Critical Radarby SAFETEE

Wissen · Recht und Fristen

KRITIS-Dachgesetz: Pflichten und Fristen.

Seit März 2026 regelt das KRITIS-Dachgesetz die physische Widerstandsfähigkeit kritischer Anlagen in Deutschland. Diese Seite fasst zusammen, wer betroffen ist, welche Fristen laufen und was noch fehlt.

Was verlangt das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz gilt seit dem 17. März 2026. Betreiber kritischer Anlagen müssen sich spätestens drei Monate nach der Einstufung beim BBK registrieren, danach eine Risikoanalyse erstellen, einen Resilienzplan umsetzen und erhebliche Störungen binnen 24 Stunden melden. Welche Anlagen kritisch sind, legt eine Rechtsverordnung fest. Das Bundesinnenministerium hat dazu im Mai 2026 einen Entwurf vorgelegt; ein Beschluss war bis zum Stand dieser Seite nicht bekannt.

Stand: · Redaktion SAFETEE · verantwortlich: Marc Riegel

Seit wann gilt das KRITIS-Dachgesetz?

Das Gesetz zur Stärkung der physischen Resilienz kritischer Anlagen wurde am 11. März 2026 ausgefertigt (BGBl. 2026 I Nr. 66) und gilt seit dem 17. März 2026. Mit Wirkung vom 29. Juli 2026 wurde es durch Artikel 8 eines Änderungsgesetzes vom 21. Juli 2026 geändert (BGBl. 2026 I Nr. 221).

Es regelt den physischen Schutz: Prävention, baulicher Schutz, Reaktion auf Vorfälle und Wiederherstellung. Die Cybersicherheit derselben Betreiber regelt weiter das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes.

Wer ist betroffen?

Erfasst sind Betreiber kritischer Anlagen in zehn Sektoren: Energie, Transport und Verkehr, Finanzwesen, Sozialversicherung und Grundsicherung, Gesundheit, Wasser, Ernährung, Informationstechnik und Telekommunikation, Weltraum sowie Siedlungsabfallentsorgung. Einzelne Pflichten gelten für Finanzwesen, IT und Telekommunikation, Abfall und Sozialversicherung nicht.

Der Regelschwellenwert liegt bei 500.000 versorgten Einwohnern. Die genauen Schwellen je Anlagenart legt eine Rechtsverordnung fest. Der Entwurf des Innenministeriums vom Mai 2026 nennt nach Auswertung der Kanzlei CMS für Energiespeicher 104 MW Nettonennleistung und für präqualifizierte Primärregelleistung 36 MW. Das sind Entwurfswerte, keine geltenden Schwellen.

Welche Pflichten und Fristen gelten?

Pflichten nach KRITIS-Dachgesetz, Fassung vom 29.07.2026
PflichtFristVorschrift
Registrierung beim BBK (gemeinsames Verfahren mit dem BSI)spätestens 3 Monate, nachdem die Anlage als kritisch gilt§ 8 Abs. 1
Änderungen meldenunverzüglich, spätestens 2 Wochen; Versorgungswerte einmal jährlich§ 8 Abs. 6
Risikoanalyse und Risikobewertungerstmals 9 Monate nach der Registrierung, danach mindestens alle 4 Jahre§ 8 Abs. 7, § 12
Resilienzmaßnahmen und Resilienzplan10 Monate nach der Registrierung§ 8 Abs. 7, § 13
Meldung erheblicher StörungenErstmeldung spätestens 24 Stunden nach Kenntnis, Bericht spätestens nach einem Monat; gilt ab 10 Monaten nach der Registrierung§ 8 Abs. 7, § 18
Umsetzung und Überwachung durch die Geschäftsleitungab 10 Monaten nach der Registrierung§ 8 Abs. 7, § 20

Alle Fristen laufen ab der Einstufung beziehungsweise der Registrierung, nicht ab einem Kalenderdatum. Maßgeblich ist der Wortlaut im Bundesgesetzblatt.

Gibt es ein festes Datum für die Registrierung?

Nein. § 8 nennt in der Fassung vom 29. Juli 2026 nur relative Fristen: drei Monate ab der Einstufung als kritische Anlage. Ein früher genannter Termin im Juli 2026 steht so nicht mehr im Gesetz. Die Einzelheiten des Registrierungsverfahrens legt das BBK im Einvernehmen mit dem BSI innerhalb von vier Wochen nach Inkrafttreten der Rechtsverordnungen fest und veröffentlicht sie auf seiner Internetseite (§ 8 Abs. 8).

Praktisch beginnt die Uhr also mit der Rechtsverordnung. Wer nach dem Entwurf über den Schwellen liegt, kann Zuständigkeiten, Anlagenliste und Ansprechpartner schon jetzt vorbereiten.

Welche Bußgelder drohen?

§ 24 sieht vier Stufen vor: bis 100.000 Euro, bis 200.000 Euro, bis 500.000 Euro und bis 1 Million Euro, je nach Verstoß. Die Geschäftsleitung muss die Resilienzmaßnahmen umsetzen und ihre Umsetzung überwachen (§ 20); für ihre Haftung gilt das allgemeine Gesellschaftsrecht.

Wie verhält sich das Gesetz zu NIS2?

Beide Regelwerke treffen oft dieselben Betreiber, aber unterschiedliche Risiken. Das KRITIS-Dachgesetz regelt die physische Resilienz, das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes die Cybersicherheit. Nach Angaben der Kanzlei Advant Beiten gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025; Sicherheitsvorfälle sind dort gestuft nach 24 Stunden, 72 Stunden und einem Monat zu melden.

Zentrale Anlaufstelle für das KRITIS-Dachgesetz ist das BBK (§ 3). Für ihre Sektoren zuständig sind außerdem unter anderem die Bundesnetzagentur, das BSI und die BaFin. Registrierung und Meldungen sollen über gemeinsame Wege von BBK und BSI laufen.

Was das Critical Radar dazu zeigt

Das Critical Radar verfolgt Rechtsverordnung, Registrierungsstart und Fristen in der Rubrik Recht und Fristen, mit Daten aus dem Dokumentationssystem des Bundestags. Wann die nächsten Schritte kommen, führt die Redaktion als Prognose mit Wahrscheinlichkeit und Stichtag.

Prognosen mit Wahrscheinlichkeit und Stichtag So entstehen Prognosen

Fragen und Antworten

Häufig gefragt.

Ab wann muss ich mich beim BBK registrieren?

Spätestens drei Monate, nachdem Ihre Anlage als kritische Anlage gilt. Das hängt an den Schwellenwerten der Rechtsverordnung. Ein festes Kalenderdatum nennt das Gesetz in der Fassung vom 29. Juli 2026 nicht.

Gilt das Gesetz auch unter 500.000 versorgten Einwohnern?

Der Regelwert liegt bei 500.000 versorgten Einwohnern; die genauen Schwellen je Anlagenart legt die Rechtsverordnung fest. Fachquellen weisen darauf hin, dass Länder zusätzlich Anlagen unterhalb des Werts bestimmen können.

Ersetzt das KRITIS-Dachgesetz NIS2?

Nein. Es ergänzt NIS2: Das KRITIS-Dachgesetz regelt die physische Resilienz, das BSI-Gesetz die Cybersicherheit. Viele Betreiber müssen beide erfüllen.

Wie schnell muss eine Störung gemeldet werden?

Eine erhebliche Störung ist unverzüglich, spätestens 24 Stunden nach Kenntnis zu melden; ein ausführlicher Bericht folgt spätestens nach einem Monat. Die Pflicht gilt ab zehn Monaten nach der Registrierung.

Quellen

Alle Quellen wurden zum angegebenen Stand abgerufen. Zahlen sind unverändert übernommen, eigene Berechnungen als solche gekennzeichnet. Diese Seite ist eine Lagezusammenfassung, keine Rechtsberatung.