KRITIS-Dachgesetz:
Sind Sie als Betreiber kritischer Anlagen betroffen?
Kostenloser Betroffenheits-Check, alle 11 Sektoren, Pflichten, Fristen und Bußgelder bis 20 Mio. € – und der entscheidende Unterschied zu NIS2, den viele Unternehmen noch nicht kennen.
Kein Registrierung · Kein Download · Rechtlich unverbindlich
Zuletzt aktualisiert: Juli 2026 · Quellen: KRITIS-DachG, BBK, CER-Richtlinie (EU) 2022/2557
Gilt das KRITIS-Dachgesetz für Ihr Unternehmen?
Wählen Sie Ihren Sektor und beantworten Sie zwei Fragen zur Versorgungsrelevanz. Das Ergebnis ist eine erste, unverbindliche Orientierung.
Strom, Gas, Öl, Fernwärme, Wasserstoff
Luft, Schiene, Straße, See
Kreditinstitute, Zahlungssysteme
Handelsplätze, Clearingstellen
Kliniken, Pharma, Medizinprodukte
Wasserversorgungsunternehmen
Abwasserentsorgungsanlagen
Rechenzentren, Cloud, DNS
Großhandel, industrielle Produktion
Bodeninfrastruktur für Weltraumdienste
Bundes-/Landesbehörden
Sonstiges Gewerbe / Industrie
Was ist das KRITIS-Dachgesetz?
Das KRITIS-Dachgesetz (offizieller Name: Gesetz zur Umsetzung der CER-Richtlinie und zur Stärkung der Resilienz kritischer Infrastrukturen) ist seit dem 17. März 2026 in Deutschland in Kraft. Es setzt die EU-Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um.
Kernidee: Kritische Infrastrukturen müssen nicht nur vor Cyberangriffen (→ NIS2) geschützt sein, sondern auch vor physischen Bedrohungen – Sabotage, Terrorismus, Naturkatastrophen, Infrastrukturausfälle einschließlich Stromausfälle. Das KRITIS-Dachgesetz schließt damit eine Lücke, die das bisherige KRITIS-Schutzprogramm des BSI nur unvollständig adressiert hatte.
Zuständige Aufsichtsbehörde ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) – in Abgrenzung zur BSI-Zuständigkeit für NIS2. Beide Gesetze können denselben Betreiber treffen und erfordern dann separate Registrierungen bei unterschiedlichen Behörden.
Abgrenzung zum alten KRITIS-Schutzprogramm: Das bisherige BSI-KRITIS-Konzept konzentrierte sich auf IT-Sicherheitsanforderungen für Kritische Infrastrukturen. Das neue KRITIS-Dachgesetz geht darüber hinaus: Es regelt den physischen Schutz der Anlagen selbst – Zugangskontrollen, baulicher Schutz, Redundanzanforderungen, Lieferkettensicherheit und Business Continuity. Die IT-Sicherheitsseite wird weiterhin durch NIS2 (BSI) geregelt.
Quellen: KRITIS-Dachgesetz (BGBl. 2026, in Kraft seit 17. März 2026); Richtlinie (EU) 2022/2557 des Europäischen Parlaments und des Rates; BBK – Informationen zur Umsetzung des KRITIS-DachG.
Die 11 KRITIS-Sektoren im Überblick
Das KRITIS-Dachgesetz gilt für Betreiber kritischer Anlagen in diesen 11 Sektoren gemäß CER-Richtlinie Anhang und deren nationaler Umsetzung. Nicht alle Unternehmen in einem Sektor sind automatisch betroffen – entscheidend sind Größe und Versorgungsrelevanz.
| Sektor | Teilsektoren / Beispiele | Orientierungswert |
|---|---|---|
| 01Energie | Elektrizität (Erzeugung, Übertragung, Verteilung), Fernwärme, Erdöl, Erdgas, Wasserstoff | ≥ 500.000 versorgte Personen oder überregionale Netzrelevanz |
| 02Verkehr | Luftfahrt (Flughäfen, Flugsicherung), Schienenverkehr (Netz, Betrieb), Binnenschifffahrt, Seehäfen, Straßenverkehr (Tunnel, Brücken) | Nationale oder überregionale Bedeutung |
| 03Bankwesen | Kreditinstitute (Systemrelevanz), Zahlungsinfrastrukturen | Systemrelevante Finanzinstitute |
| 04Finanzmarktinfrastrukturen | Handelsplätze, Clearingstellen, Transaktionsregister, zentrale Gegenparteien | Regulierte Finanzmarktinfrastrukturen (BaFin-pflichtig) |
| 05Gesundheit Industrie-relevant | Krankenhäuser (≥ Referenzgröße), EU-Referenzlabors, Hersteller kritischer Medizinprodukte, Arzneimittelhersteller (Grundversorgung) | Überregionale Versorgungsrelevanz; bestimmte Pharma-/Medizinproduktehersteller direkt betroffen |
| 06Trinkwasser | Wasserversorgungsunternehmen und -anlagen | ≥ 500.000 versorgte Personen |
| 07Abwasser | Abwasserentsorgungsanlagen (kommunal und gewerblich) | ≥ 500.000 Einwohner Einzugsgebiet |
| 08Digitale Infrastruktur | Internet Exchange Points (IXPs), DNS-Dienste, TLD-Register, Cloud-Anbieter, Rechenzentren (Colocation), CDN-Betreiber | Europaweit bedeutende Infrastruktur; große Rechenzentren |
| 09Öffentliche Verwaltung | Zentrale Stellen der Bundesverwaltung und wesentliche Landesbehörden | Staatliche Institutionen mit sicherheitsrelevanter Funktion |
| 10Weltraum | Bodeninfrastruktur für staatliche und kommerzielle Weltraumdienste (Satellitenkontrolle, Navigation) | Kritische Bodeninfrastruktur |
| 11Lebensmittel Industrie-relevant | Großhandel mit Lebensmitteln, industrielle Lebensmittelproduktion und -verarbeitung im großen Maßstab | Überregionale Versorgungsrelevanz; Großunternehmen mit nationaler Marktbedeutung |
Hinweis für Produktionsbetriebe: Die meisten produzierenden Unternehmen (Maschinenbau, Elektronik, Chemie, Metall etc.) fallen nicht unter das KRITIS-Dachgesetz. Ausnahmen sind Hersteller im Gesundheitsbereich (kritische Medizinprodukte, Basisarzneimittel) und Lebensmittelproduzenten mit nationaler Versorgungsrelevanz. Auch wenn kein KRITIS-DachG gilt: Diese Betriebe können dennoch von NIS2 erfasst sein.
Quellen: KRITIS-Dachgesetz, Anlage zu § 2; CER-Richtlinie (EU) 2022/2557, Anhang; BBK-Informationen zu betroffenen Sektoren.
Pflichten für Betreiber kritischer Anlagen
Das KRITIS-Dachgesetz verpflichtet Betreiber kritischer Anlagen (BKA) zu fünf Kernpflichten. Im Mittelpunkt steht die systematische Risikoanalyse für physische Bedrohungen und die Umsetzung von Resilienzmaßnahmen in sechs Schutzkategorien.
Registrierung: ab 17. Juli 2026 (BBK/BSI-Plattform)
Risikoanalyse & Maßnahmen: laufend ab Einstufung als BKA
Meldepflicht Störungen: sofort ab Kenntnis (24 h)
Die sechs Schutzkategorien für Resilienzmaßnahmen
In diesen sechs Bereichen müssen Betreiber kritischer Anlagen konkrete Maßnahmen nachweisen:
Quellen: KRITIS-Dachgesetz, §§ 10–22 (Pflichten für Betreiber kritischer Anlagen); CER-Richtlinie (EU) 2022/2557, Art. 11–15. Hinweis: Dies ist keine Rechtsberatung.
KRITIS-DachG: Zeitplan & Registrierung
| Meilenstein | Datum / Status |
|---|---|
| CER-Richtlinie (EU) 2022/2557 verabschiedet | 14. Dezember 2022 |
| CER-Richtlinie – Umsetzungsfrist der EU-Mitgliedstaaten | 17. Oktober 2024 (abgelaufen) |
| KRITIS-Dachgesetz (Deutschland) in Kraft | 17. März 2026 |
| Registrierung als Betreiber kritischer Anlagen (BKA) möglich | Ab 17. Juli 2026 (BBK/BSI-Plattform) |
| NIS2-Registrierung beim BSI – Nachfrist (separates Verfahren!) | 31. Juli 2026 (abgelaufen) |
| Sektorspezifische Schwellenwertverordnungen | In Erarbeitung – laufend 2026 |
| Meldepflicht für erhebliche Störungen | Sofort ab Inkrafttreten (17. März 2026) für erkannte BKA |
Wichtig – zwei separate Registrierungen: Unternehmen, die sowohl unter NIS2 als auch das KRITIS-Dachgesetz fallen, müssen sich zweimal separat registrieren: (1) bei der BSI-Meldeplattform für NIS2 (Nachfrist am 31. Juli 2026 abgelaufen) und (2) über die BBK/BSI-Plattform für das KRITIS-DachG (seit 17. Juli 2026). Es handelt sich um unterschiedliche Portale, Verfahren und Zuständigkeiten. Eine Registrierung ersetzt die andere nicht.
NIS2 vs. KRITIS-Dachgesetz – wo ist der Unterschied?
Beide Gesetze betreffen Betreiber in kritischen Sektoren – aber sie regeln unterschiedliche Dimensionen und unterscheiden sich stark in Anwendungsbereich und Pflichten.
| Kriterium | NIS2 (NIS2UmsuCG) | KRITIS-Dachgesetz |
|---|---|---|
| Schutzdimension | Cybersicherheit – Schutz von IT- und Netzwerksystemen | Physische Resilienz – Schutz vor physischen Bedrohungen, Sabotage, Naturkatastrophen, Stromausfall |
| Rechtsgrundlage | NIS-2-Richtlinie (EU) 2022/2555; NIS2UmsuCG (in Kraft 6. Dezember 2025) | CER-Richtlinie (EU) 2022/2557; KRITIS-DachG (in Kraft 17. März 2026) |
| Sektoren | 18 Sektoren (Anlage 1 + 2); weiter gefasst (inkl. Verarbeitendes Gewerbe, Chemie, Lebensmittel als NIS2-Sektoren) | 11 Sektoren (CER-Anhang); enger gefasst, fokussiert auf Daseinsvorsorge |
| Betroffene Unternehmen (Deutschland) | Ca. 29.500 Unternehmen (ab 50 MA und 10 Mio. € Umsatz) | Deutlich kleiner – Betreiber mit nationaler / überregionaler Versorgungsrelevanz (ca. 500.000+ Personen) |
| Registrierung bei | BSI (Meldeplattform BSI) · Nachfrist abgelaufen: 31. Juli 2026 | BBK/BSI-Plattform · Möglich ab: 17. Juli 2026 |
| Zuständige Behörde | BSI (Bundesamt für Sicherheit in der Informationstechnik) | BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe) + Sektoraufsicht |
| Kernpflichten | Registrierung, Vorfallsmeldung (24/72 h), 10 Risikomanagement-Bereiche (IT-Fokus) | Registrierung, Risikoanalyse, 6 Schutzkategorien (physisch), Resilienzplan, Störungsmeldung (24 h) |
| Bußgelder | Bis 10 Mio. € oder 2 % Jahresumsatz (BEI); 7 Mio. € / 1,4 % (WEI) | Bis 20 Mio. € |
| Für Produktionsbetriebe | Relevant für Verarbeitendes Gewerbe (Anlage 2) ab 50 MA / 10 Mio. € | Relevant v. a. für Energie, Lebensmittel (Großmaßstab), Pharma/Medizinprodukte (Gesundheit) |
| Registrierungsportal & -frist | BSI-Meldeplattform · Nachfrist abgelaufen: 31. Juli 2026 | BBK/BSI-Plattform (separates Portal!) · Möglich ab: 17. Juli 2026 |
Fazit für Produktionsbetriebe: Die meisten produzierenden Unternehmen fallen unter NIS2, aber nicht unter das KRITIS-Dachgesetz. Wer in der Energieversorgung, als Pharmahersteller mit Grundversorgungsrelevanz oder als Lebensmittelproduzent mit nationaler Marktbedeutung tätig ist, sollte beide Gesetze prüfen. Bei Unsicherheit empfiehlt sich ein Gespräch mit einem auf KRITIS spezialisierten Berater.
Quellen: NIS2UmsuCG (BGBl. 2024 I Nr. 307); KRITIS-Dachgesetz (BGBl. 2026); CER-Richtlinie (EU) 2022/2557; NIS-2-Richtlinie (EU) 2022/2555. Keine Rechtsberatung.
Bußgelder & Sanktionen
Das KRITIS-Dachgesetz sieht empfindliche Bußgelder vor – und übertrifft damit die NIS2-Höchstbeträge für wichtige Einrichtungen.
Vergleich NIS2: NIS2-Bußgelder: bis 10 Mio. € oder 2 % Jahresumsatz für BEI, bis 7 Mio. € oder 1,4 % für WEI. Das KRITIS-DachG-Bußgeld von bis zu 20 Mio. € liegt damit für betroffene Betreiber noch höher. Hinweis: Dies ist keine Rechtsberatung; die genauen Bußgeldhöhen richten sich nach Art und Schwere des Verstoßes.
Häufige Fragen zum KRITIS-Dachgesetz
Die wichtigsten Antworten – kompakt und quellenbasiert.
Das KRITIS-Dachgesetz (offiziell: Gesetz zur Umsetzung der CER-Richtlinie und zur Stärkung der Resilienz kritischer Infrastrukturen) ist seit dem 17. März 2026 in Deutschland in Kraft. Es setzt die EU-Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um. Das Gesetz ergänzt NIS2: Während NIS2 die Cybersicherheit adressiert, verpflichtet das KRITIS-Dachgesetz Betreiber kritischer Anlagen (BKA) zum Schutz vor physischen Bedrohungen – Sabotage, Naturkatastrophen, Infrastrukturausfälle einschließlich Stromausfälle. Zuständige Behörde ist das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK).
Vom KRITIS-Dachgesetz betroffen sind Betreiber kritischer Anlagen (BKA) in 11 Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, Öffentliche Verwaltung, Weltraum und Lebensmittel. Die genaue Bestimmung, ob ein Unternehmen als BKA gilt, erfolgt durch die zuständigen Behörden auf Basis nationaler Risikoanalysen und sektorspezifischer Schwellenwertverordnungen. Als Orientierungswert gilt aus dem bisherigen KRITIS-Schutzprogramm: Versorgung von mindestens 500.000 Personen. Die meisten produzierenden Unternehmen außerhalb dieser 11 Sektoren sind nicht vom KRITIS-Dachgesetz betroffen – können aber unter NIS2 fallen.
NIS2 und das KRITIS-Dachgesetz ergänzen sich, adressieren aber unterschiedliche Schutzdimensionen: NIS2 regelt die Cybersicherheit von IT- und Netzwerksystemen in 18 Sektoren und betrifft rund 29.500 Unternehmen in Deutschland. Das KRITIS-Dachgesetz regelt die physische Resilienz kritischer Infrastrukturen in 11 Sektoren und betrifft eine deutlich kleinere Zahl von Betreibern mit nationaler oder überregionaler Versorgungsrelevanz. Ein Unternehmen kann unter beide Gesetze fallen – etwa ein großer Stromnetzbetreiber. Registrierung, Anforderungen und Behördenzuständigkeit sind jedoch getrennt: NIS2-Registrierung beim BSI (Nachfrist am 31. Juli 2026 abgelaufen), KRITIS-DachG-Registrierung über die BBK/BSI-Plattform (seit 17. Juli 2026).
Betreiber kritischer Anlagen müssen nach dem KRITIS-Dachgesetz: (1) sich registrieren (BBK/BSI-Plattform, frühestens ab 17. Juli 2026); (2) eine Risikoanalyse für physische Bedrohungen erstellen; (3) Resilienzmaßnahmen in sechs Schutzkategorien umsetzen (physischer Schutz, Personalsicherheit, Zugangsmanagement, Lieferkettensicherheit, Notfallplanung und Business Continuity sowie Maßnahmen zur Sensibilisierung); (4) einen Resilienzplan erstellen und der zuständigen Behörde vorlegen; und (5) erhebliche Störungen innerhalb von 24 Stunden melden. Hinweis: Dies ist keine Rechtsberatung; die konkreten Anforderungen hängen von der sektorzuständigen Regulierung ab.
Die Registrierung als Betreiber kritischer Anlagen (BKA) erfolgt über die BBK/BSI-Plattform und ist frühestens ab dem 17. Juli 2026 möglich. Diese Registrierung ist von der NIS2-Registrierung beim BSI (Nachfrist am 31. Juli 2026 abgelaufen) vollständig getrennt – es handelt sich um zwei unterschiedliche Verfahren bei unterschiedlichen Behörden. Unternehmen, die unter beide Gesetze fallen, müssen sich separat für beide Gesetze registrieren.
Bei Verstößen gegen das KRITIS-Dachgesetz drohen Bußgelder von bis zu 20 Millionen Euro. Zusätzlich können die Aufsichtsbehörden Abhilfemaßnahmen anordnen und in schwerwiegenden Fällen oder bei wiederholten Verstößen weitere Sanktionen verhängen. Die genaue Bußgeldhöhe richtet sich nach Art und Schwere des Verstoßes sowie der Unternehmensgröße. Hinweis: Dies ist keine Rechtsberatung.
KRITIS oder NIS2 – nicht sicher, was gilt?
Machen Sie den kostenlosen Resilienz-Check oder prüfen Sie Ihre NIS2-Betroffenheit – und fordern Sie am Seitenende einen unverbindlichen Erstkontakt mit einem Experten an.