referencial · Lei-quadro KRITIS (KRITISDachG)

Lei-quadro KRITIS: Resiliência que pode comprovar

Aplica-se apenas na Alemanha (direito alemão). Os operadores de instalações críticas têm de reforçar a sua resiliência física. O Complass guia-o da verificação da aplicabilidade, passando pela análise de risco e pelo plano de resiliência, até às provas.

Experimentar grátis Pedir demonstração

Imagem fixa do vídeo curto «Gestão da conformidade em 20 segundos» — **Gestão da conformidade em 20 segundos** Projeto, próximo passo, lista de verificação, declaração de aplicabilidade, pacote de auditoria. Beispieldaten der Demo-Firma.

O que é Lei-quadro KRITIS?

Aplica-se apenas na Alemanha (direito alemão). O KRITIS-Dachgesetz (KRITISDachG) é a lei alemã para o reforço da resiliência física das instalações críticas. Transpõe a Diretiva (UE) 2022/2557 relativa à resiliência das entidades críticas (Diretiva CER). Os operadores de instalações críticas têm de se registar, analisar riscos, tomar medidas de resiliência e descrevê-las num plano de resiliência, bem como notificar incidentes, por exemplo causados por perigos naturais, acidentes, sabotagem ou terrorismo. A cibersegurança destas instalações continua a ser regulada pela lei BSI.

Atualidade dos conteúdos: 05.10.2026

Aplica-se ao meu caso?

Estão abrangidos os operadores de instalações críticas em dez setores: energia, transporte e tráfego, finanças, segurança social e subsídio básico para pessoas à procura de emprego, saúde, água, alimentação, tecnologias da informação e telecomunicações, espaço e gestão de resíduos urbanos. É crítica uma instalação que seja significativa para um serviço crítico de abastecimento da população.

Que instalações são exatamente é definido por um regulamento do Ministério Federal do Interior com categorias de instalações e valores-limite. Ainda não foi publicado (a outubro de 2026); o valor de referência legal é de 500 000 habitantes abastecidos. Até lá, uma instalação só é considerada crítica se o Ministério o determinar num caso concreto.

Exceções: para as instituições financeiras abrangidas pelo DORA e para o setor das tecnologias da informação e telecomunicações, deixam de se aplicar, entre outras, a análise de riscos, as medidas de resiliência e a obrigação de notificação; o registo mantém-se. Para a gestão de resíduos urbanos e a segurança social, aplica-se apenas a análise de riscos. Os operadores de instalações críticas são simultaneamente entidades particularmente importantes nos termos da lei BSI.

Verificar gratuitamente se Lei-quadro KRITIS se aplica Em poucos minutos, sem registo.

Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.

Base jurídica

§ 2 KRITISDachGDefinições: operador, instalação, serviço crítico
§ 4 KRITISDachGÂmbito de aplicação, setores e exceções
§ 5 KRITISDachGSignificância de uma instalação, valor de referência, determinação em caso concreto
§ 8 KRITISDachGRegisto e momento de aplicação das obrigações
§ 28 BSIGOperadores de instalações críticas como entidades particularmente importantes
Art. 1 CER-RichtlinieObjeto e âmbito de aplicação da diretiva da UE

Datas-chave

17.03.2026

KRITIS-Dachgesetz em vigor
No máximo três meses

Registo através da plataforma de registo comum do BSI e do BBK, depois de uma instalação ser considerada crítica

§ 8 Abs. 1 KRITISDachG
Sem demora, no máximo duas semanas / anualmente

Alterações dos dados de registo; valores alterados do grau de abastecimento uma vez por ano

§ 8 Abs. 6 KRITISDachG
Nove meses após o registo

A obrigação de análise e avaliação de riscos passa a aplicar-se

§ 8 Abs. 7 KRITISDachG
Dez meses após o registo

Passam a aplicar-se as medidas de resiliência e o plano de resiliência, a obrigação de notificação e as obrigações da direção

§ 8 Abs. 7 KRITISDachG
Pelo menos de quatro em quatro anos

Repetir a análise e a avaliação de riscos e, depois, atualizar o plano de resiliência

§ 12 Abs. 1 KRITISDachG
24 horas / um mês

Primeira notificação de um incidente ao BBK através do ponto de notificação comum e, depois, relatório pormenorizado

§ 18 Abs. 1 KRITISDachG
01.01.2030

Entram em vigor o § 14, n.os 3 a 5; o seu texto ainda não foi publicado

§ 14 Abs. 3–5 KRITISDachG

O regulamento nos termos do § 4, n.º 3, e do § 5, n.º 1, do KRITISDachG, com serviços críticos, categorias de instalações, valores-limite e datas de referência, ainda não foi publicado (a outubro de 2026). Até lá, uma instalação só é considerada crítica por determinação em caso concreto (§ 5, n.º 3).

Como o Complass ajuda

7fases
25passos guiados
7modelos de documento
37requisitos no catálogo

Conduzido da classificação às evidências
Sete fases: abrangência e classificação, registo e ponto de contacto, análise de riscos, medidas de resiliência, plano de resiliência, sistema de notificação, bem como evidências, supervisão e direção.
Catálogo de medidas de resiliência nos termos do § 13
Medidas em seis grupos nos termos do § 13, n.º 3, da prevenção de emergências e proteção das instalações, passando pela gestão de crises e recuperação, até ao pessoal, formações e exercícios, cada uma com estado e evidência.
Modelos
Verificação da abrangência, ficha de registo, análise de riscos, plano de resiliência, modelo de notificação e resumo das evidências.
Notificações com prazos
Processo e modelo de notificação com todos os dados obrigatórios nos termos do § 18, n.º 2, registar incidentes na gestão de incidentes, documentar os momentos das notificações e distingui-los das notificações nos termos do § 32 BSIG.
Complementar com a gestão da continuidade
A análise de impacto no negócio no módulo adicional de gestão da continuidade (BCM) fornece a criticidade, os tempos de paragem toleráveis e os objetivos de retoma dos seus processos de negócio como base para a análise de riscos e o plano de resiliência.

As fases no módulo

Applicability and classification
Registration and contact point
Risk analysis and risk assessment
Resilience measures
Resilience plan
Incident reporting
Evidence, supervision and management body

Catálogo: Resilience measures under Section 13 KRITIS Umbrella Act

Para ler mais

German KRITIS Umbrella Act: resilience of critical facilities

Ver o whitepaper

Lei-quadro KRITIS no Complass: o que precisa no mínimo

Se o KRITIS-Dachgesetz se aplica a si, esta seleção cobre as obrigações no Complass. A verificação de aplicabilidade gratuita mostra se é o caso.

Seleção mínima Lei-quadro KRITIS

Pacote Start, tamanho S, com Gestão da continuidade de negócio

377 € líquido por mês

NIS2: Medidas de gestão de riscos e obrigações de notificação; as notificações são preparadas na gestão de incidentes (incluída). (§§ 30, 32 BSIG (abre num novo separador))
Lei-quadro KRITIS: Registo, análise de risco e medidas de resiliência para instalações críticas. (§§ 8, 12, 13 KRITIS-Dachgesetz (abre num novo separador))
Cockpit de gestão: A direção tem de implementar as medidas de gestão de riscos, supervisionar a sua implementação e participar regularmente em formações. (§ 38 BSIG (abre num novo separador))
Gestão da continuidade de negócio (BCM): Plano de resiliência com preparação para emergências, formações e exercícios; no módulo com análise de impacto no negócio e ISO 22301. (§ 13 KRITIS-Dachgesetz (abre num novo separador))+ 79 €
Também incluído: Gestão de incidentes, RGPD, Regulamento da IA e Proteção de denunciantes (HinSchG) (proteção base)

Teste gratuito de 14 dias Encomendar

Recomendado

Business

590 € líquido por mês

Mais impacto com Gestão de ativos e zonas e Supplier Management, capacidade para 10 utilizadores e 2 referenciais.

Experimentar Business

Com pagamento anual, duração mínima de 12 meses. Pagamento mensal com um acréscimo de 15 %. Todos os preços sem IVA, atualizados a 06/11/2026. Todos os pacotes e módulos na vista geral de preços

Também pode cumprir as obrigações sem o Complass. O Complass apoia a implementação e a evidência e não substitui aconselhamento jurídico. Informações legais

Perguntas frequentes

O KRITIS-Dachgesetz aplica-se também fora da Alemanha?

Não. É direito alemão e aplica-se a instalações críticas na Alemanha. Os outros Estados-Membros da UE transpõem a Diretiva CER com leis próprias; para instalações aí situadas aplica-se o respetivo direito nacional.

Ainda não sabemos se a nossa instalação é crítica. O que devemos fazer agora?

O regulamento com os valores-limite ainda não foi publicado. Registe já agora os seus serviços, instalações e valores do grau de abastecimento e documente a avaliação. Se uma instalação for considerada crítica, há três meses para o registo; dez meses após o registo, o plano de resiliência e o sistema de notificação têm de estar implementados.

Já implementámos a NIS2. É suficiente?

Não. A lei BSI regula a cibersegurança, o KRITIS-Dachgesetz a proteção física e a manutenção do abastecimento. O registo é, porém, feito em conjunto, e pode usar como evidência análises de riscos, documentos e certificados existentes (§ 17). No Complass, usa a gestão de riscos para os riscos de ambas as leis.

Que coimas prevê a lei?

Só há coimas para determinadas infrações, com montantes máximos entre 100 000 euros e 1 milhão de euros: dados de registo em falta ou incorretos, incumprimento de ordens executórias, resultados de auditoria não transmitidos e recusa de acesso ou de informações numa inspeção (§ 24). Em caso de medidas em falta, a autoridade pode ordenar a correção das deficiências (§ 16); a direção responde nos termos do direito societário (§ 20).

O Complass substitui uma análise jurídica?

Não. O Complass estrutura a verificação da abrangência, as obrigações e as evidências com base no texto da lei; a avaliação jurídica em cada caso concreto cabe a si.

Teste o Complass com os seus próprios dados

Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.