekunden“ — **Compliance-Management in 20 Sekunden** Projekt, nächster Schritt, Checkliste, Erklärung zur Anwendbarkeit, Audit-Paket. Beispieldaten der Demo-Firma.

Was ist KRITIS-Dachgesetz?

Gilt nur in Deutschland (deutsches Recht). Das KRITIS-Dachgesetz (KRITISDachG) ist das deutsche Gesetz zur Stärkung der physischen Resilienz kritischer Anlagen. Es setzt die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) um. Betreiber kritischer Anlagen müssen sich registrieren, Risiken analysieren, Resilienzmaßnahmen treffen und in einem Resilienzplan darstellen sowie Vorfälle melden, etwa durch Naturgefahren, Unfälle, Sabotage oder Terrorismus. Die Cybersicherheit dieser Anlagen regelt weiterhin das BSI-Gesetz.

Stand der Inhalte: 05.10.2026

Bin ich betroffen?

Betroffen sind Betreiber kritischer Anlagen in zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Kritisch ist eine Anlage, die für eine kritische Dienstleistung zur Versorgung der Allgemeinheit erheblich ist.

Welche Anlagen das genau sind, legt eine Rechtsverordnung des Bundesministeriums des Innern mit Anlagenkategorien und Schwellenwerten fest. Sie ist noch nicht verkündet (Stand Oktober 2026); der gesetzliche Regelwert liegt bei 500.000 versorgten Einwohnern. Bis dahin gilt eine Anlage nur dann als kritisch, wenn das Ministerium dies im Einzelfall feststellt.

Ausnahmen: Für Finanzunternehmen unter DORA und den Sektor Informationstechnik und Telekommunikation entfallen unter anderem Risikoanalyse, Resilienzmaßnahmen und Meldepflicht, die Registrierung bleibt. Für Siedlungsabfallentsorgung und Sozialversicherung gilt davon nur die Risikoanalyse. Betreiber kritischer Anlagen gelten zugleich als besonders wichtige Einrichtungen nach dem BSI-Gesetz.

Kostenlos prüfen, ob KRITIS-Dachgesetz gilt In wenigen Minuten, ohne Anmeldung.

Diese Übersicht ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzes- bzw. Normtext; in Complass prüfen Sie die Betroffenheit geführt anhand der Verweise.

Rechtsgrundlagen

§ 2 KRITISDachGBegriffsbestimmungen: Betreiber, Anlage, kritische Dienstleistung
§ 4 KRITISDachGGeltungsbereich, Sektoren und Ausnahmen
§ 5 KRITISDachGErheblichkeit einer Anlage, Regelwert, Feststellung im Einzelfall
§ 8 KRITISDachGRegistrierung und Geltungszeitpunkt der Pflichten
§ 28 BSIGBetreiber kritischer Anlagen als besonders wichtige Einrichtungen
Art. 1 CER-RichtlinieGegenstand und Anwendungsbereich der EU-Richtlinie

Wichtige Fristen

17.03.2026

KRITIS-Dachgesetz in Kraft
Spätestens drei Monate

Registrierung über die gemeinsame Registrierungsmöglichkeit von BSI und BBK, nachdem eine Anlage als kritisch gilt

§ 8 Abs. 1 KRITISDachG
Unverzüglich, spätestens zwei Wochen / jährlich

Änderungen der Registrierungsangaben; geänderte Werte zum Versorgungsgrad einmal jährlich

§ 8 Abs. 6 KRITISDachG
Neun Monate nach Registrierung

Pflicht zur Risikoanalyse und Risikobewertung gilt

§ 8 Abs. 7 KRITISDachG
Zehn Monate nach Registrierung

Resilienzmaßnahmen und Resilienzplan, Meldepflicht und Pflichten der Geschäftsleitung gelten

§ 8 Abs. 7 KRITISDachG
Mindestens alle vier Jahre

Risikoanalyse und Risikobewertung wiederholen, danach den Resilienzplan aktualisieren

§ 12 Abs. 1 KRITISDachG
24 Stunden / ein Monat

Erstmeldung eines Vorfalls an das BBK über die gemeinsame Meldestelle, danach ausführlicher Bericht

§ 18 Abs. 1 KRITISDachG
01.01.2030

§ 14 Abs. 3 bis 5 treten in Kraft; ihr Wortlaut ist noch nicht veröffentlicht

§ 14 Abs. 3–5 KRITISDachG

Die Rechtsverordnung nach § 4 Abs. 3 und § 5 Abs. 1 KRITISDachG mit kritischen Dienstleistungen, Anlagenkategorien, Schwellenwerten und Stichtagen ist noch nicht verkündet (Stand Oktober 2026). Bis dahin gilt eine Anlage nur durch Feststellung im Einzelfall als kritisch (§ 5 Abs. 3).

Wie Complass hilft

7Phasen
25geführte Schritte
7Dokumentvorlagen
37Anforderungen im Katalog

Geführt von der Einstufung bis zum Nachweis
Sieben Phasen: Betroffenheit und Einstufung, Registrierung und Kontaktstelle, Risikoanalyse, Resilienzmaßnahmen, Resilienzplan, Meldewesen sowie Nachweise, Aufsicht und Geschäftsleitung.
Katalog der Resilienzmaßnahmen nach § 13
Maßnahmen in sechs Gruppen nach § 13 Abs. 3, von Notfallvorsorge und Objektschutz über Krisenmanagement und Wiederherstellung bis zu Personal, Schulungen und Übungen, jeweils mit Status und Nachweis.
Vorlagen
Betroffenheitsprüfung, Registrierungsdatenblatt, Risikoanalyse, Resilienzplan, Meldevorlage und Nachweisübersicht.
Meldungen mit Fristen
Meldeprozess und Meldevorlage mit allen Pflichtangaben nach § 18 Abs. 2, Vorfälle im Incident-Management erfassen, Meldezeitpunkte dokumentieren und von Meldungen nach § 32 BSIG abgrenzen.
Mit dem Notfallmanagement ergänzen
Die Business-Impact-Analyse im Zusatzmodul Notfallmanagement (BCM) liefert Kritikalität, tolerierbare Ausfallzeiten und Wiederanlaufziele Ihrer Geschäftsprozesse als Grundlage für Risikoanalyse und Resilienzplan.

Die Phasen im Modul

Betroffenheit und Einstufung
Registrierung und Kontaktstelle
Risikoanalyse und Risikobewertung
Resilienzmaßnahmen
Resilienzplan
Meldewesen für Vorfälle
Nachweise, Aufsicht und Geschäftsleitung

Katalog: Resilienzmaßnahmen nach § 13 KRITIS-Dachgesetz

Zum Weiterlesen

KRITIS-Dachgesetz: Resilienz kritischer Anlagen

Whitepaper ansehen

KRITIS-Dachgesetz in Complass: was Sie mindestens brauchen

Wenn das KRITIS-Dachgesetz für Sie gilt, deckt diese Auswahl die Pflichten in Complass ab. Ob das so ist, zeigt der kostenlose Betroffenheits-Check.

Mindestauswahl KRITIS-Dachgesetz

Paket Start, Größe S, mit Notfallmanagement

377 € netto pro Monat

NIS2: Risikomanagement-Maßnahmen und Meldepflichten; Meldungen bereiten Sie im Incident-Management vor (inklusive). (§§ 30, 32 BSIG (öffnet in neuem Tab))
KRITIS-Dachgesetz: Registrierung, Risikoanalyse und Resilienzmaßnahmen für kritische Anlagen. (§§ 8, 12, 13 KRITIS-Dachgesetz (öffnet in neuem Tab))
Geschäftsleitungs-Cockpit: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. (§ 38 BSIG (öffnet in neuem Tab))
Notfallmanagement (BCM): Resilienzplan mit Notfallvorsorge, Schulungen und Übungen; im Baustein mit Business-Impact-Analyse und ISO 22301. (§ 13 KRITIS-Dachgesetz (öffnet in neuem Tab))+ 79 €
Außerdem enthalten: Incident-Management, DSGVO, KI-Verordnung und Hinweisgeberschutz (HinSchG) (Basisschutz)

14 Tage kostenlos testen Bestellen

Business

590 € netto pro Monat

Mehr Wirkung mit Asset-Management und Zonen und Lieferantenmanagement, Platz für 10 Nutzer und 2 Regelwerke.

Business testen

Bei jährlicher Zahlung, 12 Monate Mindestlaufzeit. Monatliche Zahlung mit 15 % Aufschlag. Alle Preise netto zzgl. USt., Stand 06.11.2026. Alle Pakete und Bausteine in der Preisübersicht

Die Pflichten können Sie auch ohne Complass erfüllen. Complass unterstützt bei Umsetzung und Nachweis und ersetzt keine Rechtsberatung. Rechtliche Hinweise

Häufige Fragen

Gilt das KRITIS-Dachgesetz auch außerhalb Deutschlands?

Nein. Es ist deutsches Recht und gilt für kritische Anlagen in Deutschland. Die anderen EU-Mitgliedstaaten setzen die CER-Richtlinie mit eigenen Gesetzen um; für Anlagen dort gilt das jeweilige nationale Recht.

Wir wissen noch nicht, ob unsere Anlage kritisch ist. Was sollten wir jetzt tun?

Die Rechtsverordnung mit den Schwellenwerten ist noch nicht verkündet. Erfassen Sie schon jetzt Ihre Dienstleistungen, Anlagen und Werte zum Versorgungsgrad und dokumentieren Sie die Einschätzung. Gilt eine Anlage als kritisch, bleiben drei Monate für die Registrierung; zehn Monate nach der Registrierung müssen Resilienzplan und Meldewesen stehen.

Wir haben NIS2 bereits umgesetzt. Reicht das?

Nein. Das BSI-Gesetz regelt die Cybersicherheit, das KRITIS-Dachgesetz den physischen Schutz und die Aufrechterhaltung der Versorgung. Die Registrierung erfolgt aber gemeinsam, und vorhandene Risikoanalysen, Dokumente und Zertifikate können Sie als Nachweis heranziehen (§ 17). In Complass nutzen Sie das Risk-Management für die Risiken beider Gesetze.

Welche Bußgelder sieht das Gesetz vor?

Bußgelder gibt es nur für bestimmte Verstöße, mit Höchstbeträgen zwischen 100.000 Euro und 1 Mio. Euro: fehlende oder falsche Registrierungsangaben, Zuwiderhandlung gegen vollziehbare Anordnungen, nicht übermittelte Auditergebnisse und verweigerten Zutritt oder verweigerte Auskunft bei einer Prüfung (§ 24). Bei fehlenden Maßnahmen kann die Behörde die Beseitigung der Mängel anordnen (§ 16); die Geschäftsleitung haftet nach Gesellschaftsrecht (§ 20).

Ersetzt Complass eine rechtliche Prüfung?

Nein. Complass strukturiert Betroffenheitsprüfung, Pflichten und Nachweise anhand des Gesetzestexts; die rechtliche Bewertung im Einzelfall bleibt bei Ihnen.

Complass mit Ihren eigenen Daten testen

Legen Sie Ihren Testzugang selbst an, auf Wunsch mit einem Beispielprojekt je Regelwerk. Wenn Sie Complass lieber erst gezeigt bekommen, fragen Sie eine Demo an.