Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft. Die Pflichten der Betreiber sind darin klar gestaffelt – ihr Startpunkt hängt jedoch an einer Rechtsverordnung, die den Kreis der erfassten Anlagen erst bestimmt. Eine Einordnung, welche Fristen feststehen und welche noch nicht laufen.
Das KRITIS-Dachgesetz wurde als Artikel 1 des Gesetzes vom 11. März 2026 verkündet und ist nach Artikel 11 Absatz 1 am 17. März 2026 in Kraft getreten. Eine Ausnahme bildet § 14 Absatz 3 bis 5, der erst zum 1. Januar 2030 gilt. Damit steht der Pflichtenrahmen für Betreiber kritischer Anlagen fest. Offen ist der Zeitpunkt, ab dem er für die einzelne Anlage zu laufen beginnt.
Der Startpunkt: die Rechtsverordnung
Das Gesetz verweist für den entscheidenden Punkt auf eine Rechtsverordnung des Bundesministeriums des Innern. Sie bestimmt nach § 4 Absatz 3, welche kritischen Dienstleistungen zu den zehn Sektoren gehören, und nach § 5 Absatz 1 die Kategorien von Anlagen, die Schwellenwerte zum Versorgungsgrad und die Stichtage, ab denen eine Anlage als erheblich für die Erbringung einer kritischen Dienstleistung gilt. Erst damit gilt eine Anlage als kritische Anlage im Sinne des Gesetzes.
Daran hängt die gesamte Fristenkette. § 8 Absatz 1 knüpft die Registrierungspflicht ausdrücklich an den Zeitpunkt, ab dem eine Anlage als kritische Anlage gilt – nicht an das Inkrafttreten des Gesetzes. Und § 8 Absatz 8 bestimmt, dass das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe die Einzelheiten des Registrierungsverfahrens erst innerhalb von vier Wochen nach Inkrafttreten dieser Rechtsverordnung festlegt, durch öffentliche Mitteilung auf seiner Internetseite.
Die dafür erforderliche Verordnung – die KRITIS-VO des Bundesinnenministeriums – liegt bislang als Referentenentwurf vor und ist nicht verabschiedet. Solange sie nicht in Kraft ist, gilt keine Anlage als kritische Anlage, und für keinen Betreiber läuft eine Registrierungsfrist. Nicht zu verwechseln ist sie mit der weiterhin geltenden BSI-KritisV, die auf dem BSI-Gesetz beruht.
Registrierung: drei Monate
Sobald eine Anlage als kritische Anlage gilt, ist der Betreiber verpflichtet, sich spätestens innerhalb von drei Monaten zu registrieren. Die Registrierung erfolgt beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe über eine Möglichkeit, die gemeinsam mit dem Bundesamt für Sicherheit in der Informationstechnik eingerichtet wird.
Zu übermitteln sind unter anderem Name und Rechtsform des Betreibers, Anschrift und Kontaktdaten, die Bezeichnung der kritischen Anlage, der Sektor und die kritische Dienstleistung, für deren Erbringung die Anlage erheblich ist, sowie Standort, Versorgungsgebiet und öffentliche IP-Adressbereiche.
Kommt ein Betreiber der Registrierungspflicht nicht nach, kann das Bundesamt die Registrierung nach Anhörung selbst vornehmen. Über den Abschluss des Registrierungsprozesses und die zuständige Behörde wird der Betreiber unterrichtet; diese Mitteilung soll innerhalb von vier Wochen erfolgen.
Nach der Registrierung: neun und zehn Monate
Die eigentliche Staffelung steht in § 8 Absatz 7. Die Verpflichtungen nach § 12 – Risikoanalyse und Risikobewertung – gelten für den Betreiber erstmals neun Monate nach seiner Registrierung. Die Verpflichtungen nach den §§ 13, 18 und 20 – Resilienzmaßnahmen und Resilienzplan, Meldewesen für Vorfälle sowie die Umsetzungspflicht der Geschäftsleitung – gelten erstmals zehn Monate nach der Registrierung.
Die Risikoanalyse ist danach im Bedarfsfall zu wiederholen, mindestens jedoch alle vier Jahre. Sie hat ausdrücklich die Abhängigkeiten von kritischen Dienstleistungen anderer Betreiber einzubeziehen, auch aus anderen Sektoren und aus benachbarten Mitgliedstaaten sowie Drittstaaten.
Laufende Melde- und Änderungspflichten
Ändern sich die bei der Registrierung übermittelten Angaben, sind geänderte Werte zum Versorgungsgrad einmal jährlich zu übermitteln. Alle übrigen Angaben sind unverzüglich zu melden, spätestens jedoch zwei Wochen ab dem Zeitpunkt, zu dem der Betreiber von der Änderung Kenntnis erhalten hat.
Die Meldung erheblicher Vorfälle regelt § 18, die Nachweisführung gegenüber der Behörde § 16. Beide Pflichten greifen nach der oben genannten Staffelung.
Nicht alle Sektoren sind gleich betroffen
§ 4 Absatz 1 nennt zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum und Siedlungsabfallentsorgung.
§ 4 Absatz 2 nimmt Teile davon wieder aus. Für Finanzunternehmen im Anwendungsbereich der Verordnung (EU) 2022/2554 und für Betreiber im Sektor Informationstechnik und Telekommunikation gelten unter anderem die §§ 12 bis 16, 18 und 20 nicht. In den Sektoren Siedlungsabfallentsorgung und Leistungen der Sozialversicherung gilt von diesen Vorschriften allein § 12. Wer seine Betroffenheit prüft, sollte diesen Absatz vor der Fristenplanung lesen.
Was sich jetzt schon vorbereiten lässt
Die Fristen des § 8 sind kurz, gemessen an dem, was in ihnen zu leisten ist. Neun Monate für eine belastbare Risikoanalyse und zehn Monate für Resilienzmaßnahmen samt Plan sind für Betreiber mit verteilten Standorten und gewachsener Organisation keine großzügigen Zeiträume.
Vorbereiten lässt sich davon einiges ohne die Verordnung: die Sichtung vorhandener Notfall- und Sicherheitsunterlagen, die Bestimmung der eigenen kritischen Dienstleistungen und Anlagen, die Benennung einer Kontaktstelle mit ausreichender Befugnis, und die Klärung, welche Abhängigkeiten von anderen Betreibern überhaupt bestehen. Diese Arbeit fällt ohnehin an und verkürzt die Zeit nach der Registrierung.
Quellen und weiterführende Literatur
Verordnung zur Bestimmung kritischer Anlagen nach dem BSI-Gesetz (BSI-KritisV).