framework · Legge quadro KRITIS (KRITISDachG)

Legge quadro KRITIS: Resilienza che potete dimostrare

Vale solo in Germania (diritto tedesco). I gestori di impianti critici devono rafforzare la propria resilienza fisica. Complass La guida dalla verifica dell’assoggettamento, passando per analisi dei rischi e piano di resilienza, fino alle prove.

Provare gratis Richiedere una demo

Fotogramma del breve video “Compliance management in 20 secondi” — **Compliance management in 20 secondi** Progetto, prossimo passo, checklist, dichiarazione di applicabilità, pacchetto per l’audit. Beispieldaten der Demo-Firma.

Che cos’è Legge quadro KRITIS?

Vale solo in Germania (diritto tedesco). La legge quadro KRITIS (KRITISDachG) è la legge tedesca per il rafforzamento della resilienza fisica degli impianti critici. Recepisce la Direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici (direttiva CER). I gestori di impianti critici devono registrarsi, analizzare i rischi, adottare misure di resilienza e illustrarle in un piano di resilienza, nonché notificare gli incidenti, ad esempio causati da pericoli naturali, incidenti, sabotaggio o terrorismo. La cibersicurezza di tali impianti continua a essere disciplinata dalla legge sul BSI.

Aggiornamento dei contenuti: 05.10.2026

Vale anche per me?

Sono interessati i gestori di impianti critici in dieci settori: energia, trasporti e traffico, finanza, previdenza sociale e sostegno di base per chi cerca lavoro, sanità, acqua, alimentazione, tecnologia dell’informazione e telecomunicazioni, spazio e gestione dei rifiuti urbani. È critico un impianto significativo per un servizio critico per l’approvvigionamento della collettività.

Quali impianti siano esattamente tali è stabilito da un regolamento del Ministero federale dell’Interno con categorie di impianti e soglie. Non è ancora stato promulgato (a ottobre 2026); il valore di riferimento di legge è di 500.000 abitanti serviti. Fino ad allora un impianto è considerato critico solo se il Ministero lo accerta nel singolo caso.

Eccezioni: per le imprese finanziarie soggette a DORA e per il settore tecnologia dell’informazione e telecomunicazioni decadono, tra l’altro, analisi dei rischi, misure di resilienza e obbligo di notifica, mentre la registrazione resta. Per la gestione dei rifiuti urbani e la previdenza sociale si applica di questi solo l’analisi dei rischi. I gestori di impianti critici sono contemporaneamente considerati soggetti essenziali ai sensi della legge sul BSI.

Verificare gratuitamente se Legge quadro KRITIS si applica In pochi minuti, senza registrazione.

Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.

Base giuridica

§ 2 KRITISDachGDefinizioni: gestore, impianto, servizio critico
§ 4 KRITISDachGAmbito di applicazione, settori ed eccezioni
§ 5 KRITISDachGSignificatività di un impianto, valore di riferimento, accertamento nel singolo caso
§ 8 KRITISDachGRegistrazione e momento di decorrenza degli obblighi
§ 28 BSIGGestori di impianti critici come soggetti essenziali
Art. 1 CER-RichtlinieOggetto e ambito di applicazione della direttiva UE

Date chiave

17.03.2026

Entrata in vigore della legge quadro KRITIS
Al più tardi tre mesi

Registrazione tramite la possibilità di registrazione comune di BSI e BBK, dopo che un impianto è considerato critico

§ 8 Abs. 1 KRITISDachG
Senza ritardo, al più tardi due settimane / annualmente

Modifiche ai dati di registrazione; valori modificati sul livello di approvvigionamento una volta all’anno

§ 8 Abs. 6 KRITISDachG
Nove mesi dopo la registrazione

Si applica l’obbligo di analisi e valutazione dei rischi

§ 8 Abs. 7 KRITISDachG
Dieci mesi dopo la registrazione

Si applicano misure di resilienza e piano di resilienza, obbligo di notifica e obblighi della direzione

§ 8 Abs. 7 KRITISDachG
Almeno ogni quattro anni

Ripetere analisi e valutazione dei rischi, poi aggiornare il piano di resilienza

§ 12 Abs. 1 KRITISDachG
24 ore / un mese

Prima notifica di un incidente al BBK tramite il punto di segnalazione comune, poi rapporto dettagliato

§ 18 Abs. 1 KRITISDachG
01.01.2030

Entrano in vigore i § 14, commi da 3 a 5; il loro testo non è ancora stato pubblicato

§ 14 Abs. 3–5 KRITISDachG

Il regolamento ai sensi del § 4, comma 3, e del § 5, comma 1, KRITISDachG con servizi critici, categorie di impianti, soglie e date di riferimento non è ancora stato promulgato (a ottobre 2026). Fino ad allora un impianto è considerato critico solo per accertamento nel singolo caso (§ 5, comma 3).

Come Complass aiuta

7fasi
25passi guidati
7modelli di documento
37requisiti nel catalogo

Guidati dalla classificazione alle evidenze
Sette fasi: applicabilità e classificazione, registrazione e punto di contatto, analisi dei rischi, misure di resilienza, piano di resilienza, sistema di notifica nonché evidenze, vigilanza e direzione.
Catalogo delle misure di resilienza ai sensi del § 13
Misure in sei gruppi ai sensi del § 13, comma 3, dalla preparazione alle emergenze e protezione degli impianti, passando per gestione delle crisi e ripristino, fino a personale, formazioni ed esercitazioni, ciascuna con stato ed evidenza.
Modelli
Verifica dell’applicabilità, scheda di registrazione, analisi dei rischi, piano di resilienza, modello di notifica e panoramica delle evidenze.
Notifiche con scadenze
Processo di notifica e modello di notifica con tutte le informazioni obbligatorie ai sensi del § 18, comma 2, registrazione degli incidenti nella gestione degli incidenti, documentazione dei momenti di notifica e distinzione dalle notifiche ai sensi del § 32 BSIG.
Integrare con la gestione delle emergenze
La business impact analysis nel modulo aggiuntivo Gestione delle emergenze (BCM) fornisce criticità, tempi di inattività tollerabili e obiettivi di ripristino dei Suoi processi aziendali come base per analisi dei rischi e piano di resilienza.

Le fasi nel modulo

Applicability and classification
Registration and contact point
Risk analysis and risk assessment
Resilience measures
Resilience plan
Incident reporting
Evidence, supervision and management body

Catalogo: Resilience measures under Section 13 KRITIS Umbrella Act

Per approfondire

German KRITIS Umbrella Act: resilience of critical facilities

Consultare il whitepaper

Legge quadro KRITIS in Complass: cosa serve come minimo

Se la legge quadro KRITIS si applica a Lei, questa selezione copre gli obblighi in Complass. Se è così, lo mostra il verifica di applicabilità gratuita.

Selezione minima Legge quadro KRITIS

Pacchetto Start, taglia S, con Gestione della continuità operativa

377 € netto al mese

NIS2: Misure di gestione del rischio e obblighi di notifica; le notifiche si preparano nella gestione degli incidenti (inclusa). (§§ 30, 32 BSIG (si apre in una nuova scheda))
Legge quadro KRITIS: Registrazione, analisi dei rischi e misure di resilienza per impianti critici. (§§ 8, 12, 13 KRITIS-Dachgesetz (si apre in una nuova scheda))
Dashboard di gestione: La direzione deve attuare le misure di gestione del rischio, sorvegliarne l’attuazione e partecipare regolarmente a formazioni. (§ 38 BSIG (si apre in una nuova scheda))
Gestione della continuità operativa (BCM): Piano di resilienza con prevenzione delle emergenze, formazioni ed esercitazioni; nel modulo con business impact analysis e ISO 22301. (§ 13 KRITIS-Dachgesetz (si apre in una nuova scheda))+ 79 €
Inclusi inoltre: Incident management, GDPR, Regolamento sull’IA e Protezione degli informatori (HinSchG) (protezione di base)

Prova gratuita per 14 giorni Ordina

Consigliato

Business

590 € netto al mese

Più efficacia con Asset management e zone e Supplier Management, spazio per 10 utenti e 2 normative.

Provare Business

Con pagamento annuale, durata minima di 12 mesi. Pagamento mensile con un supplemento del 15 %. Tutti i prezzi al netto dell’IVA, aggiornati al 06/11/2026. Tutti i pacchetti e i moduli nella panoramica dei prezzi

Può adempiere agli obblighi anche senza Complass. Complass supporta attuazione e prova e non sostituisce la consulenza legale. Note legali

Domande frequenti

La legge quadro KRITIS si applica anche al di fuori della Germania?

No. È diritto tedesco e vale per gli impianti critici in Germania. Gli altri Stati membri dell’UE recepiscono la direttiva CER con leggi proprie; per gli impianti situati lì si applica il rispettivo diritto nazionale.

Non sappiamo ancora se il nostro impianto sia critico. Che cosa dovremmo fare adesso?

Il regolamento con le soglie non è ancora stato promulgato. Registri fin da ora i Suoi servizi, impianti e valori sul livello di approvvigionamento e documenti la valutazione. Se un impianto è considerato critico, restano tre mesi per la registrazione; dieci mesi dopo la registrazione devono essere pronti piano di resilienza e sistema di notifica.

Abbiamo già attuato la NIS2. È sufficiente?

No. La legge sul BSI disciplina la cibersicurezza, la legge quadro KRITIS la protezione fisica e il mantenimento dell’approvvigionamento. La registrazione avviene però congiuntamente e le analisi dei rischi, i documenti e i certificati esistenti possono essere utilizzati come evidenza (§ 17). In Complass utilizza il Risk Management per i rischi di entrambe le leggi.

Quali sanzioni pecuniarie prevede la legge?

Le sanzioni pecuniarie sono previste solo per determinate violazioni, con importi massimi tra 100.000 euro e 1 milione di euro: dati di registrazione mancanti o errati, inosservanza di provvedimenti esecutivi, risultati di audit non trasmessi e accesso o informazioni negati durante una verifica (§ 24). In caso di misure mancanti l’autorità può ordinare l’eliminazione delle carenze (§ 16); la direzione risponde secondo il diritto societario (§ 20).

Complass sostituisce una verifica legale?

No. Complass struttura verifica dell’applicabilità, obblighi ed evidenze sulla base del testo di legge; la valutazione giuridica nel singolo caso resta a Lei.

Provate Complass con i vostri dati

Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.