Program pilotażowy: 30 % rabatu w pierwszym roku. Liczba miejsc ograniczona. Zobacz warunki

Umów pierwszą rozmowę
Complass – Navigate compliance Complass – Navigate compliance
Język PL
Deutsch English Français Italiano Español Nederlands Polski Português
Wypróbuj za darmo

regulacja · Ustawa ramowa KRITIS (KRITISDachG)

Ustawa ramowa KRITIS: Odporność, którą można udokumentować

Obowiązuje tylko w Niemczech (prawo niemieckie). Operatorzy obiektów krytycznych muszą wzmocnić swoją odporność fizyczną. Complass prowadzi od sprawdzenia, czy przepisy Państwa dotyczą, przez analizę ryzyka i plan odporności aż do dowodu.

Wypróbuj za darmo Umów demo
Kadr z krótkiego filmu „Zarządzanie zgodnością w 20 sekund”
Zarządzanie zgodnością w 20 sekund Projekt, następny krok, lista kontrolna, deklaracja stosowania, pakiet audytowy. Beispieldaten der Demo-Firma.

Czym jest Ustawa ramowa KRITIS?

Obowiązuje tylko w Niemczech (prawo niemieckie). Ustawa KRITIS-Dachgesetz (KRITISDachG) to niemiecka ustawa o wzmocnieniu fizycznej odporności obiektów krytycznych. Wdraża dyrektywę (UE) 2022/2557 w sprawie odporności podmiotów krytycznych (dyrektywa CER). Operatorzy obiektów krytycznych muszą się zarejestrować, analizować ryzyka, podejmować środki odporności i przedstawiać je w planie odporności oraz zgłaszać incydenty, na przykład spowodowane zagrożeniami naturalnymi, wypadkami, sabotażem lub terroryzmem. Cyberbezpieczeństwo tych obiektów nadal reguluje ustawa BSI.

Aktualność treści:

Czy dotyczy to nas?

Dotyczy to operatorów obiektów krytycznych w dziesięciu sektorach: energia, transport, finanse, ubezpieczenia społeczne i zabezpieczenie podstawowe osób poszukujących pracy, ochrona zdrowia, woda, żywność, technologie informacyjne i telekomunikacja, przestrzeń kosmiczna oraz gospodarka odpadami komunalnymi. Obiekt jest krytyczny, jeśli ma istotne znaczenie dla usługi krytycznej służącej zaopatrzeniu ogółu.

Które to są obiekty, określa rozporządzenie Federalnego Ministerstwa Spraw Wewnętrznych z kategoriami obiektów i wartościami progowymi. Nie zostało jeszcze ogłoszone (stan na październik 2026 r.); ustawowa wartość regulacyjna wynosi 500 000 zaopatrywanych mieszkańców. Do tego czasu obiekt uznaje się za krytyczny tylko wtedy, gdy ministerstwo stwierdzi to w indywidualnym przypadku.

Wyjątki: dla przedsiębiorstw finansowych objętych DORA i sektora technologii informacyjnych i telekomunikacji odpadają między innymi analiza ryzyka, środki odporności i obowiązek zgłaszania, rejestracja pozostaje. Dla gospodarki odpadami komunalnymi i ubezpieczeń społecznych obowiązuje z tego wyłącznie analiza ryzyka. Operatorzy obiektów krytycznych uchodzą jednocześnie za podmioty szczególnie ważne według ustawy BSI.

Bezpłatnie sprawdź, czy Ustawa ramowa KRITIS obowiązuje W kilka minut, bez rejestracji.

Niniejszy przegląd nie zastępuje porady prawnej. Rozstrzygający jest tekst prawny lub normatywny; w Complass stosowalność sprawdza się za pomocą wskazówek opartych na odnośnikach do przepisów.

Podstawa prawna

  • § 2 KRITISDachG§ 2 KRITISDachG BegriffsbestimmungenIm Sinne dieses Gesetzes - 1. ist „Betreiber kritischer Anlagen“ eine natürliche oder juristische Person oder eine rechtlich unselbständige Organisationseinheit einer Gebietskörperschaft, die unter Berücksichtigung der rechtlichen, wirtschaftlichen und tatsächlichen Umstände bestimmenden Einfluss auf eine oder mehrere kritische Anlagen ausübt; abweichend hiervon hat im Sektor Finanzwesen bestimmenden Einfluss auf …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗Definicje: operator, obiekt, usługa krytyczna
  • § 4 KRITISDachG§ 4 KRITISDachG Geltungsbereich; Sektoren; Verordnungsermächtigung(1) Dieses Gesetz gilt für Betreiber kritischer Anlagen in den folgenden Sektoren: - 1. Energie, - 2. Transport und Verkehr, - 3. Finanzwesen, - 4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, - 5. Gesundheitswesen, - 6. Wasser, - 7. Ernährung, - 8. Informationstechnik und Telekommunikation, - 9. Weltraum und - 10. Siedlungsabfallentsorgung. (2) § 3 Absatz 8, die §§ 9, 10, 12 bis 16, …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗Zakres stosowania, sektory i wyjątki
  • § 5 KRITISDachG§ 5 KRITISDachG Erheblichkeit einer Anlage für die Erbringung kritischer Dienstleistungen; Feststellungsbefugnis; Verordnungsermächtigungen(1) Das Bundesministerium des Innern bestimmt durch Rechtsverordnung, die nicht der Zustimmung des Bundesrates bedarf, - 1. Kategorien von Anlagen, - 2. allgemeine, sektoren-, branchen-, dienstleistungs- oder anlagenspezifische Schwellenwerte zum Versorgungsgrad, bei deren Erreichen eine Anlage einer bestimmten Kategorie nach Nummer 1 nach einem bestimmten Stichtag als erheblich für die Erbringung einer kritischen …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗Istotność obiektu, wartość regulacyjna, stwierdzenie w indywidualnym przypadku
  • § 8 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗Rejestracja i moment rozpoczęcia obowiązywania obowiązków
  • § 28 BSIG§ 28 BSIG Besonders wichtige Einrichtungen und wichtige Einrichtungen(1) Als besonders wichtige Einrichtung gelten - 1. Betreiber kritischer Anlagen, - 2. qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS-Diensteanbieter, - 3. Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze, die - a) mindestens 50 Mitarbeiter beschäftigen oder - b) einen Jahresumsatz und eine Jahresbilanzsumme von jeweils …Stan na: 02.11.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗Operatorzy obiektów krytycznych jako podmioty szczególnie ważne
  • Art. 1 CER-RichtlinieArticle 1 CER Directive Subject matter and scope1. This Directive: - (a) lays down obligations on Member States to take specific measures aimed at ensuring that services which are essential for the maintenance of vital societal functions or economic activities within the scope of Article 114 TFEU are provided in an unobstructed manner in the internal market, in particular obligations to identify critical entities and to support critical entities in meeting the …Stan na: 05.10.2026 · Źródło: EUR-LexOtwórz oryginał (EUR-Lex) ↗Przedmiot i zakres stosowania dyrektywy UE

Kluczowe terminy

  1. Wejście w życie ustawy KRITIS-Dachgesetz

  2. Najpóźniej trzy miesiące

    Rejestracja przez wspólny punkt rejestracji BSI i BBK, gdy obiekt zostanie uznany za krytyczny

    § 8 Abs. 1 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗

  3. Niezwłocznie, najpóźniej dwa tygodnie / corocznie

    Zmiany danych rejestracyjnych; zmienione wartości dotyczące stopnia zaopatrzenia raz w roku

    § 8 Abs. 6 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗

  4. Dziewięć miesięcy po rejestracji

    Obowiązek analizy i oceny ryzyka zaczyna obowiązywać

    § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗

  5. Dziesięć miesięcy po rejestracji

    Środki odporności i plan odporności, obowiązek zgłaszania i obowiązki zarządu zaczynają obowiązywać

    § 8 Abs. 7 KRITISDachG§ 8 KRITISDachG Registrierung kritischer Anlagen; Geltungszeitpunkt(1) Ein Betreiber kritischer Anlagen ist verpflichtet, spätestens drei Monate, nachdem eine Anlage als kritische Anlage gilt, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine gemeinsam vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichtete Registrierungsmöglichkeit folgende Angaben zu übermitteln: - 1. den Namen des …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗

  6. Co najmniej co cztery lata

    Powtórzyć analizę i ocenę ryzyka, następnie zaktualizować plan odporności

    § 12 Abs. 1 KRITISDachG§ 12 KRITISDachG Risikoanalyse und Risikobewertung des Betreibers kritischer Anlagen; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen führt auf Grundlage der nationalen Risikoanalysen und Risikobewertungen und anderer vertrauenswürdiger Informationsquellen im Bedarfsfall, mindestens jedoch alle vier Jahre, eine Risikoanalyse und Risikobewertung durch, die Folgendes berücksichtigt: - 1. die in § 11 Absatz 2 Nummer 1 genannten Risiken, - 2. Risiken, die geeignet sein können, die Verfügbarkeit der kritischen …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗

  7. 24 godziny / jeden miesiąc

    Pierwsze zgłoszenie incydentu do BBK przez wspólny punkt zgłoszeniowy, następnie szczegółowy raport

    § 18 Abs. 1 KRITISDachG§ 18 KRITISDachG Meldewesen für Vorfälle; Verordnungsermächtigung(1) Der Betreiber kritischer Anlagen ist verpflichtet, dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe Vorfälle unverzüglich, spätestens 24 Stunden nach Kenntnis der vom Bundesamt für Sicherheit in der Informationstechnik und dem Bundesamt für Bevölkerungsschutz und Katastrophenhilfe eingerichteten gemeinsamen Meldestelle zu melden. Bei einem andauernden Vorfall ist die Erstmeldung zu aktualisieren. …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗

  8. § 14 ust. 3 do 5 wchodzą w życie; ich brzmienie nie zostało jeszcze opublikowane

    § 14 Abs. 3–5 KRITISDachG§ 14 KRITISDachG Sektorenübergreifende und sektorspezifische Mindestanforderungen; branchenspezifische Resilienzstandards; Verordnungsermächtigungen(1) Das Bundesministerium des Innern wird ermächtigt, durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf, zur Konkretisierung der Verpflichtungen nach § 13 Absatz 1 sektorenübergreifende Mindestanforderungen zu bestimmen. Zudem gilt § 4 Absatz 4 entsprechend. Das Bundesministerium des Innern kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf das Bundesamt für Bevölkerungsschutz und …Stan na: 05.10.2026 · Źródło: gesetze-im-internet.deOtwórz oryginał (gesetze-im-internet.de) ↗

Rozporządzenie na podstawie § 4 ust. 3 i § 5 ust. 1 KRITISDachG z usługami krytycznymi, kategoriami obiektów, wartościami progowymi i datami granicznymi nie zostało jeszcze ogłoszone (stan na październik 2026 r.). Do tego czasu obiekt uznaje się za krytyczny wyłącznie przez stwierdzenie w indywidualnym przypadku (§ 5 ust. 3).

Jak Complass pomaga

  • 7faz
  • 25kroków z przewodnikiem
  • 7szablonów dokumentów
  • 37wymagań w katalogu

  • Od klasyfikacji do dowodów, krok po kroku

    Siedem faz: dotyczenie i klasyfikacja, rejestracja i punkt kontaktowy, analiza ryzyka, środki odporności, plan odporności, system zgłoszeń oraz dowody, nadzór i zarząd.

  • Katalog środków odporności według § 13

    Środki w sześciu grupach według § 13 ust. 3, od przygotowania na sytuacje kryzysowe i ochrony obiektu przez zarządzanie kryzysowe i odtwarzanie po personel, szkolenia i ćwiczenia, każdy ze statusem i dowodem.

  • Szablony

    Sprawdzenie, czy Państwa dotyczy, arkusz danych rejestracyjnych, analiza ryzyka, plan odporności, wzór zgłoszenia i zestawienie dowodów.

  • Zgłoszenia z terminami

    Proces zgłaszania i wzór zgłoszenia ze wszystkimi wymaganymi danymi według § 18 ust. 2, rejestrowanie incydentów w zarządzaniu incydentami, dokumentowanie momentów zgłoszeń i odgraniczenie od zgłoszeń według § 32 BSIG.

  • Uzupełnić o zarządzanie ciągłością działania

    Analiza wpływu na biznes w module dodatkowym Zarządzanie ciągłością działania (BCM) dostarcza krytyczności, tolerowanych czasów przestoju i celów wznowienia Państwa procesów biznesowych jako podstawę analizy ryzyka i planu odporności.

Fazy w module

  1. Applicability and classification
  2. Registration and contact point
  3. Risk analysis and risk assessment
  4. Resilience measures
  5. Resilience plan
  6. Incident reporting
  7. Evidence, supervision and management body

Katalog: Resilience measures under Section 13 KRITIS Umbrella Act

Pasujące moduły: Zarządzanie ryzykiem · Zarządzanie incydentami · Supplier Management

Do dalszej lektury

German KRITIS Umbrella Act: resilience of critical facilities

Zobacz białą księgę

Ustawa ramowa KRITIS w Complass: czego Państwo minimalnie potrzebują

Jeśli ustawa KRITIS-Dachgesetz Państwa dotyczy, ten wybór obejmuje obowiązki w Complass. Czy tak jest, pokaże bezpłatna kontrola stosowalności.

Minimalny wybór Ustawa ramowa KRITIS

Pakiet Start, rozmiar S, z Zarządzanie ciągłością działania

377 € netto miesięcznie

Testuj bezpłatnie przez 14 dni: Minimalny wybór Ustawa ramowa KRITIS Zamów: Minimalny wybór Ustawa ramowa KRITIS

Przy płatności rocznej, minimalny okres umowy 12 miesięcy. Płatność miesięczna z dopłatą 15 %. Wszystkie ceny netto plus VAT, stan na 06/11/2026. Wszystkie pakiety i moduły w przeglądzie cen

Obowiązki mogą Państwo spełnić także bez Complass. Complass wspiera wdrożenie i dokumentowanie, ale nie zastępuje porady prawnej. Informacje prawne

Często zadawane pytania

Czy ustawa KRITIS-Dachgesetz obowiązuje także poza Niemcami?

Nie. Jest to prawo niemieckie i obowiązuje dla obiektów krytycznych w Niemczech. Pozostałe państwa członkowskie UE wdrażają dyrektywę CER własnymi ustawami; dla obiektów tam położonych obowiązuje odpowiednie prawo krajowe.

Jeszcze nie wiemy, czy nasz obiekt jest krytyczny. Co powinniśmy teraz zrobić?

Rozporządzenie z wartościami progowymi nie zostało jeszcze ogłoszone. Proszę już teraz zarejestrować swoje usługi, obiekty i wartości dotyczące stopnia zaopatrzenia oraz udokumentować ocenę. Jeśli obiekt zostanie uznany za krytyczny, na rejestrację pozostają trzy miesiące; dziesięć miesięcy po rejestracji muszą istnieć plan odporności i system zgłoszeń.

Mamy już wdrożone NIS2. Czy to wystarczy?

Nie. Ustawa BSI reguluje cyberbezpieczeństwo, a KRITIS-Dachgesetz ochronę fizyczną i utrzymanie zaopatrzenia. Rejestracja odbywa się jednak wspólnie, a istniejące analizy ryzyka, dokumenty i certyfikaty mogą Państwo wykorzystać jako dowód (§ 17). W Complass korzystają Państwo z zarządzania ryzykiem dla ryzyk obu ustaw.

Jakie kary pieniężne przewiduje ustawa?

Kary pieniężne grożą tylko za określone naruszenia, w maksymalnych kwotach od 100 000 euro do 1 mln euro: brakujące lub nieprawidłowe dane rejestracyjne, niestosowanie się do wykonalnych nakazów, nieprzekazane wyniki audytów oraz odmowa wstępu lub udzielenia informacji podczas kontroli (§ 24). W przypadku brakujących środków organ może nakazać usunięcie uchybień (§ 16); zarząd odpowiada według prawa spółek (§ 20).

Czy Complass zastępuje ocenę prawną?

Nie. Complass porządkuje sprawdzenie, czy Państwa dotyczy, obowiązki i dowody na podstawie tekstu ustawy; ocena prawna w indywidualnym przypadku pozostaje po Państwa stronie.

Przetestuj Complass na własnych danych

Mogą Państwo samodzielnie założyć konto testowe, na życzenie z przykładowym projektem dla każdej regulacji. Jeśli wolą Państwo najpierw zobaczyć Complass, proszę umówić demo.

Wypróbuj za darmo Umów demo