KRITIS-Dachgesetz: Registrierung, Risikoanalyse, Resilienzplan mit festen Fristen
Das KRITIS-Dachgesetz setzt die europäische CER-Richtlinie um und verpflichtet Betreiber kritischer Anlagen erstmals gesetzlich zur physischen Resilienz. Die Pflichten sind überschaubar in der Zahl, aber mit Fristen versehen, die ab der Einstufung laufen. Diese Seite erklärt, was wann zu tun ist, welche Behörde zuständig ist und was bei Verstößen droht.
- 17.03.2026 Inkrafttreten des KRITIS-Dachgesetzes
- 3 Monate Registrierung nach Einstufung als kritische Anlage
- 10 Monate Resilienzmaßnahmen nach Registrierung umgesetzt
- 200.000 € Bußgeld bei fehlendem Resilienzplan oder Nachweis
Was das Dachgesetz regelt und was nicht
Das Dachgesetz schließt eine Lücke: Bislang war die Cybersicherheit kritischer Anlagen im BSIG geregelt, die physische Widerstandsfähigkeit gegen Naturgefahren, Sabotage oder Personalausfall dagegen nur sektoral oder gar nicht.
- Schutzgut
Physische und organisatorische Resilienz
Die Fähigkeit der Anlage, Störungen zu verhindern, abzuwehren, ihre Folgen zu begrenzen und den Betrieb wiederherzustellen. Erfasst sind alle Gefahren, die nicht aus der Informationstechnik kommen: Naturereignisse, Unfälle, Sabotage, Terrorismus, Ausfall von Personal, Zulieferern und abhängigen Infrastrukturen.
- Behörde
Bundesamt für Bevölkerungsschutz und Katastrophenhilfe
Das BBK ist die zuständige Behörde für das Dachgesetz. Es betreibt gemeinsam mit dem BSI die Registrierungsplattform, nimmt Nachweise entgegen und kann die Umsetzung der Resilienzmaßnahmen prüfen. Für die Cyber-Pflichten bleibt das BSI zuständig.
- Abgrenzung
Das BSIG gilt weiter
Die Sicherheit der Informationstechnik regelt das BSIG in der Fassung der NIS2-Umsetzung, in Kraft seit 6. Dezember 2025. Betreiber kritischer Anlagen unterliegen beiden Gesetzen. Die Maßnahmen überschneiden sich bei Notfallmanagement, Lieferkette und Personal, sodass sich ein gemeinsames Vorgehen lohnt.
Wer betroffen ist: Betreiber kritischer Anlagen in zehn Sektoren, deren Anlage den durch Verordnung festgelegten Schwellenwert erreicht. Die Einstufung erklären wir auf der Seite Betroffenheit und Schwellenwerte.
Fünf Pflichten, zwei Fristen
Der Pflichtenkatalog des Dachgesetzes lässt sich auf einer Seite darstellen. Anspruchsvoll ist nicht die Zahl der Pflichten, sondern ihre Umsetzung innerhalb der Fristen.
| Pflicht | Frist | Inhalt |
|---|---|---|
| Registrierung | Spätestens drei Monate nach Einstufung als kritische Anlage; Einzelheiten regelt die KRITIS-Verordnung | Anmeldung der Anlage über die gemeinsame Plattform von BBK und BSI mit Angaben zu Anlage, Sektor, Betreiber und einer erreichbaren Kontaktstelle |
| Risikoanalyse | Vor dem Resilienzplan, laufend aktualisiert | Systematische Bewertung aller Risiken, die den Betrieb der Anlage erheblich stören können, einschließlich Abhängigkeiten von anderen Infrastrukturen und Zulieferern |
| Resilienzplan | Auf Grundlage der Risikoanalyse, vor Ablauf der Umsetzungsfrist | Beschreibung der technischen, personellen und organisatorischen Maßnahmen mit Verantwortlichen und Zeitplan |
| Resilienzmaßnahmen | Spätestens zehn Monate nach der Registrierung umgesetzt | Notfallvorsorge und Wiederanlauf, physische Sicherheit, Verfügbarkeit und Zuverlässigkeit des Personals, Schulungen und Übungen |
| Nachweise | Auf Verlangen der Behörde jederzeit vorlegbar | Dokumentation von Risikoanalyse, Resilienzplan, Umsetzungsstand und Wirksamkeit der Maßnahmen |
Anmeldung bei BBK und BSI über eine Plattform
Die Registrierung ist der Startpunkt für alle weiteren Fristen. Sie erfolgt über die gemeinsame Plattform beider Behörden, damit Betreiber ihre Angaben nur einmal machen.
-
Was anzugeben ist
Die Anlage mit Sektor und Anlagenkategorie, der Betreiber mit Rechtsform und Anschrift sowie eine Kontaktstelle, die für die Behörden erreichbar ist. Wer mehrere Anlagen betreibt, registriert jede Anlage, die den Schwellenwert erreicht.
-
Kontaktstelle mit Erreichbarkeit
Die Kontaktstelle muss Anfragen und Warnungen der Behörden entgegennehmen können. Bewährt hat sich eine Funktionsadresse mit Rufbereitschaft, die zugleich die Kontaktstelle für die BSIG-Meldepflicht ist, statt einer einzelnen Person.
-
Frist über die KRITIS-Verordnung
Die Registrierung ist spätestens drei Monate nach Einstufung als kritische Anlage vorzunehmen. Die konkreten Schwellenwerte je Anlagenkategorie und damit der Fristbeginn ergeben sich aus der KRITIS-Verordnung. Änderungen an Anlage oder Betreiber sind nachzumelden.
Bereits beim BSI registriert? Dann fehlen für das BBK in der Regel nur ergänzende Angaben zur physischen Resilienz. Die Pflichten aus beiden Gesetzen bestehen aber unabhängig voneinander; eine Registrierung nach dem BSIG ersetzt die Registrierung nach dem Dachgesetz nicht.
Von der Gefahr zur Maßnahme
Risikoanalyse und Resilienzplan bauen aufeinander auf. Wer den Plan vor der Analyse schreibt, erhält Maßnahmen ohne Bezug zur eigenen Anlage.
-
Anlage und Abhängigkeiten abgrenzen
Welche Betriebsstätten, Prozesse, Systeme und Zulieferer sind für die kritische Dienstleistung erforderlich? Ohne welche Strom-, Wasser-, Kommunikations- oder Logistikversorgung steht die Anlage? Diese Abgrenzung bestimmt den Umfang der Analyse.
-
Gefahren identifizieren und bewerten
Naturgefahren wie Hochwasser, Sturm und Hitze, Unfälle und technisches Versagen, Sabotage und Terrorismus, Ausfall von Personal etwa durch Pandemie oder Streik, Ausfall von Zulieferern und abhängigen Infrastrukturen. Je Gefahr Eintrittswahrscheinlichkeit, Auswirkung auf die Versorgung und Dauer bis zum Wiederanlauf.
- Vorhandene Analysen aus Störfallrecht, Arbeitsschutz, Versicherung und BCM einbeziehen
- Nationale und sektorale Risikobewertungen der Behörden berücksichtigen
-
Maßnahmen ableiten und priorisieren
Für jedes relevante Risiko: Verhindern, Abwehren, Folgen begrenzen, Wiederanlauf. Priorisiert nach Risiko, Aufwand und Umsetzungsfrist. Vorhandene Maßnahmen werden angerechnet, Lücken benannt.
-
Resilienzplan beschließen
Der Plan beschreibt Maßnahmen, Verantwortliche, Zeitplan und Nachweise und wird von der Geschäftsleitung beschlossen. Vorhandene Notfallpläne und Sicherheitskonzepte werden eingearbeitet, nicht ersetzt.
Zehn Monate sind kurz: Die Umsetzungsfrist läuft ab der Registrierung, nicht ab Fertigstellung des Plans. Wer Risikoanalyse und Plan drei Monate nach der Registrierung fertig hat, behält sieben Monate für bauliche, technische und personelle Maßnahmen. Beginnen Sie mit der Analyse deshalb parallel zur Registrierung. Wie der Plan im Detail aufgebaut ist, zeigt die Seite Resilienzplan.
Was bei Verstößen droht
Die Bußgeldrahmen des Dachgesetzes sind niedriger als die des BSIG. Beide gelten nebeneinander, und beide treffen am Ende die Geschäftsleitung.
- Dachgesetz
Bis 200.000 €
Wenn kein Resilienzplan vorliegt, die Resilienzmaßnahmen nicht umgesetzt sind oder Nachweise gegenüber dem BBK nicht erbracht werden.
- Dachgesetz
Bis 100.000 €
Bei Verstößen gegen die Registrierungspflicht, etwa wenn die Anlage nicht, verspätet oder mit unvollständigen Angaben registriert wird oder Änderungen nicht nachgemeldet werden.
- BSIG
bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Für Betreiber kritischer Anlagen als besonders wichtige Einrichtungen bei Verstößen gegen Risikomanagement, Angriffserkennung, Meldepflicht oder Nachweispflicht nach dem BSIG. Die Geschäftsleitung muss die Maßnahmen billigen und überwachen.
Vom Stichtag zur nachgewiesenen Resilienz
So sieht der Ablauf für einen Betreiber aus, der heute feststellt, dass seine Anlage den Schwellenwert erreicht.
-
Einstufung als kritische Anlage
Die Anlage erreicht den Schwellenwert der KRITIS-Verordnung. Die Einstufung wird schriftlich festgehalten, mit Kennzahlen und Datum. Ab jetzt läuft die Registrierungsfrist.
-
Registrierung und Start der Risikoanalyse
Registrierung über die gemeinsame Plattform von BBK und BSI, Kontaktstelle einrichten, Projektteam aus Anlagenverantwortlichen, Sicherheit, Personal, Einkauf und IT benennen. Risikoanalyse beginnt parallel.
-
Risikoanalyse abschließen, Resilienzplan beschließen
Gefahren bewertet, Maßnahmen abgeleitet und priorisiert, Verantwortliche und Budget festgelegt. Der Resilienzplan wird von der Geschäftsleitung beschlossen und mit dem Maßnahmenplan nach § 30 BSIG abgestimmt.
-
Maßnahmen umgesetzt, Nachweise geführt
Spätestens zehn Monate nach der Registrierung sind die Resilienzmaßnahmen umgesetzt: Notfallvorsorge, physische Sicherheit, Personal, Schulungen, Übung. Nachweise liegen so vor, dass sie dem BBK auf Verlangen vorgelegt werden können.
Wie ein Notfallmanagement in kurzer Zeit einsatzbereit wird, beschreibt der Beitrag Notfallmanagement: In 30 Tagen einsatzbereit auf jamorie.eu.
Vertiefung zu KRITIS
-
KRITIS-Übersicht
Dachgesetz und BSIG im Vergleich, unser Vorgehen für beide Gesetze und der Selbsttest für Betreiber kritischer Anlagen.
-
Betroffenheit und Schwellenwerte
Zehn Sektoren, die Leitlogik von rund 500.000 versorgten Personen, Anlagenkategorien per Verordnung und die Doppelrolle mit dem BSIG.
-
Resilienzplan
Aufbau eines Resilienzplans: Risikoanalyse, physische Sicherheit, Notfallvorsorge, Personal, Übungen und Nachweise, verzahnt mit BCM und § 30 BSIG.
Pflichten nach dem Dachgesetz kurz beantwortet
Ab wann läuft die Drei-Monats-Frist für die Registrierung?
Ab dem Zeitpunkt, an dem Ihre Anlage als kritische Anlage gilt, also den Schwellenwert der jeweiligen Anlagenkategorie erreicht. Die konkreten Schwellenwerte und damit der Fristbeginn ergeben sich aus der KRITIS-Verordnung. Wer heute schon absehen kann, dass eine Anlage den Wert erreicht, sollte die Einstufung schriftlich festhalten und die Registrierung vorbereiten, statt auf ein Schreiben der Behörde zu warten.
Wir sind bereits nach dem BSIG beim BSI registriert. Reicht das?
Nein. Das Dachgesetz und das BSIG sind zwei Gesetze mit zwei Behörden. Die gemeinsame Registrierungsplattform von BBK und BSI erspart Ihnen doppelte Eingaben, ersetzt aber nicht die Registrierung für die physische Resilienz. Prüfen Sie, welche Angaben zur Anlage, zum Betreiber und zur Kontaktstelle für das BBK ergänzt werden müssen.
Was ist der Unterschied zwischen Risikoanalyse und Resilienzplan?
Die Risikoanalyse ermittelt, welche Ereignisse den Betrieb der Anlage erheblich stören können und wie wahrscheinlich und folgenschwer sie sind. Der Resilienzplan leitet daraus die Maßnahmen ab, mit denen Sie diese Störungen verhindern, abwehren, ihre Folgen begrenzen und den Betrieb wieder aufnehmen. Ohne belastbare Risikoanalyse bleibt der Resilienzplan eine Sammlung allgemeiner Maßnahmen ohne Bezug zur Anlage.
Reichen unsere bestehenden Notfallpläne aus ISO 22301 oder dem Störfallrecht?
Sie sind eine gute Grundlage, decken die Anforderungen aber selten vollständig ab. Das Dachgesetz verlangt neben Notfallvorsorge ausdrücklich Maßnahmen zur physischen Sicherheit, zur Verfügbarkeit und Zuverlässigkeit des Personals sowie Schulungen, jeweils abgeleitet aus einer Risikoanalyse, die auch Sabotage, Ausfall von Zulieferern und abhängige Infrastrukturen einschließt. Wir prüfen vorhandene Pläne gegen den Pflichtenkatalog und ergänzen, was fehlt.
Wie hoch ist das Risiko eines Bußgelds tatsächlich?
Das Dachgesetz sieht Bußgelder bis 200.000 € vor, wenn Resilienzplan oder Nachweise fehlen, und bis 100.000 € bei Verstößen gegen die Registrierungspflicht. Auf der Cyber-Seite gelten für Betreiber kritischer Anlagen die Bußgeldrahmen des BSIG für besonders wichtige Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Gewichtiger als das Bußgeld ist in der Praxis meist die persönliche Verantwortung der Geschäftsleitung und die Frage, wie lange die Anlage nach einem realen Ereignis steht.
Marcel Rieger
Klären Sie Ihre Pflichten und Fristen in 30 Minuten
Im kostenlosen Erstgespräch gehen wir Einstufung, Registrierungsstand und den Stand von Risikoanalyse und Resilienzplan durch und benennen, was bis zur Zehn-Monats-Frist zu tun ist.
- Ihre Fristen für Registrierung und Umsetzung
- Was aus vorhandenen Plänen angerechnet werden kann
- Die drei dringendsten Maßnahmen für die physische Resilienz
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen