Das Gesetz
Kritische Infrastruktur – kurz KRITIS – sind Anlagen und Einrichtungen, ohne die Strom, Wasser, Gesundheitsversorgung, Lebensmittel oder Verkehr nicht funktionieren. Mit dem KRITIS-Dachgesetz gibt es in Deutschland erstmals einen bundeseinheitlichen Rahmen für den physischen Schutz kritischer Infrastruktur. Es setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) um und verpflichtet Betreiber kritischer Anlagen, ihre Dienstleistungen gegen Naturgefahren, technisches Versagen, Sabotage, Terrorismus und andere Störungen abzusichern.
Während das BSI-Gesetz nach der NIS2-Umsetzung die Cybersicherheit regelt, geht es im KRITIS-Dachgesetz um Resilienz im umfassenden Sinn: Gebäude und Anlagen, Zutritt und Personal, Notstrom und Redundanz, Krisenorganisation und Wiederanlauf. Für Betreiber bedeutet das zwei Regelwerke, die zusammen gedacht werden müssen.
KRITIS-Beratung heißt für uns deshalb nicht, ein weiteres Dokument zu produzieren. Wir verbinden Risikoanalyse, Resilienzplan und den Nachweis der IT-Sicherheit zu einem Vorgehen, das Ihre Fachbereiche nicht doppelt belastet und das gegenüber BBK und BSI belastbar ist.
Betroffenheit
Das KRITIS-Dachgesetz richtet sich an Betreiber kritischer Anlagen in zehn Sektoren. Kritisch ist eine Anlage, wenn sie eine kritische Dienstleistung erbringt und dabei einen Schwellenwert überschreitet – als Regelwert gilt die Versorgung von 500.000 Personen. Zusätzlich können die Länder weitere Anlagen in ihrer Zuständigkeit bestimmen.
Welche Anlagenkategorien und Schwellenwerte im Einzelnen gelten, legt eine Rechtsverordnung des Bundesinnenministeriums fest – die sogenannte KRITIS-Verordnung. Sie ist nach unserem Stand (Oktober 2026) noch nicht erlassen. Bis dahin besteht keine Registrierungspflicht nach dem Dachgesetz – die Fristen beginnen erst mit der Verordnung, sind dann aber kurz.
Auch wer selbst nicht unter das Gesetz fällt, spürt es häufig: Betreiber geben Anforderungen an Dienstleister, Zulieferer und Wartungspartner weiter. Eine nachvollziehbare Einordnung schafft hier Klarheit für beide Seiten.
Für Teile des Finanzwesens sowie der Informationstechnik und Telekommunikation gelten Ausnahmen, weil dort eigene Regelwerke wie DORA greifen.
Pflichten & Fristen
Die Pflichten bauen aufeinander auf und laufen ab der Registrierung. Wer heute mit Risikoanalyse und Resilienzplan beginnt, gerät nicht unter Zeitdruck, sobald die Verordnung in Kraft tritt.
Betreiber stellen selbst fest, ob ihre Anlagen als kritisch gelten, und registrieren sie auf der gemeinsamen Plattform von BBK und BSI. Angaben aus der BSI-Registrierung werden nach dem Once-Only-Prinzip berücksichtigt.
Naturgefahren, technisches Versagen, Sabotage, Terrorismus, menschliches Versagen: Alle Risiken für die kritische Dienstleistung werden bewertet – danach mindestens alle vier Jahre erneut.
Technische, sicherheitsbezogene und organisatorische Maßnahmen: physischer Schutz, Notfall- und Krisenmanagement, Wiederanlauf, Personalsicherheit, Schulungen und Übungen.
Der Resilienzplan beschreibt die Maßnahmen und ihre Begründung nachvollziehbar – er ist die zentrale Unterlage gegenüber der Behörde und wird bei Änderungen fortgeschrieben.
Erhebliche Störungen sind innerhalb von 24 Stunden zu melden, ein ausführlicher Bericht folgt. Dafür braucht es klare Zuständigkeiten, Kriterien und erprobte Abläufe.
Die Geschäftsleitung billigt die Resilienzmaßnahmen und überwacht ihre Umsetzung persönlich – Delegation entlastet sie davon nicht.
Stand: Oktober 2026. Die Fristen nach dem KRITIS-Dachgesetz beginnen mit der Registrierung, die die noch ausstehende Rechtsverordnung voraussetzt. Muster für Resilienzplan und Meldungen kündigt das BBK an. Wir halten Ihre Planung auf dem aktuellen Stand – diese Seite ersetzt keine Rechtsberatung.
KRITIS-Audit
Betreiber kritischer Anlagen müssen dem BSI alle drei Jahre nachweisen, dass ihre IT-Sicherheitsmaßnahmen umgesetzt sind – früher nach § 8a BSIG, seit der NIS2-Umsetzung nach § 39 BSIG. Der Nachweis entsteht durch Sicherheitsaudits, Prüfungen oder Zertifizierungen einer unabhängigen prüfenden Stelle. Werden Mängel festgestellt, kann das BSI einen Mängelbeseitigungsplan und den Nachweis der Beseitigung verlangen.
Keep IT Fair ist nicht die prüfende Stelle, sondern Ihr Partner auf dem Weg dorthin: Wir bereiten Sie gründlich auf die KRITIS-Prüfung vor, begleiten Sie während des Audits und setzen die Feststellungen danach mit Ihnen um. So gehen Sie gut vorbereitet ins Audit und kommen schnell zum vollständigen Nachweis.
Abgrenzung
Betreiber kritischer Anlagen unterliegen beiden Regelwerken. Wer sie getrennt bearbeitet, analysiert dieselben Risiken zweimal. Wir führen Risikoanalyse, Notfallmanagement und Nachweise zusammen.
| KRITIS-Dachgesetz | BSIG / NIS2 | |
|---|---|---|
| Schwerpunkt | Physische Resilienz: Schutz vor Naturgefahren, Sabotage, Ausfällen | Cybersicherheit: Schutz von IT- und Netzwerksystemen |
| Rechtsgrundlage | KRITIS-Dachgesetz (KRITISDachG) | BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes |
| Zuständige Behörde | BBK bzw. zuständige Landes- oder Fachbehörden | BSI |
| Zentrale Dokumentation | Risikoanalyse und Resilienzplan | Risikomanagement und Sicherheitskonzept (ISMS) |
| Nachweise | Auf Anforderung der Behörde, Audits auch durch qualifizierte Dritte | Betreiber kritischer Anlagen: Nachweis alle drei Jahre nach § 39 BSIG |
Branchen
Jeder Sektor bringt eigene Risiken, Aufsichtsbehörden und Standards mit. Wir verbinden die Anforderungen des Dachgesetzes mit dem, was in Ihrer Branche bereits gilt.
Netzbetreiber, Stadtwerke, Erzeuger und Speicher: Schutz von Umspannwerken und Leitwarten, Wiederanlaufkonzepte, Zusammenspiel mit den Vorgaben aus dem Energiewirtschaftsrecht.
Notstromversorgung, Zutrittsschutz, Ausweichprozesse für Labor und Medizintechnik: Für ein Krankenhaus verbinden wir die Resilienzpflichten mit dem branchenspezifischen Sicherheitsstandard (B3S) für die IT.
Wasserwerke und Kläranlagen mit verteilten Außenstationen: physischer Schutz, Fernwirktechnik und OT-Security als gemeinsames Konzept.
Häfen, Logistikzentren und Verkehrsbetriebe: Zugangskontrollen, Lieferketten-Abhängigkeiten und Notfallprozesse für den laufenden Betrieb.
Lebensmittelproduktion und -handel mit großer Versorgungsreichweite: Ausfallszenarien für Kühlketten, Produktion und Distribution.
Rechenzentrums- und Plattformbetreiber: Standortsicherheit, Redundanz und Notfallmanagement als Basis für Cyber- und physische Resilienz.
Unser Vorgehen
Wir klären Sektor, Dienstleistungen, Versorgungsreichweite und Ihren aktuellen Stand – telefonisch, per Video oder vor Ort.
Einordnung nach KRITIS-Dachgesetz und BSIG: kritische Anlage, besonders wichtige oder wichtige Einrichtung – mit nachvollziehbarer Begründung.
Abgleich mit den Pflichten aus beiden Gesetzen, priorisiert nach Risiko und Frist. Ergebnis ist ein umsetzbarer Plan statt eines Ordners voller Anforderungen.
Risikoanalyse, Resilienzplan, Meldeprozess, Notfallkonzepte und technische Maßnahmen – gemeinsam mit Ihren Fachbereichen.
Pre-Audit, Begleitung während der Prüfung und Nacharbeiten bis zum vollständigen Nachweis.
Rechtsgrundlagen
Alle Angaben auf dieser Seite beruhen auf den amtlichen Gesetzestexten, Stand Oktober 2026. Die Seite ersetzt keine Rechtsberatung.
FAQ
Das KRITIS-Dachgesetz (KRITISDachG) setzt die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um. Es gilt seit März 2026 und regelt erstmals bundeseinheitlich den physischen Schutz kritischer Anlagen – etwa gegen Naturgefahren, Sabotage oder technische Ausfälle. Die Cybersicherheit bleibt im BSI-Gesetz geregelt, das mit dem NIS2-Umsetzungsgesetz neu gefasst wurde.
Betroffen sind Betreiber kritischer Anlagen in zehn Sektoren, darunter Energie, Gesundheit, Wasser, Ernährung sowie Transport und Verkehr. Als Regelschwellenwert gilt eine Versorgung von 500.000 Personen. Welche Anlagen im Einzelnen erfasst sind, legt eine Rechtsverordnung fest, die nach unserem Stand (Oktober 2026) noch nicht erlassen ist. Wir prüfen Ihre Betroffenheit anhand des Gesetzes und der vorliegenden Entwürfe und aktualisieren die Einordnung, sobald die Verordnung vorliegt.
Die Fristen hängen an der Registrierung: Die Risikoanalyse ist erstmals neun Monate nach der Registrierung fällig, Resilienzmaßnahmen, Resilienzplan und Meldewesen zehn Monate danach. Die Registrierung selbst setzt die Rechtsverordnung zur Bestimmung kritischer Anlagen voraus. Weil die Zeiträume danach kurz sind, lohnt es sich, Risikoanalyse und Resilienzplan bereits jetzt vorzubereiten.
Nach dem früheren § 8a BSIG mussten KRITIS-Betreiber ihre IT-Sicherheit regelmäßig gegenüber dem BSI nachweisen. Mit dem NIS2-Umsetzungsgesetz ist diese Nachweispflicht für Betreiber kritischer Anlagen in § 39 BSIG aufgegangen: Der Nachweis ist alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen zu erbringen, die Ergebnisse samt aufgedeckter Sicherheitsmängel gehen an das BSI.
Nein. Das Audit führt eine unabhängige, qualifizierte prüfende Stelle durch – das sichert die Anerkennung des Nachweises. Keep IT Fair bereitet Sie auf das Audit vor, begleitet Sie während der Prüfung und übernimmt die Nacharbeiten bis zum vollständigen Nachweis: von der Gap-Analyse über den Probelauf bis zur Mängelbeseitigung.
Beide Gesetze gelten parallel. Das KRITIS-Dachgesetz deckt die physische Resilienz ab, das BSI-Gesetz nach NIS2 die Cybersicherheit. Betreiber kritischer Anlagen gelten zusätzlich als besonders wichtige Einrichtungen nach dem BSIG. Wir betrachten beide Anforderungen in einem gemeinsamen Vorgehen, damit Risikoanalyse, Notfallmanagement und Nachweise nicht doppelt entstehen.
§ 24 KRITISDachG sieht gestaffelte Bußgelder vor: bis zu einer Million Euro, wenn eine behördliche Anordnung zur Feststellung der Kritikalität missachtet wird, bis zu 500.000 Euro, wenn Auditergebnisse nicht oder fehlerhaft übermittelt werden, bis zu 200.000 Euro bei Verstößen gegen Anordnungen zu Nachweisen und Mängelbeseitigung und bis zu 100.000 Euro unter anderem bei fehlerhaften oder verspäteten Registrierungsangaben. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung für die Billigung und Überwachung der Resilienzmaßnahmen.