Aus dem angekündigten Rahmen ist geltendes Recht geworden. Das KRITIS-Dachgesetz ist seit dem 16. März 2026 in Kraft. Für betroffene Betreiber beginnt damit ein Pflichtenprogramm mit klar definierten Fristen – beginnend mit der Registrierung ab dem 17. Juni 2026. Eine fachliche Einordnung, was jetzt konkret gilt und in welcher Reihenfolge.
Lange war das KRITIS-Dachgesetz ein Gesetz im Konjunktiv: angekündigt, mehrfach verschoben, in seinen Details abhängig vom jeweiligen Entwurf. Diese Phase ist abgeschlossen. Der Bundestag hat das Gesetz am 29. Januar 2026 beschlossen, der Bundesrat hat am 6. März 2026 zugestimmt, und mit der Verkündung im Bundesgesetzblatt ist es am 16. März 2026 in Kraft getreten.
Damit verschiebt sich die relevante Frage. Sie lautet nicht mehr, ob und in welcher Form das Gesetz kommt, sondern bis wann welche Pflicht zu erfüllen ist und wer die Arbeit verantwortet. Dieser Beitrag fasst den geltenden Stand zusammen und ordnet ihn fachlich ein. Die methodischen Grundlagen – All-Gefahren-Ansatz, Schutzbedarfsanalyse, Kaskadeneffekte – sind im vorangegangenen Beitrag dargestellt; hier liegt der Fokus auf dem, was sich mit dem Inkrafttreten konkret geändert hat.
Was das Gesetz regelt
Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen in deutsches Recht um. Es schafft erstmals einen bundeseinheitlichen, sektorenübergreifenden Rechtsrahmen für den physischen Schutz kritischer Infrastrukturen – als Ergänzung zur cyberseitigen Regulierung, die parallel über das NIS-2-Umsetzungsgesetz und das BSI-Gesetz läuft.
Zentrale Aufsichtsbehörde für die physische Resilienz ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Damit liegt die Aufsicht über den physischen Schutz erstmals gebündelt bei einer Bundesbehörde, während das Bundesamt für Sicherheit in der Informationstechnik (BSI) für die Cybersicherheit zuständig bleibt. Für viele Betreiber bedeutet das zwei parallele Aufsichtsverhältnisse mit unterschiedlichen Ansprechpartnern und Berichtswegen.
Wer betroffen ist
Erfasst werden Betreiber kritischer Anlagen in den durch das Gesetz und die ergänzende Rechtsverordnung definierten Sektoren – darunter Energie, Transport und Verkehr, Finanz- und Versicherungswesen, Gesundheit, Trinkwasser und Abwasser, Ernährung, digitale Infrastruktur, öffentliche Verwaltung, Weltraum sowie die Siedlungsabfallentsorgung.
Als Regelschwelle gilt: Eine Anlage wird in der Regel dann als kritisch eingestuft, wenn sie eine Versorgung von mehr als 500.000 Personen sicherstellt. Diese Schwelle ist jedoch kein alleiniges Kriterium. Daneben können weitere Faktoren die Einstufung beeinflussen – etwa das geografische Gebiet, das eine Anlage versorgt, der Marktanteil des Betreibers oder das Ausmaß, in dem andere kritische Sektoren von der erbrachten Dienstleistung abhängen. Die genauen Schwellenwerte je Sektor ergeben sich aus der Rechtsverordnung.
In der Praxis folgt daraus eine erste Pflicht, die nicht ausdrücklich im Gesetz steht, aber jeder weiteren vorausgeht: die belastbare Selbsteinstufung. Wer nahe an der Schwelle liegt oder über mehrere Anlagen verfügt, sollte die Frage der Betroffenheit dokumentiert klären, bevor die Registrierungsfrist läuft – nicht erst, wenn die Behörde nachfragt.
Der Fristenkalender
Das eigentlich Neue am geltenden Gesetz sind die gestaffelten Übergangsfristen. Sie geben den Takt vor, in dem Betreiber ihre Pflichten aufbauen müssen, und knüpfen an den Zeitpunkt an, ab dem eine Anlage als kritisch gilt – frühestens jedoch ab dem 17. Juni 2026.
Ab dem 17. Juni 2026 – Registrierung. Betreiber müssen sich binnen drei Monaten, nachdem ihre Anlage als kritisch gilt, bei der zuständigen Behörde registrieren – frühestens jedoch ab diesem Stichtag. Zugleich ist eine erreichbare Kontaktstelle zu benennen.
Neun Monate nach der Registrierung – Risikoanalyse. Spätestens dann muss die Risiko- beziehungsweise Schutzbedarfsanalyse nach dem All-Gefahren-Ansatz durchgeführt sein.
Zehn Monate nach der Registrierung – Resilienzplan und Meldewesen. Spätestens dann sind die Resilienzmaßnahmen umgesetzt, der Resilienzplan erstellt und das Meldewesen eingerichtet.
Diese Staffelung ist großzügiger bemessen, als sie auf den ersten Blick wirkt – und zugleich enger. Großzügig, weil zwischen Registrierung und fertigem Resilienzplan rund zehn Monate liegen. Eng, weil eine belastbare Schutzbedarfsanalyse, die Beteiligung mehrerer Fachbereiche und die Ableitung wirksamer Maßnahmen keine Aufgabe von Wochen sind. Wer die neun Monate bis zur Analyse als Pufferzeit liest, statt als Projektlaufzeit, gerät am Ende unter Druck.
Die Pflichten im Einzelnen
Der Kern des Pflichtenprogramms entspricht der Logik der CER-Richtlinie und gliedert sich in vier Bereiche.
Die Registrierungspflicht verlangt die aktive Anmeldung bei der zuständigen Behörde und die Benennung einer Kontaktstelle, die als Ansprechpartner für das BBK dient. Diese Stelle ist nicht nur formaler Briefkasten, sondern Schnittstelle für Auskunftsersuchen, Meldungen und Prüfungen – sie sollte mit entsprechender Befugnis und Erreichbarkeit ausgestattet sein.
Die Risiko- und Schutzbedarfsanalyse ist die methodische Grundlage aller weiteren Pflichten. Sie muss alle relevanten Gefährdungen berücksichtigen – von Naturereignissen über technisches und menschliches Versagen bis zu Sabotage, Anschlägen und Unterbrechungen der Lieferkette. Der All-Gefahren-Ansatz ist hier nicht Programmatik, sondern gesetzliche Anforderung.
Die Resilienzpflicht verlangt geeignete technische, organisatorische und personelle Maßnahmen, die in einem Resilienzplan zu dokumentieren und gegenüber der Behörde nachzuweisen sind. Der Plan ist nicht statisch, sondern fortzuschreiben; seine Wirksamkeit ist zu prüfen, und die Ergebnisse sind Teil des Nachweises.
Die Meldepflicht betrifft erhebliche Störungen. Sie sind binnen 24 Stunden über die gemeinsame Meldeplattform von BBK und BSI zu melden und bei andauernden Vorfällen zu aktualisieren. Spätestens einen Monat nach Bekanntwerden ist ein ausführlicher Abschlussbericht vorzulegen. Inhaltlich umfasst eine Meldung mindestens Art und Ursache des Vorfalls, das betroffene Gebiet, die Dauer und den Umfang der Versorgungsbeeinträchtigung.
Durchsetzung: die Pflichten haben Gewicht
Anders als bei mancher früheren Selbstverpflichtung sind die Pflichten bußgeldbewehrt. Der Bußgeldrahmen ist gestaffelt und reicht bis zu einer Million Euro, etwa bei Nichtbefolgung vollziehbarer behördlicher Anordnungen. Für andere Verstöße – etwa die Nichtübermittlung von Auditergebnissen – sind niedrigere Rahmen vorgesehen. Die Höhe der angedrohten Bußgelder ist weniger als Einnahmequelle relevant denn als Signal: Der physische Schutz kritischer Anlagen wird als durchsetzbare Pflicht behandelt, nicht als freiwilliger Reifegrad.
Das Verhältnis zu NIS-2
Das KRITIS-Dachgesetz steht nicht allein. Parallel ist das NIS-2-Umsetzungsgesetz in Kraft, das die cyberseitige Regulierung über eine Novelle des BSI-Gesetzes regelt und seinerseits einen eigenen Kreis von Unternehmen erfasst. Beide Regime überschneiden sich sektoral, verfolgen aber unterschiedliche Schutzrichtungen: physische Resilienz unter Aufsicht des BBK, Cybersicherheit unter Aufsicht des BSI.
Für betroffene Betreiber entsteht daraus eine doppelte Pflichtenlage mit zwei Behörden, zwei Registrierungen und zwei Meldelogiken. Methodisch lassen sich beide Stränge in einer integrierten Resilienz-Betrachtung zusammenführen – die Bedrohungsanalyse, die Kontaktstellen und das Meldewesen müssen organisatorisch jedoch beide Adressaten bedienen. Wer Cyber- und physische Pflichten in getrennten Silos bearbeitet, verdoppelt den Aufwand und riskiert Lücken an den Schnittstellen.
Was jetzt zu tun ist
Aus dem geltenden Stand ergibt sich eine nüchterne Reihenfolge. Zuerst die dokumentierte Klärung der Betroffenheit: Fällt die Anlage unter das Dachgesetz, unter NIS-2, unter beide? Dann die Vorbereitung der Registrierung und die Benennung einer handlungsfähigen Kontaktstelle vor dem 17. Juni 2026 beziehungsweise innerhalb der laufenden Drei-Monats-Frist. Parallel die Bestandsaufnahme: Welche Bausteine eines Resilienzplans liegen bereits vor – aus bestehenden BCM-, Brandschutz- oder Notfalldokumentationen – und welche fehlen?
Erst auf dieser Grundlage beginnt der methodische Kern: die Schutzbedarfsanalyse nach dem All-Gefahren-Ansatz, aus der sich Maßnahmen, Resilienzplan und Übungsplanung ableiten. Die Frist von neun Monaten bis zur Analyse ist dafür der Maßstab, nicht der Spielraum.
Quellen und weiterführende Literatur
Gesetz zur Stärkung der Resilienz kritischer Anlagen (KRITIS-Dachgesetz), in der geltenden Fassung.