KRITIS-Dachgesetz: Was Betreiber kritischer Infrastruktur jetzt wissen müssen

Das KRITIS-Dachgesetz ist am 06. Dezember 2025 in Kraft getreten und setzt die CER-Richtlinie (EU) 2022/2557 in deutsches Recht um. Es verpflichtet Betreiber kritischer Anlagen in elf Sektoren zur Analyse und Stärkung ihrer physischen Resilienz gegenüber Naturkatastrophen, Terrorismus und Sabotage — ergänzend zum NIS2UmsuCG, das die Cybersicherheit regelt. Federführend ist das BBK.

---

Hintergrund: Was ist das KRITIS-Dachgesetz und woher kommt es?

Die CER-Richtlinie als europäische Rechtsgrundlage

Das KRITIS-Dachgesetz ist keine deutsche Erfindung, sondern die nationale Umsetzung der CER-Richtlinie — kurz für Critical Entities Resilience Directive (EU) 2022/2557 vom 14. Dezember 2022. Die CER-Richtlinie erkannte, dass Cyberangriffe zwar eine erhebliche Bedrohung darstellen, kritische Infrastrukturen jedoch ebenso durch physische Ereignisse ausfallen können: überschwemmte Rechenzentren, sabotierte Energieleitungen, terroristische Anschläge auf Wasserversorgungsanlagen oder Insider-Bedrohungen in der Lebensmittelproduktion.

Die Richtlinie verpflichtete die EU-Mitgliedstaaten, bis zum 17. Oktober 2024 entsprechende Regelungen in nationales Recht zu überführen. Deutschland hat diesen Termin verfehlt und das Gesetz mit einigen Monaten Verzögerung am 06. Dezember 2025 in Kraft gesetzt (§ 86 KRITIS-Dachgesetz-E).

Referentenentwurf 2024 und Gesetzgebungsverfahren

Dem Inkrafttreten vorausgegangen war ein mehrstufiges Gesetzgebungsverfahren. Der erste Referentenentwurf des Bundesministeriums des Innern und für Heimat (BMI) zirkulierte ab 2024 und durchlief mehrere Überarbeitungsrunden. Diskussionsschwerpunkte waren die Abgrenzung der Schwellenwerte, die Aufgabenteilung zwischen BBK und BSI sowie die Verhältnismäßigkeit der Pflichten für kleinere Betreiber.

Abgrenzung: KRITIS-Dachgesetz, NIS2UmsuCG und BSIG

Drei Regelwerke prägen derzeit die Compliance-Landschaft für kritische Infrastrukturen in Deutschland:

• KRITIS-Dachgesetz: Physische Resilienz. Federführend: BBK. Rechtsgrundlage: CER-Richtlinie.
• NIS2UmsuCG (in Kraft seit 18. Oktober 2024): Cybersicherheit für wesentliche und wichtige Einrichtungen. Federführend: BSI. Rechtsgrundlage: NIS2-Richtlinie (EU) 2022/2555.
• BSIG (BSI-Gesetz): Rahmengesetz für Cybersicherheit, das durch das NIS2UmsuCG erheblich erweitert wurde. Regelt u. a. die Befugnisse des BSI.

Entscheidend für Betreiber: Die Betroffenheit durch das KRITIS-Dachgesetz schließt eine gleichzeitige Betroffenheit durch das NIS2UmsuCG nicht aus — im Gegenteil. Die meisten großen Betreiber kritischer Anlagen fallen unter beide Regelwerke und müssen zwei parallele Compliance-Strukturen aufbauen.

---

Wer ist betroffen? Sektoren und Schwellenwerte

Die elf Sektoren

Das KRITIS-Dachgesetz erfasst Betreiber kritischer Anlagen in elf Sektoren. Entscheidend ist nicht die bloße Branchenzugehörigkeit, sondern das Überschreiten sektorspezifischer Schwellenwerte — in der Regel gemessen an der Anzahl versorgter Personen oder an wirtschaftlichen Kennzahlen.

Sektor	Beispielhafte Anlagen	Kenngröße für Betroffenheit
Energie	Kraftwerke, Übertragungsnetze, Gasleitungen	Erzeugungs- oder Durchleitungskapazität
Wasser	Wasserversorgung, Abwasserentsorgung	Versorgungsgebiet / Einwohnerzahl
Verkehr	Flughäfen, Eisenbahn, ÖPNV, Häfen, Straßen	Passagier- oder Gütervolumen
Gesundheit	Krankenhäuser, Labore, Pharmaproduktion	Bettenzahl / Versorgungsrelevanz
Digitale Infrastruktur	Rechenzentren, IXPs, DNS-Resolver, TLD-Registries	Kapazität / Kundenzahl
Finanzmarktinfrastruktur	Börsen, Clearingstellen, Zahlungsabwickler	Transaktionsvolumen
Ernährung	Produktion, Verarbeitung, Großhandel	Versorgungskapazität
Weltraum	Bodenstationen, Satellitenbetrieb	Kritikalität für andere Sektoren
Öffentliche Sicherheit	Polizei, Feuerwehr, Katastrophenschutz	Behördenstatus / Versorgungsgebiet
Öffentliche Verwaltung	Bundesbehörden, kritische Landesbehörden	Gesetzliche Bestimmung
Abfallwirtschaft	Deponien, Sonderabfallentsorgung	Versorgungsgebiet / Einwohnerzahl

Schwellenwerte und Betroffenheitsprüfung

Die konkreten Mengenschwellen ergeben sich aus der BSI-KritisV (AnlBSIKritisV), die sektorspezifisch definiert, ab wann eine Anlage als „kritisch" gilt. Die Betroffenheitsprüfung ist der erste Schritt jeder KRITIS-Compliance: Betreiber müssen systematisch prüfen, ob ihre Anlagen die jeweiligen Schwellenwerte überschreiten.

Praxishinweis: Wer bereits unter das alte KRITIS-Regime (§ 10 BSIG a.F.) fiel, wird in aller Regel auch vom KRITIS-Dachgesetz erfasst sein. Die Schwellenwertlogik blieb weitgehend konsistent, wurde jedoch auf alle elf Sektoren ausgedehnt. Neu hinzugekommen sind die Sektoren Weltraum und Abfallwirtschaft.

Die Betroffenheitsprüfung sollte schriftlich dokumentiert und intern freigegeben werden. Stellt sich bei einer späteren Behördenprüfung heraus, dass ein Betreiber seine Betroffenheit irrtümlich verneint hat, kann dies als Ordnungswidrigkeit gewertet werden. Betreiber im Grenzbereich — also solche, deren Anlagen knapp unter einem Schwellenwert liegen — sollten Puffer berücksichtigen: Kapazitätserweiterungen oder Übernahmen können die Schwelle nachträglich überschreiten. Eine jährliche Prüfung der Betroffenheitsentscheidung ist daher empfehlenswert, auch wenn das Gesetz keine explizite Wiederholungspflicht für die Betroffenheitsprüfung selbst vorsieht.

---

Was müssen Betreiber konkret tun?

1. Risikoanalyse zur physischen Resilienz (§ 17 KRITIS-Dachgesetz-E)

Die Pflicht zur Risikoanalyse bildet das Kernstück des Gesetzes. Betreiber kritischer Anlagen müssen eine systematische Analyse aller relevanten Risiken für ihre Anlage durchführen — mit besonderem Fokus auf physische Bedrohungsszenarien, die im Cyberrecht bislang nicht adressiert wurden:

• Naturgefahren: Hochwasser, Erdbeben, Extremwetterereignisse, Sturmschäden
• Klimafolgen: Hitzewellen, Dürre, veränderte Niederschlagsmuster
• Technisches Versagen: Infrastrukturausfälle durch Materialermüdung oder Abhängigkeiten
• Terrorismus und Sabotage: Physische Angriffe auf Anlagenkomponenten
• Insider-Bedrohungen: Mitarbeitende mit Zugang zu sicherheitskritischen Bereichen
• Kaskadeneffekte: Auswirkungen von Ausfällen in benachbarten Sektoren

Die Risikoanalyse muss dokumentiert, regelmäßig aktualisiert und auf Anforderung der zuständigen Behörde vorgelegt werden können. Eine Mindestwiederholungsfrequenz ist im Gesetz angelegt; als Orientierung gilt eine Aktualisierung mindestens alle vier Jahre sowie anlassbezogen nach signifikanten Vorfällen oder Infrastrukturveränderungen.

2. Resilienzmaßnahmen und technisch-organisatorische Sicherheit

Aus der Risikoanalyse leiten sich konkrete Resilienzmaßnahmen ab. Das Gesetz nennt keine abschließende Liste, orientiert sich aber an Kategorien, die in Anhang zu vergleichbaren EU-Rechtsakten bekannt sind:

• Physischer Perimeterschutz (Zäune, Zugangskontrollen, CCTV, Bewegungsmelder)
• Redundanzen in der Energieversorgung (Notstromaggregate, USV) und Datenkommunikation (zweite Anbindung, diverse Carrier)
• Notfallpläne und Business-Continuity-Management (BCM) mit regelmäßigen Übungen
• Schulungen und Sensibilisierung des Personals — einschließlich Hintergrundprüfungen für Schlüsselpositionen mit Zugang zu sicherheitskritischen Bereichen
• Lieferkettenresilienz: Überprüfung kritischer Zulieferer auf physische Risiken und Ausfallszenarios
• Frühwarnsysteme für Naturereignisse: Hochwassersensoren, Temperaturschwellenwert-Alarme, Pegelmessungen

BSI IT-Grundschutz und Schnittstelle zur physischen Resilienz

Betreiber, die nach BSI-Standard 200-2 (IT-Grundschutz-Methodik) und BSI-Standard 200-4 (Business Continuity Management) arbeiten, besitzen eine solide Ausgangsbasis — müssen diese aber gezielt erweitern. Der IT-Grundschutz adressiert primär IT-Systeme und Informationsverbünde; das KRITIS-Dachgesetz verlangt die analoge Behandlung physischer Anlagenkomponenten.

Konkret bedeutet das: Die Schutzbedarfsfeststellung nach BSI-Standard 200-2 sollte um eine physische Bedrohungsdimension ergänzt werden. Bausteine wie OPS.1.1.7 (Systemmanagement) oder INF.2 (Rechenzentrum und Serverraum) des IT-Grundschutz-Kompendiums bieten Anknüpfungspunkte — decken aber Terrorismus, Sabotage und Klimafolgerisiken nicht vollständig ab. Betreiber sollten diese Lücken dokumentieren und mit dedizierten KRITIS-Dachgesetz-Maßnahmen schließen.

Eine vollständige Kongruenz zwischen IT-Grundschutz und KRITIS-Dachgesetz-Anforderungen besteht (Stand 2026) nicht. Das BSI hat angekündigt, Orientierungshilfen zur Verknüpfung beider Rahmenwerke zu erarbeiten — Betreiber sollten diese Publikationen aktiv verfolgen.

3. Vorfallsmeldung und Meldekaskade

Vorfälle, die sich erheblich auf die Kontinuität der kritischen Dienstleistung auswirken oder auswirken könnten, sind unverzüglich zu melden. Das Gesetz sieht eine zweistufige Meldekaskade vor:

• Erste Meldung (Frühwarnung): Innerhalb von 24 Stunden nach Kenntnisnahme des Vorfalls — mit den zu diesem Zeitpunkt verfügbaren Informationen.
• Detailmeldung: Innerhalb von 72 Stunden — mit Ursachenbeschreibung, Auswirkungsabschätzung und eingeleiteten Maßnahmen.
• Abschlussmeldung: Nach Abschluss der Bewältigung, mit vollständiger Darstellung des Vorfalls.

Meldungen gehen primär an das BBK. Bei Vorfällen mit Cyberanteilen greift parallel die Meldepflicht nach NIS2UmsuCG gegenüber dem BSI. In der Praxis bedeutet dies, dass Betreiber unter Umständen parallele Meldungen an zwei Bundesbehörden absetzen müssen — eine koordinierte interne Meldekette ist daher essenziell.

4. Registrierungspflicht beim BBK

Betreiber kritischer Anlagen unterliegen einer Registrierungspflicht beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK). Die Registrierung umfasst Angaben zur Anlage, zum Sektor, zu den erbrachten kritischen Dienstleistungen sowie zur Kontaktstelle für behördliche Kommunikation.

Die Registrierung ist nicht nur eine Formalität: Sie bildet die Grundlage für den behördlichen Informationsaustausch im Krisenfall und für die Zuweisung sektorbezogener Lageberichte. Betreiber, die bereits im KRITIS-Melderegister des BSI registriert sind, müssen zusätzlich eine separate Registrierung beim BBK vornehmen — die Systeme sind (Stand Inkrafttreten) nicht automatisch verknüpft.

5. Zusammenspiel mit dem NIS2UmsuCG und dem BSI als SPOC

Das BSI fungiert im Kontext des NIS2UmsuCG als Single Point of Contact (SPOC) gegenüber der EU. Für Betreiber, die sowohl unter das KRITIS-Dachgesetz als auch unter das NIS2UmsuCG fallen, bedeutet dies eine Doppelzuständigkeit:

• BBK: Zuständig für physische Resilienz, Registrierung, Kontrollbesuche und Bußgelder nach KRITIS-Dachgesetz
• BSI: Zuständig für Cybersicherheitsanforderungen, Meldungen nach NIS2UmsuCG, IT-Grundschutz-Nachweise

Betreiber sollten intern eine klare Aufgabenteilung etablieren — etwa durch eine Matrixstruktur, die sowohl einen KRITIS-Beauftragten (Fokus: physische Resilienz, BBK-Kommunikation) als auch einen Informationssicherheitsbeauftragten (ISB) (Fokus: Cyber, BSI-Kommunikation) vorsieht.

---

KRITIS-Dachgesetz vs. NIS2UmsuCG: Unterschiede und Überschneidungen

Beide Gesetze sind strukturell verwandt, aber inhaltlich komplementär. Die folgende Tabelle zeigt die entscheidenden Unterschiede:

Merkmal	KRITIS-Dachgesetz	NIS2UmsuCG
Rechtsgrundlage	CER-Richtlinie (EU) 2022/2557	NIS2-Richtlinie (EU) 2022/2555
Schutzgegenstand	Physische Resilienz kritischer Anlagen	Cybersicherheit von Netz- und Informationssystemen
Betroffene Einrichtungen	Betreiber kritischer Anlagen (11 Sektoren)	Wesentliche und wichtige Einrichtungen (18+ Sektoren)
Zuständige Behörde	BBK (koordinierend), Länder (ergänzend)	BSI (SPOC, Aufsicht)
Inkrafttreten	06. Dezember 2025	18. Oktober 2024
Kernpflicht	Risikoanalyse physische Resilienz (§ 17)	Risikomanagementmaßnahmen Cyber (§ 30 NIS2UmsuCG)
Meldepflicht	Physische Störungen an BBK	Cybervorfälle an BSI
Registrierung	Beim BBK	Im KRITIS-Meldeportal des BSI
Bußgelder max.	10 Mio. € / 2 % Weltumsatz	10 Mio. € / 2 % Weltumsatz (wesentl.) / 7 Mio. € / 1,4 % (wichtige)
BSI IT-Grundschutz	Nicht direkt, aber komplementär	Empfohlener Referenzrahmen
Überschneidung	Betreiber kritischer Anlagen sind häufig auch wesentliche Einrichtungen nach NIS2UmsuCG

Praktischer Hinweis zur Erklärung zur Anwendbarkeit: Betreiber, die im Rahmen des NIS2UmsuCG bereits eine Erklärung zur Anwendbarkeit (Statement of Applicability nach ISO 27001) erstellt haben, können diese nicht unverändert für das KRITIS-Dachgesetz übernehmen. Das KRITIS-Dachgesetz erfordert eine eigenständige Dokumentation der physischen Risikolandschaft.

Lieferkettenanforderungen: Ein oft unterschätzter Aspekt

Das KRITIS-Dachgesetz enthält — analog zur NIS2-Richtlinie — Anforderungen an die Resilienz der Lieferkette. Betreiber müssen sicherstellen, dass kritische Dienstleistungen auch dann aufrechterhalten werden können, wenn ein oder mehrere Schlüssellieferanten ausfallen. Die konkreten Anforderungen umfassen:

• Identifikation kritischer Lieferanten und Dienstleister, von denen die Anlage funktional abhängt
• Risikoanalyse der Lieferantenabhängigkeiten auf Basis physischer Standortrisiken (z. B. Lieferant in Überschwemmungszone)
• Vertragliche Regelungen zu Notfallplänen und Wiederherstellungszeiten (Recovery Time Objectives) mit kritischen Lieferanten
• Alternativlieferanten oder Lagerhaltung für kritische Ersatzteile und Verbrauchsmaterialien

Besonders betroffen sind Betreiber mit hochgradig konzentrierten Lieferketten: Wer für einen kritischen Anlagenbestandteil — etwa eine spezialisierte Transformatorenwicklung oder ein proprietäres Steuerungssystem — weltweit nur ein oder zwei Lieferanten hat, muss dieses Risiko explizit im Rahmen der Risikoanalyse nach § 17 KRITIS-Dachgesetz-E adressieren. Die Lieferkettenfrage ist derzeit (Stand 2026) ein Bereich, in dem harmonisierte Prüfstandards noch ausstehen — Betreiber sollten ihre Maßnahmen konservativ dokumentieren.

---

Fristen, Übergangsregelungen und Bußgelder

Zeitplan für Betreiber

Das KRITIS-Dachgesetz kennt keine ausgedehnten Übergangsfristen für Betreiber, die bereits unter das bisherige KRITIS-Regime fielen. Für neu erfasste Anlagen — insbesondere in den Sektoren Weltraum und Abfallwirtschaft — gelten Übergangsfristen, die im Gesetz geregelt sind.

Wesentliche Orientierungspunkte:

• 06. Dezember 2025: Inkrafttreten des Gesetzes; Registrierungspflicht wird wirksam
• Laufend: Betroffenheitsprüfung und Registrierung beim BBK für alle erfassten Betreiber
• Innerhalb von 12 Monaten nach Inkrafttreten: Erste vollständige Risikoanalyse gemäß § 17 muss vorliegen (genaue Frist: gesetzliche Regelung konsultieren)
• Turnusmäßig (ca. alle 4 Jahre): Wiederholung und Aktualisierung der Risikoanalyse
• Anlassbezogen: Aktualisierung nach erheblichen Infrastrukturveränderungen oder Vorfällen

Bußgeldkatalog

Das KRITIS-Dachgesetz sieht empfindliche Sanktionen vor, die in Höhe und Systematik dem NIS2UmsuCG entsprechen:

• Maximale Bußgeldhöhe: 10.000.000 Euro oder 2 Prozent des gesamten weltweiten Jahresumsatzes des vorherigen Geschäftsjahres — je nachdem, welcher Betrag höher ist.

Bußgeldrelevante Tatbestände umfassen insbesondere:

• Versäumte oder verspätete Registrierung beim BBK
• Nicht durchgeführte oder unvollständige Risikoanalyse nach § 17
• Fehlende oder nicht fristgerechte Vorfallsmeldung
• Nichtduldung behördlicher Kontrollbesuche
• Fehlende Benennung einer Kontaktstelle

Die persönliche Haftung von Geschäftsleitungsorganen ist — wie im NIS2UmsuCG — ein politisch diskutiertes Thema. Das Gesetz verpflichtet die Geschäftsleitung zur Billigung und Überwachung der Resilienzmaßnahmen; eine direkte persönliche Haftung analog zum NIS2UmsuCG (§ 38 NIS2UmsuCG) ist im KRITIS-Dachgesetz in abgestufter Form vorgesehen.

Für öffentlich-rechtliche Einrichtungen — Bundesbehörden und Teile der öffentlichen Verwaltung — gelten modifizierte Regelungen, da Bußgelder gegen Behörden systematisch anders funktionieren als gegen privatwirtschaftliche Unternehmen. Die konkrete Ausgestaltung ist behördenspezifisch zu prüfen.

Behördliche Aufsicht und Kontrollbesuche

Das BBK ist ermächtigt, Kontrollbesuche bei Betreibern kritischer Anlagen durchzuführen. Dies umfasst die Prüfung von Risikoanalysen, Resilienzmaßnahmen und Meldedokumentation. Betreiber sind zur Mitwirkung verpflichtet und müssen relevante Unterlagen vorlegen. Die Verweigerung oder erhebliche Erschwerung eines Kontrollbesuchs ist als eigenständiger Bußgeldtatbestand ausgestaltet.

In der Anfangsphase nach Inkrafttreten ist davon auszugehen, dass das BBK primär beratend und begleitend tätig sein wird — die Behörde muss selbst erst Kapazitäten und Prüfmethoden aufbauen. Erfahrungen aus der NIS2-Aufsicht durch das BSI deuten darauf hin, dass die ersten förmlichen Prüfverfahren frühestens 18 bis 24 Monate nach Inkrafttreten zu erwarten sind. Dies entbindet Betreiber jedoch nicht von der Pflicht, die gesetzlichen Anforderungen ab dem 06. Dezember 2025 zu erfüllen.

Was bereits jetzt getan werden sollte

Betreiber, die noch keine strukturierten Maßnahmen ergriffen haben, sollten prioritär folgende Schritte angehen:

1. Betroffenheitsprüfung abschließen: Fallen meine Anlagen unter einen der elf Sektoren und übersteigen die Schwellenwerte?
2. Registrierung beim BBK einleiten: Kontaktstelle benennen, Registrierungsdaten vorbereiten.
3. Risikoanalyse physische Resilienz strukturieren: Bedrohungsszenarien identifizieren, bestehende BCM-Dokumentation nach BSI-Standard 200-4 auf Übertragbarkeit prüfen.
4. Meldeprozesse etablieren: Interne Meldekette für physische Vorfälle definieren, Schnittstelle zur NIS2-Meldepflicht (Cyber) koordinieren.
5. Abgrenzung BBK/BSI intern klären: Aufgaben und Verantwortlichkeiten zwischen KRITIS-Beauftragtem und ISB festlegen.

---

Weiterführende Ressourcen

Für eine vertiefte Auseinandersetzung mit den Pflichten im Bereich kritischer Infrastrukturen empfehlen sich folgende Artikel:

• KRITIS: Der vollständige Leitfaden für Betreiber kritischer Infrastrukturen
• NIS2-Hub: Alle Pflichten des NIS2UmsuCG im Überblick

Offizielle Quellen:

• Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK): www.bbk.bund.de
• Bundesamt für Sicherheit in der Informationstechnik (BSI): www.bsi.bund.de
• EUR-Lex: CER-Richtlinie (EU) 2022/2557
• EUR-Lex: NIS2-Richtlinie (EU) 2022/2555