KRITIS-Dachgesetz: Physische Resilienz kritischer Anlagen - Pflichten, Fristen und Personalbedarf

Das KRITIS-Dachgesetz setzt die CER-Richtlinie (Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen, veröffentlicht im Amtsblatt der EU am 27. Dezember 2022) in deutsches Recht um. Während NIS2 die Cybersicherheit regelt, adressiert die CER-Richtlinie die physische Widerstandsfähigkeit: Schutz vor Naturgefahren, Sabotage, Terrorismus, Innentätern und hybriden Bedrohungen. Beide Richtlinien wurden bewusst als Paket erlassen - Cyber- und physische Resilienz gelten als zwei Seiten derselben Schutzaufgabe.

Kern des Gesetzes ist ein Allgefahrenansatz: Betreiber müssen naturbedingte, technische und vom Menschen verursachte Risiken einschließlich hybrider und feindlicher Bedrohungen systematisch betrachten (§ 12 Absatz 1 in Verbindung mit § 11 Absatz 2 Nummer 1 KRITISDachG). Damit schließt das Gesetz eine lange kritisierte Lücke: Für die IT-Sicherheit kritischer Infrastrukturen gab es seit Jahren Pflichten im BSI-Gesetz, für den physischen Schutz dagegen nur sektorale Einzelregelungen und freiwillige Standards. Das Dachgesetz schafft erstmals sektorübergreifende, verbindliche Mindestvorgaben.

Die Umsetzungsfrist der CER-Richtlinie lief bereits am 17. Oktober 2024 ab - Deutschland hat sie deutlich verfehlt. Ein erster Regierungsentwurf der Ampel-Koalition vom November 2024 verfiel mit dem vorzeitigen Ende der Wahlperiode der Diskontinuität. Die neue Bundesregierung brachte 2025 einen überarbeiteten Entwurf ein (Bundestagsdrucksache 21/2510), den der Bundestag am 6. November 2025 in erster Lesung beriet.

Am 29. Januar 2026 beschloss der Bundestag das Gesetz in der vom Innenausschuss geänderten Fassung mit den Stimmen von CDU/CSU, AfD und SPD; der Bundesrat stimmte am 6. März 2026 zu. Verkündet wurde das KRITIS-Dachgesetz vom 11. März 2026 am 16. März 2026 im Bundesgesetzblatt (BGBl. 2026 I Nr. 66); in Kraft ist es seit dem 17. März 2026. Wichtig für die Praxis: Die Rechtsverordnung, die kritische Anlagen über konkrete Schwellenwerte bestimmt, ist nach Angaben des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) zum Redaktionsstand Oktober 2026 noch nicht in Kraft; das Bundesinnenministerium legte am 26. Mai 2026 einen Referentenentwurf vor. Solange die Verordnung fehlt, besteht keine Registrierungspflicht - die Identifizierung der Betreiber steht damit noch aus. Dieser Guide ordnet die Rechtslage redaktionell ein und ersetzt keine Rechtsberatung im Einzelfall.

Das Gesetz benennt in § 4 zehn Sektoren kritischer Infrastrukturen: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung, Gesundheitswesen, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Für Teilbereiche gelten allerdings Ausnahmen von den materiellen Resilienzpflichten, weil speziellere EU-Regelwerke vorgehen - im Finanzwesen etwa DORA.

Welche Anlagen konkret als kritisch gelten, legt eine Rechtsverordnung des Bundesinnenministeriums fest (§ 5 KRITISDachG). Als Regelschwellenwert gilt dabei die aus dem BSI-Recht bekannte Logik: kritisch ist eine Anlage grundsätzlich, wenn sie für die Versorgung von 500.000 oder mehr Einwohnern erheblich ist. Nach Artikel 6 der CER-Richtlinie waren kritische Einrichtungen bis zum 17. Juli 2026 zu identifizieren. In Deutschland hängt die Identifizierung von der noch ausstehenden Rechtsverordnung ab; seit der Änderung durch Artikel 8 des Gesetzes vom 21. Juli 2026 (BGBl. 2026 I Nr. 221) nennt § 8 KRITISDachG kein festes Datum für die Registrierung mehr. Das Bundesinnenministerium rechnete im Gesetzgebungsverfahren mit rund 1.700 kritischen Anlagen (Bundestagsdrucksache 21/2510) - deutlich weniger als die rund 30.000 Einrichtungen unter NIS2, dafür mit den jeweils kritischsten Anlagen des Landes.

Betreiber kritischer Anlagen müssen sich spätestens drei Monate, nachdem ihre Anlage nach der Rechtsverordnung als kritisch gilt, registrieren (§ 8 KRITISDachG), und anschließend regelmäßig Risiken bewerten: Die betreibereigene Risikoanalyse ist erstmals innerhalb von neun Monaten nach der Registrierung und danach mindestens alle vier Jahre durchzuführen (§ 12); sie baut auf staatlichen Risikoanalysen und -bewertungen auf. Auf dieser Grundlage sind geeignete und verhältnismäßige technische, sicherheitsbezogene und organisatorische Resilienzmaßnahmen umzusetzen und in einem Resilienzplan zu dokumentieren (§ 13) - von Zutritts- und Objektschutz über Notfall- und Krisenmanagement bis zur Personalsicherheit.

Vorfälle, die die Erbringung der kritischen Dienstleistung erheblich stören oder stören könnten, sind unverzüglich zu melden - spätestens 24 Stunden nach Kenntnis (§ 18); diese Pflicht und die Resilienzmaßnahmen nach § 13 gelten erstmals zehn Monate nach der Registrierung (§ 8 Absatz 7). Die Geschäftsleitung ist ausdrücklich für die Umsetzung der Resilienzpflichten verantwortlich. Regelungen zum Einsatz kritischer Komponenten enthält das KRITIS-Dachgesetz selbst nicht; bei der Registrierung sind lediglich die eingesetzten Typen kritischer Komponenten nach dem BSI-Gesetz anzugeben (§ 8 Absatz 1 Nummer 8). Der Bußgeldrahmen (§ 24) ist mit gestaffelten Sätzen bis zu 1 Mio. Euro spürbar, bleibt aber deutlich unter den umsatzbezogenen NIS2-Sanktionen.

Zentrale Anlaufstelle für die physische Resilienz ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK); es nimmt insbesondere Registrierungen und Vorfallsmeldungen entgegen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bleibt für die Cybersicherheit nach dem BSI-Gesetz zuständig, übernimmt aber Aufgaben im Sektor Informationstechnik und Telekommunikation; daneben wirken sektorale Fachbehörden und für einzelne Bereiche die Länder mit. Für Betreiber ist eine Registrierungsmöglichkeit vorgesehen, die das BSI und das BBK gemeinsam einrichten (§ 8 Absatz 1), damit nicht zwei getrennte Verfahren laufen.

Inhaltlich gilt eine klare Arbeitsteilung: Das KRITIS-Dachgesetz regelt die physische Resilienz, NIS2 beziehungsweise das BSI-Gesetz die Cybersicherheit. Betreiber kritischer Anlagen sind dabei regelmäßig doppelt betroffen - sie gelten nach dem BSI-Gesetz zugleich als besonders wichtige Einrichtungen und müssen beide Pflichtenkataloge parallel erfüllen. Sinnvoll ist deshalb ein integriertes Resilienz-Management, das beide Regime gemeinsam aufsetzt, statt zwei getrennte Compliance-Silos zu bauen.