KRITIS-Dachgesetz - was Betreiber kritischer Infrastrukturen jetzt wissen müssen

Das KRITIS-Dachgesetz (KRITISDachG) ist am 16. März 2026 in Kraft getreten. Die EU-CER-Richtlinie hätte bereits bis Oktober 2024 umgesetzt werden müssen - Deutschland ließ die Frist verstreichen, weshalb die EU-Kommission ein Vertragsverletzungsverfahren einleitete. Für Betreiber heißt das: Die Pflichten laufen bereits.

Wenn Du eine bestimmte Versorgungsschwelle überschreitest: ja. Wir machen den konkreten Check in 30 Minuten - Schwellenwerte sind sektor-spezifisch und teils noch in Konkretisierung.

Die KRITIS-V (Verordnung zur Bestimmung Kritischer Infrastrukturen) definiert die Schwellenwerte für NIS2/IT-SiG-Pflichten. Das KRITIS-Dachgesetz ist ein neues Bundesgesetz für physische Resilienz nach CER-Richtlinie. Beide gelten parallel für KRITIS-Betreiber.

KRITIS-Dachgesetz = BBK (physische Resilienz). NIS2/IT-SiG = BSI (Cybersicherheit). Wer unter beide fällt, hat beide Behörden als Aufsicht.

Die Registrierung beim BBK musste bis zum 17. Juli 2026 erfolgen. Danach gilt: Risikoanalyse spätestens neun Monate nach der Registrierung, Resilienzplan spätestens zehn Monate danach. Die Risikoanalyse folgt dem All-Hazards-Ansatz und ist mindestens alle vier Jahre zu wiederholen.

Nach dem KRITIS-Dachgesetz drohen Bußgelder bis zu 1 Mio. € - der ursprünglich vorgesehene Höchstbetrag von 500.000 € wurde im parlamentarischen Verfahren verdoppelt. Sanktionsbewehrt sind unter anderem die versäumte Registrierung, fehlende Risikoanalysen oder Resilienzpläne und die Verweigerung des Zutritts für das BBK. Nicht verwechseln: Die höheren Rahmen von 10 Mio. € bzw. 2 % des Jahresumsatzes stammen aus NIS2/BSIG - wer gegen beide Regelwerke verstößt, kann auch beide Sanktionen treffen. Zusätzlich kann das BBK den Betrieb kritischer Anlagen untersagen.

Bestimmte Betreiber-Kategorien müssen einen namentlichen Sicherheitsverantwortlichen beim BBK registrieren. Schulungsnachweise sind erforderlich. Der IT-Leiter kann diese Funktion übernehmen, wenn er entsprechend qualifiziert ist.

Betrachtet werden nicht nur Cyberangriffe, sondern alle Ereignisse, die Deine kritische Leistung unterbrechen können: Sabotage, Einbruch, Brand, Hochwasser, längerer Stromausfall, Ausfall eines Schlüssellieferanten, Insider-Risiken. Für jedes relevante Szenario brauchst Du eine Bewertung und entweder eine Maßnahme oder eine begründete Risikoakzeptanz. Das ist der Teil, der IT-Abteilungen am meisten überrascht, weil Werkschutz, Facility Management und Einkauf mit am Tisch sitzen müssen.

Deine kritischen Prozesse und Anlagen, die Risiken aus der All-Hazards-Analyse, die getroffenen Schutz- und Wiederanlauf-Maßnahmen sowie Verantwortliche und Fristen dazu. Dazu kommen Melde- und Eskalationswege und der Nachweis, dass das Ganze geübt wird. Wir bauen ihn so, dass er zugleich als Nachweis gegenüber der Aufsicht taugt und im Ernstfall tatsächlich benutzbar ist.

Die Struktur zählt: Risikomethodik, Dokumentenlenkung, Lieferantenbewertung, Vorfallmanagement und Management-Review lassen sich direkt weiterverwenden. Was ISO 27001 nicht abdeckt, ist der physische All-Hazards-Teil - Zutritt, Perimeter, Notstromversorgung, redundante Kommunikation, Naturgefahren. Wir setzen auf dem vorhandenen ISMS auf und ergänzen gezielt das Delta, statt ein zweites System danebenzustellen.

Nicht automatisch. Die Betreiberpflichten treffen die Betreiber selbst, aber diese geben ihre Anforderungen vertraglich an kritische Lieferanten weiter: Nachweise, Meldewege, Verfügbarkeitszusagen, teils Auditrechte. In der Praxis merkst Du das zuerst am Lieferantenfragebogen, nicht am Gesetzestext. Ob Du selbst betroffen bist, hängt an Sektor und Schwellenwert und gehört im Zweifel juristisch geprüft.

Dann laufen zwei Meldewege parallel: die physische Störung an das BBK, die Cyber-Komponente nach NIS2 an das BSI. Beide folgen eigenen Fristen und Formaten, und die Aufsicht erwartet, dass dieser Doppelprozess dokumentiert und geübt ist. Wir hinterlegen deshalb einen Meldeprozess mit Rollen, Vorlagen und Kontaktdaten, damit im Ernstfall niemand erst nachschlagen muss.

Vorgesehen sind wiederkehrende externe Nachweise gegenüber der Aufsicht. Prüferqualifikation, Turnus und Nachweisform hängen am finalen Gesetzestext und den nachgelagerten Konkretisierungen - hier lohnt es sich, den Stand aktuell zu verfolgen. Der Grundsatz steht aber fest: Prüfen muss eine unabhängige Stelle, nicht die Beratung, die umgesetzt hat. Wir bereiten die Nachweise prüffest auf und begleiten Dich durch die Prüfung.

Davon raten wir ab. Der überwiegende Teil der zu erwartenden Pflichten - Prozess- und Asset-Inventar, Risikoanalyse, Zutrittsschutz, Notstrom, Wiederanlaufpläne, Lieferantenbewertung - ist unabhängig vom finalen Wortlaut sinnvoll und bei NIS2 ohnehin gefordert. Das Gesetz ist seit März 2026 in Kraft, die Registrierungsfrist beim BBK lief am 17. Juli 2026 ab - wer jetzt startet, arbeitet also bereits gegen laufende Fristen und muss alles zusammenpressen, inklusive baulicher Maßnahmen mit langen Lieferzeiten. Wir priorisieren deshalb: zuerst Registrierung und Meldeprozess, dann Risikoanalyse und Resilienzplan entlang der Neun- und Zehn-Monats-Fristen.

Das hängt fast vollständig an Deinem physischen Ausgangsniveau: Ein Standort mit vorhandener Zutrittskontrolle, Notstrom und geübtem Notfallmanagement liegt deutlich unter einem Werk, das damit bei null anfängt. Der Beratungs- und Dokumentationsteil ist gut planbar, die baulichen und technischen Maßnahmen sind der große Hebel. Nach der Gap-Analyse bekommst Du eine belastbare Schätzung statt einer Hausnummer vorab.