marco normativo · Ley marco KRITIS (KRITISDachG)

Ley marco KRITIS: Resiliencia que puede demostrar

Se aplica solo en Alemania (Derecho alemán). Los operadores de instalaciones críticas deben reforzar su resiliencia física. Complass le guía desde la comprobación de afectación, pasando por el análisis de riesgos y el plan de resiliencia, hasta las pruebas.

Probar gratis Solicitar una demo

Fotograma del vídeo corto «Gestión del cumplimiento en 20 segundos» — **Gestión del cumplimiento en 20 segundos** Proyecto, siguiente paso, lista de verificación, declaración de aplicabilidad, paquete de auditoría. Beispieldaten der Demo-Firma.

¿Qué es Ley marco KRITIS?

Se aplica solo en Alemania (Derecho alemán). El KRITIS-Dachgesetz (KRITISDachG) es la ley alemana para reforzar la resiliencia física de las instalaciones críticas. Transpone la Directiva (UE) 2022/2557 relativa a la resiliencia de las entidades críticas (Directiva CER). Los operadores de instalaciones críticas deben registrarse, analizar riesgos, adoptar medidas de resiliencia y recogerlas en un plan de resiliencia, así como notificar incidentes, por ejemplo por peligros naturales, accidentes, sabotaje o terrorismo. La ciberseguridad de estas instalaciones sigue regulada por la ley BSI.

Actualidad de los contenidos: 05.10.2026

¿Me afecta?

Afecta a los operadores de instalaciones críticas en diez sectores: energía, transporte y tráfico, finanzas, seguridad social y prestación básica para solicitantes de empleo, sanidad, agua, alimentación, tecnologías de la información y telecomunicaciones, espacio y gestión de residuos urbanos. Una instalación es crítica cuando es significativa para un servicio crítico de abastecimiento de la población.

Qué instalaciones son exactamente las que lo son lo determina un reglamento del Ministerio Federal del Interior con categorías de instalaciones y umbrales. Todavía no está promulgado (a octubre de 2026); el valor legal de referencia es de 500.000 habitantes abastecidos. Hasta entonces, una instalación solo se considera crítica si el ministerio lo determina en un caso concreto.

Excepciones: para las entidades financieras sujetas a DORA y para el sector de las tecnologías de la información y las telecomunicaciones decaen, entre otras, el análisis de riesgos, las medidas de resiliencia y la obligación de notificación; el registro se mantiene. Para la gestión de residuos urbanos y la seguridad social solo se aplica el análisis de riesgos. Los operadores de instalaciones críticas se consideran además entidades especialmente importantes según la ley BSI.

Comprobar gratis si Ley marco KRITIS le afecta En pocos minutos, sin registro.

Este resumen no sustituye al asesoramiento jurídico. Lo que prevalece es el texto legal o normativo; en Complass usted comprueba la aplicabilidad con ayuda de orientaciones basadas en las referencias.

Base jurídica

§ 2 KRITISDachGDefiniciones: operador, instalación, servicio crítico
§ 4 KRITISDachGÁmbito de aplicación, sectores y excepciones
§ 5 KRITISDachGSignificación de una instalación, valor de referencia, determinación en el caso concreto
§ 8 KRITISDachGRegistro y momento de aplicación de las obligaciones
§ 28 BSIGOperadores de instalaciones críticas como entidades especialmente importantes
Art. 1 CER-RichtlinieObjeto y ámbito de aplicación de la Directiva de la UE

Fechas clave

17.03.2026

KRITIS-Dachgesetz en vigor
Como máximo tres meses

Registro a través de la vía de registro común de la BSI y la BBK, una vez que una instalación se considera crítica

§ 8 Abs. 1 KRITISDachG
Sin demora, como máximo en dos semanas / anualmente

Cambios en los datos de registro; valores modificados del grado de abastecimiento una vez al año

§ 8 Abs. 6 KRITISDachG
Nueve meses después del registro

Se aplica la obligación de realizar un análisis y una evaluación de riesgos

§ 8 Abs. 7 KRITISDachG
Diez meses después del registro

Se aplican las medidas de resiliencia y el plan de resiliencia, la obligación de notificación y las obligaciones de la dirección

§ 8 Abs. 7 KRITISDachG
Al menos cada cuatro años

Repetir el análisis y la evaluación de riesgos y después actualizar el plan de resiliencia

§ 12 Abs. 1 KRITISDachG
24 horas / un mes

Primera notificación de un incidente a la BBK a través del punto de notificación común, y después un informe detallado

§ 18 Abs. 1 KRITISDachG
01.01.2030

Entran en vigor los apartados 3 a 5 del § 14; su texto aún no está publicado

§ 14 Abs. 3–5 KRITISDachG

El reglamento conforme al § 4, apdo. 3, y al § 5, apdo. 1, KRITISDachG, con servicios críticos, categorías de instalaciones, umbrales y fechas de referencia, todavía no está promulgado (a octubre de 2026). Hasta entonces, una instalación solo se considera crítica por determinación en el caso concreto (§ 5, apdo. 3).

Cómo le ayuda Complass

7fases
25pasos guiados
7plantillas de documentos
37requisitos en el catálogo

Guiado desde la clasificación hasta las evidencias
Siete fases: afectación y clasificación, registro y punto de contacto, análisis de riesgos, medidas de resiliencia, plan de resiliencia, sistema de notificaciones, así como evidencias, supervisión y dirección.
Catálogo de medidas de resiliencia conforme al § 13
Medidas en seis grupos conforme al § 13, apdo. 3, desde la preparación ante emergencias y la protección de instalaciones, pasando por la gestión de crisis y la recuperación, hasta el personal, la formación y los simulacros, cada una con estado y evidencia.
Plantillas
Comprobación de la afectación, ficha de datos de registro, análisis de riesgos, plan de resiliencia, plantilla de notificación y resumen de evidencias.
Notificaciones con plazos
Proceso de notificación y plantilla de notificación con todos los datos obligatorios conforme al § 18, apdo. 2, registrar incidentes en la gestión de incidentes, documentar los momentos de notificación y diferenciarlos de las notificaciones conforme al § 32 BSIG.
Complementar con la gestión de la continuidad del negocio
El análisis de impacto en el negocio del módulo adicional de gestión de la continuidad del negocio (BCM) aporta la criticidad, los tiempos de inactividad tolerables y los objetivos de reanudación de sus procesos de negocio como base para el análisis de riesgos y el plan de resiliencia.

Las fases del módulo

Applicability and classification
Registration and contact point
Risk analysis and risk assessment
Resilience measures
Resilience plan
Incident reporting
Evidence, supervision and management body

Catálogo: Resilience measures under Section 13 KRITIS Umbrella Act

Para seguir leyendo

German KRITIS Umbrella Act: resilience of critical facilities

Ver el whitepaper

Ley marco KRITIS en Complass: lo mínimo que necesita

Si el KRITIS-Dachgesetz le afecta, esta selección cubre las obligaciones en Complass. El control de afectación gratuito le indica si es así.

Selección mínima Ley marco KRITIS

Paquete Start, tamaño S, con Gestión de la continuidad de negocio

377 € netos al mes

NIS2: Medidas de gestión de riesgos y obligaciones de notificación; las notificaciones se preparan en la gestión de incidentes (incluida). (§§ 30, 32 BSIG (se abre en una pestaña nueva))
Ley marco KRITIS: Registro, análisis de riesgos y medidas de resiliencia para instalaciones críticas. (§§ 8, 12, 13 KRITIS-Dachgesetz (se abre en una pestaña nueva))
Dashboard de la dirección: La dirección debe implantar las medidas de gestión de riesgos, supervisar su implantación y participar periódicamente en formaciones. (§ 38 BSIG (se abre en una pestaña nueva))
Gestión de la continuidad de negocio (BCM): Plan de resiliencia con prevención de emergencias, formaciones y ejercicios; en el módulo con análisis de impacto en el negocio e ISO 22301. (§ 13 KRITIS-Dachgesetz (se abre en una pestaña nueva))+ 79 €
También incluido: Gestión de incidentes, RGPD, Reglamento de IA y Protección de los denunciantes (HinSchG) (protección básica)

Prueba gratuita de 14 días Pedir

Recomendado

Business

590 € netos al mes

Más efecto con Gestión de activos y zonas y Supplier Management, espacio para 10 usuarios y 2 marcos normativos.

Probar Business

Con pago anual, permanencia mínima de 12 meses. Pago mensual con un recargo del 15 %. Todos los precios sin IVA, a fecha de 06/11/2026. Todos los paquetes y módulos en el resumen de precios

También puede cumplir las obligaciones sin Complass. Complass apoya la implantación y la evidencia y no sustituye el asesoramiento jurídico. Avisos legales

Preguntas frecuentes

¿Se aplica el KRITIS-Dachgesetz también fuera de Alemania?

No. Es Derecho alemán y se aplica a las instalaciones críticas en Alemania. Los demás Estados miembros de la UE transponen la Directiva CER con sus propias leyes; para las instalaciones situadas allí rige el Derecho nacional correspondiente.

Todavía no sabemos si nuestra instalación es crítica. ¿Qué debemos hacer ahora?

El reglamento con los umbrales todavía no está promulgado. Registre ya sus servicios, instalaciones y valores del grado de abastecimiento y documente la valoración. Si una instalación se considera crítica, quedan tres meses para el registro; diez meses después del registro deben estar listos el plan de resiliencia y el sistema de notificaciones.

Ya hemos implementado NIS2. ¿Es suficiente?

No. La ley BSI regula la ciberseguridad; el KRITIS-Dachgesetz, la protección física y el mantenimiento del abastecimiento. El registro, no obstante, se realiza conjuntamente, y los análisis de riesgos, documentos y certificados existentes pueden utilizarse como evidencia (§ 17). En Complass utiliza la gestión de riesgos para los riesgos de ambas leyes.

¿Qué multas prevé la ley?

Solo hay multas para determinadas infracciones, con importes máximos de entre 100.000 y 1 millón de euros: datos de registro ausentes o incorrectos, incumplimiento de órdenes ejecutables, resultados de auditoría no transmitidos y denegación de acceso o de información en una inspección (§ 24). Ante la falta de medidas, la autoridad puede ordenar la subsanación de las deficiencias (§ 16); la dirección responde conforme al Derecho de sociedades (§ 20).

¿Sustituye Complass una revisión jurídica?

No. Complass estructura la comprobación de la afectación, las obligaciones y las evidencias a partir del texto legal; la valoración jurídica del caso concreto sigue en sus manos.

Pruebe Complass con sus propios datos

Cree usted mismo su acceso de prueba, con un proyecto de ejemplo por marco normativo si lo desea. Si prefiere que primero le mostremos Complass, solicite una demo.