normenkader · KRITIS-kaderwet (KRITISDachG)

KRITIS-parapluwet: Weerbaarheid die u kunt aantonen

Geldt alleen in Duitsland (Duits recht). Exploitanten van kritieke installaties moeten hun fysieke weerbaarheid versterken. Complass begeleidt u van de toetsing van de betrokkenheid via risicoanalyse en weerbaarheidsplan tot het bewijs.

Gratis uitproberen Demo aanvragen

Stilstaand beeld uit de korte video “Compliancemanagement in 20 seconden” — **Compliancemanagement in 20 seconden** Project, volgende stap, checklist, verklaring van toepasselijkheid, auditpakket. Beispieldaten der Demo-Firma.

Wat is KRITIS-parapluwet?

Geldt alleen in Duitsland (Duits recht). Het KRITIS-Dachgesetz (KRITISDachG) is de Duitse wet ter versterking van de fysieke weerbaarheid van kritieke installaties. Het zet Richtlijn (EU) 2022/2557 betreffende de weerbaarheid van kritieke entiteiten (CER-richtlijn) om. Exploitanten van kritieke installaties moeten zich registreren, risico's analyseren, weerbaarheidsmaatregelen nemen en in een weerbaarheidsplan beschrijven en incidenten melden, bijvoorbeeld door natuurgevaren, ongevallen, sabotage of terrorisme. De cyberbeveiliging van deze installaties wordt nog steeds geregeld door de Duitse BSI-wet.

Actualiteit van de inhoud: 05.10.2026

Is het op mij van toepassing?

Het gaat om exploitanten van kritieke installaties in tien sectoren: energie, transport en verkeer, financiën, sociale verzekering en basisuitkering voor werkzoekenden, gezondheidszorg, water, voeding, informatietechnologie en telecommunicatie, ruimtevaart en afvalverwerking van huishoudelijk afval. Een installatie is kritiek als zij aanzienlijk is voor een kritieke dienst voor de voorziening van het algemeen publiek.

Welke installaties dat precies zijn, wordt vastgelegd in een verordening van het Duitse federale ministerie van Binnenlandse Zaken met installatiecategorieën en drempelwaarden. Zij is nog niet afgekondigd (stand oktober 2026); de wettelijke standaardwaarde bedraagt 500.000 bediende inwoners. Tot dan geldt een installatie alleen als kritiek als het ministerie dit in het individuele geval vaststelt.

Uitzonderingen: voor financiële ondernemingen onder DORA en de sector informatietechnologie en telecommunicatie vervallen onder meer risicoanalyse, weerbaarheidsmaatregelen en meldplicht; de registratie blijft. Voor afvalverwerking van huishoudelijk afval en sociale verzekering geldt daarvan alleen de risicoanalyse. Exploitanten van kritieke installaties gelden tegelijk als bijzonder belangrijke entiteiten volgens de BSI-wet.

Gratis controleren of KRITIS-parapluwet geldt In een paar minuten, zonder aanmelding.

Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.

Rechtsgrondslag

§ 2 KRITISDachGDefinities: exploitant, installatie, kritieke dienst
§ 4 KRITISDachGToepassingsgebied, sectoren en uitzonderingen
§ 5 KRITISDachGSignificantie van een installatie, standaardwaarde, vaststelling in het individuele geval
§ 8 KRITISDachGRegistratie en ingangsmoment van de verplichtingen
§ 28 BSIGExploitanten van kritieke installaties als bijzonder belangrijke entiteiten
Art. 1 CER-RichtlinieOnderwerp en toepassingsgebied van de EU-richtlijn

Belangrijke data

17.03.2026

KRITIS-Dachgesetz in werking
Uiterlijk binnen drie maanden

Registratie via de gezamenlijke registratiemogelijkheid van BSI en BBK, nadat een installatie als kritiek geldt

§ 8 Abs. 1 KRITISDachG
Onverwijld, uiterlijk twee weken / jaarlijks

Wijzigingen van de registratiegegevens; gewijzigde waarden voor de voorzieningsgraad eenmaal per jaar

§ 8 Abs. 6 KRITISDachG
Negen maanden na registratie

Verplichting tot risicoanalyse en risicobeoordeling geldt

§ 8 Abs. 7 KRITISDachG
Tien maanden na registratie

Weerbaarheidsmaatregelen en weerbaarheidsplan, meldplicht en verplichtingen van de directie gelden

§ 8 Abs. 7 KRITISDachG
Minstens elke vier jaar

Risicoanalyse en risicobeoordeling herhalen, daarna het weerbaarheidsplan actualiseren

§ 12 Abs. 1 KRITISDachG
24 uur / één maand

Eerste melding van een incident aan het BBK via het gezamenlijke meldpunt, daarna uitgebreid rapport

§ 18 Abs. 1 KRITISDachG
01.01.2030

§ 14, leden 3 tot en met 5 treden in werking; de tekst ervan is nog niet gepubliceerd

§ 14 Abs. 3–5 KRITISDachG

De verordening op grond van § 4, lid 3 en § 5, lid 1 KRITISDachG met kritieke diensten, installatiecategorieën, drempelwaarden en peildata is nog niet afgekondigd (stand oktober 2026). Tot dan geldt een installatie alleen door vaststelling in het individuele geval als kritiek (§ 5, lid 3).

Hoe Complass helpt

7fasen
25begeleide stappen
7documentsjablonen
37eisen in de catalogus

Begeleid van classificatie tot bewijs
Zeven fasen: toepasselijkheid en indeling, registratie en contactpunt, risicoanalyse, weerbaarheidsmaatregelen, weerbaarheidsplan, meldingen en bewijs, toezicht en directie.
Catalogus van weerbaarheidsmaatregelen volgens § 13
Maatregelen in zes groepen volgens § 13, lid 3, van noodvoorzorg en objectbeveiliging via crisisbeheer en herstel tot personeel, trainingen en oefeningen, telkens met status en bewijs.
Sjablonen
Toepasselijkheidstoets, registratiegegevensblad, risicoanalyse, weerbaarheidsplan, meldsjabloon en bewijsoverzicht.
Meldingen met termijnen
Meldproces en meldsjabloon met alle verplichte gegevens volgens § 18, lid 2, incidenten registreren in het incidentbeheer, meldmomenten documenteren en afbakenen van meldingen volgens § 32 BSIG.
Aanvullen met bedrijfscontinuïteitsbeheer
De business impact analyse in de aanvullende module bedrijfscontinuïteitsbeheer (BCM) levert kriticiteit, acceptabele uitvaltijden en hersteldoelen van uw bedrijfsprocessen als basis voor risicoanalyse en weerbaarheidsplan.

De fasen in de module

Applicability and classification
Registration and contact point
Risk analysis and risk assessment
Resilience measures
Resilience plan
Incident reporting
Evidence, supervision and management body

Catalogus: Resilience measures under Section 13 KRITIS Umbrella Act

Verder lezen

German KRITIS Umbrella Act: resilience of critical facilities

Whitepaper bekijken

KRITIS-parapluwet in Complass: wat u minimaal nodig hebt

Als het KRITIS-Dachgesetz voor u geldt, dan dekt deze selectie de verplichtingen in Complass af. Of dat zo is, laat de gratis betrokkenheidscheck zien.

Minimale selectie KRITIS-parapluwet

Pakket Start, grootte S, met Bedrijfscontinuïteitsbeheer

377 € netto per maand

NIS2: Risicobeheermaatregelen en meldplichten; meldingen bereidt u voor in het incidentbeheer (inbegrepen). (§§ 30, 32 BSIG (opent in nieuw tabblad))
KRITIS-parapluwet: Registratie, risicoanalyse en weerbaarheidsmaatregelen voor kritieke installaties. (§§ 8, 12, 13 KRITIS-kaderwet (opent in nieuw tabblad))
Managementcockpit: De directie moet de risicobeheermaatregelen uitvoeren, de uitvoering bewaken en regelmatig aan opleidingen deelnemen. (§ 38 BSIG (opent in nieuw tabblad))
Bedrijfscontinuïteitsbeheer (BCM): Weerbaarheidsplan met noodvoorzorg, opleidingen en oefeningen; in de module met business-impactanalyse en ISO 22301. (§ 13 KRITIS-kaderwet (opent in nieuw tabblad))+ 79 €
Ook inbegrepen: Incidentmanagement, AVG, AI-verordening en Klokkenluidersbescherming (HinSchG) (basisbescherming)

14 dagen gratis testen Bestellen

Aanbevolen

Business

590 € netto per maand

Meer effect met Assetmanagement en zones en Supplier Management, ruimte voor 10 gebruikers en 2 regelwerken.

Business uitproberen

Bij jaarlijkse betaling, minimale looptijd 12 maanden. Maandelijkse betaling met 15 % toeslag. Alle prijzen exclusief btw, stand 06/11/2026. Alle pakketten en bouwstenen in het prijsoverzicht

U kunt de verplichtingen ook zonder Complass nakomen. Complass ondersteunt bij uitvoering en bewijs en vervangt geen juridisch advies. Juridische informatie

Veelgestelde vragen

Geldt het KRITIS-Dachgesetz ook buiten Duitsland?

Nee. Het is Duits recht en geldt voor kritieke installaties in Duitsland. De andere EU-lidstaten zetten de CER-richtlijn om met eigen wetten; voor installaties daar geldt het betreffende nationale recht.

Wij weten nog niet of onze installatie kritiek is. Wat moeten we nu doen?

De verordening met de drempelwaarden is nog niet afgekondigd. Registreer nu al uw diensten, installaties en waarden voor de voorzieningsgraad en documenteer de inschatting. Geldt een installatie als kritiek, dan resteren drie maanden voor de registratie; tien maanden na de registratie moeten weerbaarheidsplan en meldproces er staan.

Wij hebben NIS2 al geïmplementeerd. Is dat voldoende?

Nee. De BSI-wet regelt de cyberbeveiliging, het KRITIS-Dachgesetz de fysieke bescherming en de continuïteit van de voorziening. De registratie verloopt echter gezamenlijk, en bestaande risicoanalyses, documenten en certificaten kunt u als bewijs gebruiken (§ 17). In Complass gebruikt u het risicobeheer voor de risico's van beide wetten.

Welke boetes voorziet de wet?

Boetes zijn er alleen voor bepaalde overtredingen, met maximumbedragen tussen 100.000 euro en 1 miljoen euro: ontbrekende of onjuiste registratiegegevens, overtreding van uitvoerbare bevelen, niet doorgegeven auditresultaten en geweigerde toegang of geweigerde informatie bij een controle (§ 24). Bij ontbrekende maatregelen kan de autoriteit de opheffing van de gebreken gelasten (§ 16); de directie is aansprakelijk volgens het vennootschapsrecht (§ 20).

Vervangt Complass een juridische toetsing?

Nee. Complass structureert toepasselijkheidstoets, verplichtingen en bewijs aan de hand van de wettekst; de juridische beoordeling in het individuele geval blijft bij u.

Test Complass met uw eigen gegevens

Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.