KRITIS-Dachgesetz 2026: Was Betreiber kritischer Anlagen jetzt wissen müssen

Zwei Gesetze, eine kritische Infrastruktur: Seit dem 17. März 2026 ist neben dem NIS2UmsuCG ein weiteres Bundesgesetz in Kraft, das Betreiber kritischer Anlagen direkt betrifft – das KRITIS-Dachgesetz. Während das NIS2UmsuCG mit dem neuen BSI-Gesetz (BSIG) die Informationssicherheit regelt, adressiert das KRITIS-DachG die physische Resilienz: Objektschutz, Zugangskontrollen, Notfallvorsorge, Krisenmanagement und die zügige Wiederherstellung kritischer Dienstleistungen nach einem Vorfall.

Der Bundesrat hat dem Gesetz am 6. März 2026 zugestimmt – an jenem Tag, an dem die NIS2-Registrierungsfrist beim BSI endete; verkündet wurde es im BGBl. 2026 I Nr. 66. Eine feste Registrierungsfrist beim Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) zum 17. Juli 2026 gibt es nicht: Seit einer Gesetzesänderung im Juli 2026 beginnt die Frist erst, wenn eine Anlage nach der noch ausstehenden Rechtsverordnung des Bundesinnenministeriums (KritisV) als kritisch gilt. Nach Auskunft des BBK besteht derzeit (Stand: Oktober 2026) noch keine Registrierungspflicht.

Dieser Leitfaden erklärt, was das KRITIS-Dachgesetz konkret verlangt, wer betroffen ist, wie der Fristenmechanismus funktioniert und wie das Gesetz mit dem NIS2UmsuCG zusammenspielt. Einen Überblick über die europäischen Grundlagen kritischer Infrastrukturregulierung bieten die NIS-2-Grundlagen.

Was ist das KRITIS-Dachgesetz?

Das KRITIS-Dachgesetz (amtlich: KRITISDachG) setzt die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um. Die CER-Richtlinie ist das Pendant zur NIS-2-Richtlinie: Während NIS-2 die Cybersicherheit adressiert, zielt die CER-Richtlinie auf die Widerstandsfähigkeit kritischer Einrichtungen gegenüber naturbedingten, technischen und menschlich verursachten Risiken – etwa Naturgefahren, Unfällen, Sabotage, hybriden Bedrohungen und Terroranschlägen.

Ein sektoren- und gefahrenübergreifendes Gesetz zum Schutz kritischer Infrastrukturen gab es in Deutschland bislang nicht; einzelne Aspekte waren in Fachgesetzen geregelt. Das KRITIS-DachG legt nach Darstellung des BBK erstmals ein „Dach“ über die erfassten Sektoren.

Das BBK ist zentrale Anlaufstelle im Sinne der CER-Richtlinie (§ 3 Abs. 1 KRITISDachG): Es nimmt Registrierungen entgegen und betreibt gemeinsam mit dem BSI die Meldestelle für Vorfälle. Die Aufsicht über die Resilienzpflichten liegt dagegen bei der jeweils zuständigen Behörde nach § 3 Abs. 2 – je nach Dienstleistung etwa bei der Bundesnetzagentur (Strom, Erdgas, Wasserstoff, öffentliche Telekommunikation), der BaFin oder bei Landesbehörden.

Ein wesentlicher Unterschied zur IT-Regulierung: Das KRITIS-DachG knüpft am Begriff des Betreibers kritischer Anlagen an, nicht am Einrichtungsbegriff des NIS2UmsuCG. Der Fokus liegt auf der Anlage selbst – dem Kraftwerk, dem Wasserwerk, dem Krankenhaus. Software und IT-Dienste zählen nur dann dazu, wenn sie unmittelbar physische Prozesse steuern, überwachen oder unterstützen; im Übrigen gilt ausschließlich das BSIG (§ 2 Nr. 2).

Wer ist betroffen? Sektoren und Schwellenwerte

Das KRITIS-DachG richtet sich an Betreiber kritischer Anlagen in zehn Sektoren (§ 4 Abs. 1). Kritisch ist eine Anlage, die für die Erbringung einer kritischen Dienstleistung erheblich ist – einer Versorgungsleistung, deren Ausfall zu erheblichen Versorgungsengpässen oder Gefährdungen der öffentlichen Sicherheit führen würde (§ 2 Nr. 3 und 4).

Die zehn Sektoren:

1. Energie
2. Transport und Verkehr
3. Finanzwesen
4. Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende
5. Gesundheitswesen
6. Wasser
7. Ernährung
8. Informationstechnik und Telekommunikation
9. Weltraum
10. Siedlungsabfallentsorgung

Für Finanzunternehmen im Anwendungsbereich von DORA und für den Sektor Informationstechnik und Telekommunikation gelten u. a. die Pflichten zu Risikoanalyse, Resilienzmaßnahmen, Nachweisen und Vorfallmeldungen nicht; in den Sektoren Siedlungsabfallentsorgung und Sozialversicherung bleibt davon nur die Risikoanalyse bestehen (§ 4 Abs. 2).

Welche Anlagen konkret kritisch sind, legt eine Rechtsverordnung des Bundesministeriums des Innern mit Anlagenkategorien, Schwellenwerten und Stichtagen fest (§ 4 Abs. 3, § 5 Abs. 1). Sie befindet sich nach Angaben des BBK noch in Erarbeitung und Abstimmung. Das Gesetz gibt den Rahmen vor:

Regelung	Inhalt
Regelschwellenwert (§ 5 Abs. 2)	Grundsätzlich 500.000 von einer Anlage zu versorgende Einwohner
Kriterien (§ 5 Abs. 2)	U. a. versorgte Einwohner, Abhängigkeit anderer Sektoren, Marktanteil, betroffenes Gebiet, Alternativen
Einzelfallfeststellung (§ 5 Abs. 3)	Das BMI kann eine Anlage auch unterhalb der Schwellenwerte als erheblich feststellen – oder trotz Erreichens als nicht erheblich
Länder (§ 5 Abs. 7)	Nach einer gesonderten Verordnung können die Länder Anlagen in ihrer Zuständigkeit als erheblich feststellen

Die Identifizierung erfolgt also grundsätzlich über die Selbstprüfung anhand der Verordnung, ergänzt durch behördliche Einzelfallfeststellungen; in diesem Fall fordert das BBK den Betreiber zur Registrierung auf (§ 5 Abs. 5). Für die IT-Pflichten nach dem BSIG gelten bis zum Inkrafttreten der Verordnung die bisherigen Begriffsbestimmungen für kritische Anlagen weiter (§ 66 BSIG).

Auch kommunale Versorger können Betreiber kritischer Anlagen sein: Der Betreiberbegriff erfasst ausdrücklich rechtlich unselbständige Organisationseinheiten einer Gebietskörperschaft (§ 2 Nr. 1).

Pflichten und Fristen im Überblick

Registrierung beim BBK – Frist beginnt erst mit der KritisV

Betreiber müssen sich spätestens drei Monate, nachdem eine Anlage als kritisch gilt, beim BBK registrieren (§ 8 Abs. 1). Die ursprüngliche Fassung sah vor, dass diese Frist frühestens am 17. Juli 2026 endet; diese Angabe hat Art. 8 des Gesetzes vom 21. Juli 2026 (BGBl. 2026 I Nr. 221) mit Wirkung zum 29. Juli 2026 gestrichen. Solange die Verordnung nicht in Kraft ist, läuft keine Frist. Das Datum 17. Juli 2026 stammt aus Art. 6 Abs. 1 der CER-Richtlinie – dort ist es die Frist, bis zu der die Mitgliedstaaten ihre kritischen Einrichtungen ermitteln.

Die Registrierung erfolgt über eine gemeinsam von BSI und BBK eingerichtete Registrierungsmöglichkeit; die Einzelheiten legt das BBK binnen vier Wochen nach Inkrafttreten der Verordnung fest (§ 8 Abs. 8). Zu übermitteln sind u. a.:

• Name, Rechtsform, ggf. Handelsregisternummer, Anschrift und Kontaktdaten des Betreibers
• Bezeichnung der kritischen Anlage, Sektor, kritische Dienstleistung, ggf. Anlagenkategorie, Versorgungsgrad, Standort und öffentliche IP-Adressbereiche
• Ggf. die EU-Mitgliedstaaten, in denen oder für die wesentliche Dienste erbracht werden
• Eine Kontaktstelle (für Maßnahmen nach dem BSIG jederzeit erreichbar) und die eingesetzten Typen kritischer Komponenten

Änderungen sind binnen zwei Wochen zu melden, geänderte Werte zum Versorgungsgrad jährlich (§ 8 Abs. 6). Kommt ein Betreiber der Pflicht nicht nach, kann das BBK Auskünfte verlangen und die Registrierung nach Anhörung selbst vornehmen (§ 8 Abs. 2 und 3). Davon zu unterscheiden ist die bereits geltende Registrierung als besonders wichtige Einrichtung im BSI-Portal (§ 33 Abs. 1 BSIG). Die BSIG-Vorschriften zur Registrierung kritischer Anlagen (§ 33 Abs. 2 und 5) sind nach dem neuen § 66 BSIG erst ab Inkrafttreten der Verordnung in neuer Fassung anzuwenden.

Risikoanalyse und Resilienzplan

Die Pflicht zur Risikoanalyse und Risikobewertung (§ 12) gilt erstmals neun Monate nach der Registrierung (§ 8 Abs. 7) – ein Kalenderdatum ergibt sich daraus erst nach Inkrafttreten der Verordnung. Die Analyse ist bei Bedarf, mindestens alle vier Jahre durchzuführen und berücksichtigt naturbedingte, technische und menschlich verursachte Risiken sowie Abhängigkeiten von anderen Betreibern und Sektoren, auch grenzüberschreitend.

Die Resilienzmaßnahmen sind in einem Resilienzplan darzustellen und anzuwenden (§ 13 Abs. 4); diese Pflichten gelten erstmals zehn Monate nach der Registrierung. Der Plan nimmt Bezug auf die Risikoanalyse und ist bei Bedarf sowie nach jeder neuen Analyse zu aktualisieren. Eine routinemäßige Einreichung ist nicht vorgesehen; die zuständige Behörde kann die Vorlage aber verlangen (§ 16 Abs. 2). Muster für Resilienzpläne stellt das BBK spätestens acht Monate nach Inkrafttreten der Verordnung bereit (§ 13 Abs. 5).

Physische Schutzmaßnahmen

Verlangt werden verhältnismäßige technische, sicherheitsbezogene und organisatorische Maßnahmen; der Stand der Technik soll eingehalten werden, wirtschaftliche Aspekte sind zu berücksichtigen (§ 13 Abs. 2). § 13 Abs. 3 nennt Beispiele – keinen abschließenden Pflichtkatalog:

Maßnahme	Beispiele nach § 13 Abs. 3
Notfallvorsorge	Maßnahmen, die das Auftreten von Vorfällen verhindern sollen
Objektschutz	Bauliche, technische und organisatorische Sicherung, z. B. Liegenschaftsabgrenzungen und hemmende Fassadenelemente
Überwachung und Zugang	Überwachung der Umgebung, Detektionsgeräte, Zugangskontrollen
Krisenmanagement	Risiko- und Krisenmanagementverfahren, vorgegebene Abläufe im Alarmfall
Betriebliche Kontinuität	Aufrechterhaltung des Betriebs, darunter Notstromversorgung; Ermittlung alternativer Lieferketten
Personelle Sicherheit	Sicherheitsmanagement für Mitarbeitende einschließlich Personal externer Dienstleister; Schulungen und Übungen

Sektorenübergreifende Mindestanforderungen kann das BMI per Verordnung festlegen (§ 14 Abs. 1); Branchenverbände können Resilienzstandards vorschlagen, deren Eignung das BBK feststellt (§ 14 Abs. 2).

Angriffserkennung und Vorfallmeldung: BSIG und KRITIS-DachG

Eine Pflicht zu Systemen zur Angriffserkennung (SzA) enthält das KRITIS-DachG nicht. Sie folgt aus § 31 Abs. 2 BSIG und betrifft die IT-Systeme, Komponenten und Prozesse, die für die Funktionsfähigkeit der kritischen Anlage maßgeblich sind. Im physischen Bereich nennt das KRITIS-DachG Detektionsgeräte und Umgebungsüberwachung nur als mögliche Maßnahmen. Für Vorfälle gilt ein eigenes Meldewesen (§ 18), das erstmals zehn Monate nach der Registrierung greift:

• Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, an die gemeinsame Meldestelle von BSI und BBK; Aktualisierung bei andauernden Vorfällen
• Ausführlicher Bericht spätestens einen Monat nach Kenntnis des Vorfalls
• Angaben u. a. zu Zahl und Anteil der Betroffenen, Dauer und betroffenem Gebiet

Meldepflichten aus anderen Gesetzen, insbesondere nach § 32 BSIG, bleiben unberührt; reine IT-Sicherheitsvorfälle fallen nicht unter den Vorfallsbegriff des KRITIS-DachG (§ 2 Nr. 9).

Nachweise: kein fester Drei-Jahres-Zyklus im KRITIS-DachG

Das KRITIS-DachG sieht keinen festen Drei-Jahres-Turnus für Nachweise vor. Der Drei-Jahres-Zyklus stammt aus § 39 BSIG und betrifft die IT-Sicherheitsmaßnahmen: Betreiber kritischer Anlagen weisen deren Umsetzung zu einem vom BSI festgelegten Zeitpunkt – frühestens drei Jahre, nachdem sie erstmals als Betreiber gelten – und danach alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach. Für die physischen Resilienzpflichten gilt ein risikobasiertes Verfahren (§ 16):

• Die zuständige Behörde kann über das BBK beim BSI die relevanten Teile der Nachweise nach § 39 BSIG anfordern.
• Reicht das nicht, kann sie risikobasiert ausgewählte Betreiber zur Vorlage weiterer Nachweise auffordern – insbesondere des Resilienzplans.
• Nachweise können durch Audits erbracht werden; Dokumente und Zertifikate aus anderen Pflichten können herangezogen werden (§ 17 Abs. 1).

Die Behörde kann die Einhaltung auch vor Ort überprüfen, auch durch qualifizierte unabhängige Dritte; Betreiber müssen während der üblichen Betriebszeiten Zutritt gewähren (§ 16 Abs. 4). Das Nachweisverfahren befindet sich nach Angaben des BBK noch in Abstimmung. Für Strom, Erdgas und Wasserstoff gilt statt § 16 der § 5f EnWG (§ 16 Abs. 7). Eine laufend gepflegte, prüffähige Dokumentation ist daher dringend zu empfehlen.

KRITIS-Dachgesetz und NIS2UmsuCG im Zusammenspiel

Für Betreiber kritischer Anlagen bedeutet das eine doppelte Regulierung: Nach § 28 Abs. 1 Nr. 1 BSIG gelten sie als besonders wichtige Einrichtungen – unabhängig von Mitarbeiterzahl oder Umsatz. Beide Gesetze regulieren dieselbe Infrastruktur aus unterschiedlichen Perspektiven.

Merkmal	NIS2UmsuCG (BSIG)	KRITIS-Dachgesetz
Schutzgegenstand	Netz- und Informationssysteme, IT-Komponenten und -Prozesse	Physische Resilienz kritischer Anlagen und der kritischen Dienstleistung
Zuständige Behörde	BSI (Bundesamt für Sicherheit in der Informationstechnik)	BBK als zentrale Anlaufstelle; Aufsicht durch die nach § 3 zuständigen Behörden (z. B. BNetzA, BaFin, Landesbehörden)
Einstufung	Selbsteinstufung als wichtige / besonders wichtige Einrichtung (§ 28 BSIG)	Selbstprüfung anhand der Schwellenwerte der Verordnung; Einzelfallfeststellung durch das BMI möglich (§ 5 Abs. 3)
Registrierungspflicht	BSI-Portal, Frist 6. März 2026 (abgelaufen; ausstehende Registrierungen sind unverzüglich nachzuholen)	Gemeinsame Registrierungsmöglichkeit von BSI und BBK, spätestens drei Monate nachdem die Anlage als kritisch gilt – derzeit mangels Verordnung keine Pflicht
Nachweiszyklus	Betreiber kritischer Anlagen: alle drei Jahre (§ 39 BSIG); andere besonders wichtige Einrichtungen: Nachweise auf Anordnung des BSI (§ 61 BSIG)	Kein fester Zyklus; risikobasierte Anforderung von Nachweisen durch die zuständige Behörde (§ 16)
Angriffserkennung	SzA-Pflicht für Betreiber kritischer Anlagen (§ 31 Abs. 2 BSIG)	Keine SzA-Pflicht; Detektionsgeräte und Umgebungsüberwachung als mögliche Maßnahmen (§ 13 Abs. 3)

Ein Unterschied in der Reichweite: Ein mittelgroßes Softwareunternehmen kann nach dem NIS2UmsuCG als wichtige Einrichtung reguliert sein, fällt aber nicht unter das KRITIS-DachG. Umgekehrt ist jeder Betreiber einer kritischen Anlage zugleich besonders wichtige Einrichtung – auch unterhalb der allgemeinen Größenschwellen des BSIG.

Für Einrichtungen, die unter beide Gesetze fallen, bietet sich eine integrierte Compliance-Struktur an: ein gemeinsames Risikomanagement-Framework, das beide Anforderungen adressiert und Doppelarbeit minimiert. Das Gesetz stützt diesen Ansatz: Branchenspezifische Sicherheitsstandards nach § 30 Abs. 8 BSIG sollen Grundlage für Resilienzstandards sein (§ 14 Abs. 2). Risikoanalysen, Incident-Response-Pläne und Schulungsnachweise lassen sich in einem einheitlichen Dokumentationsrahmen abbilden, der die BSI-Anforderungen nach § 30 BSIG (NIS2UmsuCG) und die Anforderungen des KRITIS-DachG gemeinsam berücksichtigt.

Wie sich die Anforderungen im Detail unterscheiden, zeigt der direkte Vergleich: NIS2 vs. KRITIS – Gemeinsamkeiten und Unterschiede. Die technischen Mindestanforderungen an Maßnahmen und Dokumentation sind in den NIS-2-Anforderungen zusammengefasst.

Bußgelder und Sanktionen nach KRITIS-DachG

Das KRITIS-DachG sieht Geldbußen vor, deren Obergrenzen deutlich unter denen des BSIG liegen (§ 24 Abs. 2):

Verstoß	Bußgeldrahmen
Verstoß gegen eine vollziehbare Anordnung des BBK zur Vorlage von Unterlagen und Auskünften im Registrierungsverfahren (§ 24 Abs. 1 Nr. 2 Buchst. a)	bis zu 1.000.000 €
Ergebnisse eines Audits nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt (§ 24 Abs. 1 Nr. 3)	bis zu 500.000 €
Verstoß gegen vollziehbare Anordnungen zu Nachweisen oder zur Mängelbeseitigung (§ 24 Abs. 1 Nr. 2 Buchst. b)	bis zu 200.000 €
Registrierungsangaben nicht, nicht richtig oder nicht rechtzeitig übermittelt; Zutritt, Unterlagen oder Auskünfte bei einer Überprüfung verweigert (§ 24 Abs. 1 Nr. 1 und 4)	bis zu 100.000 €

Zuständig für die Ahndung ist bei Registrierungsverstößen das BBK, sonst die nach § 3 Abs. 2 zuständige Behörde (§ 24 Abs. 3). Einen Bußgeldtatbestand für unzureichende Schutzmaßnahmen als solche enthält § 24 nicht; die Resilienzpflichten werden über Anordnungen durchgesetzt. Daneben kann die Behörde:

• einen Mängelbeseitigungsplan und die Beseitigung von Mängeln binnen angemessener Frist anordnen (§ 16 Abs. 5)
• die Einhaltung vor Ort überprüfen, auch durch unabhängige Dritte (§ 16 Abs. 4)
• bei unterlassener Registrierung diese selbst vornehmen – durch das BBK (§ 8 Abs. 3)
• bei öffentlichem Interesse die Öffentlichkeit über einen Vorfall informieren oder den Betreiber dazu verpflichten – durch das BBK (§ 18 Abs. 9)

Die Geschäftsleitung adressiert § 20 KRITIS-DachG ähnlich wie § 38 BSIG: Sie muss die Resilienzmaßnahmen umsetzen und ihre Umsetzung durch geeignete Organisationsmaßnahmen sicherstellen. Bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach den Regeln des Gesellschaftsrechts – etwa nach § 43 GmbHG oder § 93 AktG. Eine ausdrückliche Schulungspflicht wie § 38 Abs. 3 BSIG enthält § 20 nicht.

Häufig gestellte Fragen

Was ist der Unterschied zwischen dem KRITIS-Dachgesetz und dem alten KRITIS-Recht?

Das bisherige KRITIS-Recht (BSI-Gesetz alter Fassung mit der BSI-Kritisverordnung) regelte primär die IT-Sicherheit von KRITIS-Betreibern; diese Pflichten bestehen nach Darstellung des BSI im neuen BSIG im Wesentlichen fort. Das KRITIS-DachG regelt zusätzlich die physische Resilienz der Anlagen. Beide Schichten existieren parallel: IT-Sicherheit beim BSI unter dem BSIG, physische Resilienz mit dem BBK als zentraler Anlaufstelle und den Aufsichtsbehörden nach § 3 KRITIS-DachG.

Gilt eine feste Registrierungsfrist zum 17. Juli 2026?

Nein. Die ursprüngliche Fassung von § 8 Abs. 1 sah vor, dass die Dreimonatsfrist frühestens am 17. Juli 2026 endet; diese Angabe wurde durch BGBl. 2026 I Nr. 221 gestrichen. Maßgeblich ist, ab wann eine Anlage nach der Verordnung des BMI als kritisch gilt – ab dann bleiben drei Monate. Da die Verordnung noch nicht in Kraft ist, besteht nach Angaben des BBK derzeit keine Registrierungspflicht.

Muss ich separate Risikoanalysen für NIS2 und KRITIS-DachG erstellen?

Nicht zwingend – eine integrierte Risikoanalyse ist möglich und in der Regel sinnvoll. Inhaltlich unterscheiden sich die Anforderungen: Das BSIG fokussiert auf Risiken für Netz- und Informationssysteme, das KRITIS-DachG auf alle naturbedingten, technischen und menschlich verursachten Risiken für die kritische Dienstleistung. In der Praxis empfiehlt sich eine Gesamtrisikoanalyse mit einem IT/Cyber-Teil und einem Teil zur physischen Resilienz auf derselben Bewertungsmethodik. Eine routinemäßige Einreichung ist nicht vorgesehen; Behörden können Unterlagen im Rahmen von Nachweisen anfordern.

Verlangt das KRITIS-DachG „Systeme zur Angriffserkennung“?

Nein. Die SzA-Pflicht für Betreiber kritischer Anlagen ergibt sich aus § 31 Abs. 2 BSIG und betrifft die für die kritische Anlage maßgeblichen IT-Systeme. Das KRITIS-DachG nennt Detektionsgeräte, Umgebungsüberwachung und Zugangskontrollen als mögliche physische Maßnahmen (§ 13 Abs. 3 Nr. 2), ohne bestimmte Technologien vorzuschreiben. Konkretere Vorgaben können sich künftig aus Mindestanforderungen per Verordnung ergeben (§ 14 Abs. 1).

Was passiert, wenn ich die Registrierung beim BBK versäume?

Sobald die Pflicht greift, kann eine nicht oder nicht rechtzeitig übermittelte Registrierung mit einer Geldbuße von bis zu 100.000 € geahndet werden (§ 24). Das BBK kann zudem Auskünfte verlangen und die Registrierung nach Anhörung selbst vornehmen (§ 8 Abs. 2 und 3); bei Verstößen gegen eine vollziehbare Auskunftsanordnung drohen bis zu 1 Mio. €. Eine nachträgliche Registrierung hebt einen eingetretenen Verstoß nicht rückwirkend auf. Davon unabhängig gilt bereits die Registrierungspflicht nach § 33 BSIG.

Sind auch Dienstleister betroffen, die für KRITIS-Betreiber tätig sind?

Das KRITIS-DachG richtet sich an die Betreiber selbst, nicht an deren Dienstleister. Betreiber müssen aber Abhängigkeiten in ihrer Risikoanalyse berücksichtigen (§ 12 Abs. 1), ein Sicherheitsmanagement auch für das Personal externer Dienstleister gewährleisten und alternative Lieferketten ermitteln (§ 13 Abs. 3 Nr. 4 und 5). In der Praxis führt das häufig zu vertraglichen Anforderungen an wesentliche Dienstleister. Dienstleister können zudem selbst Betreiber kritischer Anlagen sein, wenn sie eigene kritische Anlagen betreiben.

Dieser Artikel stellt allgemeine Informationen bereit (Stand: Oktober 2026) und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen können je nach Sektor, Anlagetyp und Organisationsform variieren; maßgeblich ist insbesondere die noch ausstehende Rechtsverordnung zur Bestimmung kritischer Anlagen. Wenden Sie sich für eine auf Ihre Situation zugeschnittene Beratung an einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

1. KRITIS-Dachgesetz – Stärkung der Resilienz Kritischer Infrastrukturen — Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
2. FAQ zum KRITIS-Dachgesetz — Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK)
3. Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie) — EUR-Lex, Amtsblatt der Europäischen Union
4. KRITIS-Dachgesetz – Resilienz Kritischer Infrastrukturen — OpenKRITIS
5. Kritische Infrastrukturen – Pflichten für Betreiber kritischer Anlagen — Bundesamt für Sicherheit in der Informationstechnik (BSI)
6. KRITIS-Dachgesetz (KRITISDachG) – Gesetzestext — Bundesministerium der Justiz und für Verbraucherschutz
7. BSI-Gesetz (BSIG) – Gesetzestext — Bundesministerium der Justiz und für Verbraucherschutz
8. BGBl. 2026 I Nr. 221 (Art. 8: Änderung des KRITIS-Dachgesetzes; Art. 9: Änderung des BSI-Gesetzes) — Bundesgesetzblatt