KRITIS-Dachgesetz 2026: Physische Resilienz für Betreiber kritischer Infrastruktur — was KMU wissen müssen

Von Joe Martin · 4. September 2026 · Regulierung

Das KRITIS-Dachgesetz ist seit dem 17. März 2026 in Kraft (BGBl. I Nr. 66/2026). Es setzt die EU-Richtlinie 2022/2557 (CER — Critical Entities Resilience Directive) in deutsches Recht um und schafft erstmals ein sektorübergreifendes gesetzliches Rahmenwerk für die physische Resilienz kritischer Infrastruktur in Deutschland.

Was das Gesetz regelt

Das KRITIS-Dachgesetz ist kein Cybersicherheitsgesetz — das bleibt Aufgabe von NIS-2. Es regelt die physische Absicherung kritischer Anlagen gegen alle Bedrohungsformen: Naturkatastrophen, technische Ausfälle, menschliches Versagen und vorsätzliche Sabotage. Zuständige Behörde ist das BBK (Bundesamt für Bevölkerungsschutz und Katastrophenhilfe), nicht das BSI.

Das Gesetz verpflichtet Betreiber zur Risikoanalyse, zur Erstellung von Resilienzplänen, zur Implementierung physischer Schutzmaßnahmen und zur 24-Stunden-Meldung erheblicher Sicherheitsvorfälle. Es ergänzt NIS-2, ersetzt es aber nicht.

Wer direkt betroffen ist

Das Gesetz gilt für Betreiber in zehn Sektoren: Energie (Strom, Gas, Wasserstoff, Erdöl), Wasserversorgung und Abwasser, Ernährung und Lebensmittel, IT und Telekommunikation, Gesundheit, Finanz- und Versicherungswesen, Transport und Verkehr, öffentliche Verwaltung, Medien und Kultur sowie Siedlungsabfallentsorgung.

Entscheidendes Kriterium ist die Versorgungsreichweite: Wer 500.000 oder mehr Personen versorgt, fällt unter das Gesetz. Die Betriebsgröße — Mitarbeiterzahl oder Umsatz — spielt keine Rolle. Bundesweit werden schätzungsweise 1.300 Betreiber direkt erfasst. Auch ein kleines Wasserwerk, eine Lokalklinik oder ein regionaler Lebensmittelverteiler kann direkt betroffen sein, wenn die Versorgungsschwelle erreicht wird.

Pflichten und Fristen

Betroffene Betreiber mussten sich bis zum 17. Juli 2026 beim BBK registrieren. Diese Frist ist bereits verstrichen — wer die Registrierung versäumt hat, sollte sie unverzüglich nachholen, um Bußgelder zu vermeiden.

Nach der Registrierung laufen gestaffelte Folgefristen:

• Risikoanalyse nach dem All-Hazards-Ansatz: innerhalb von 9 Monaten (ca. April 2027)
• Resilienzplan mit technischen und organisatorischen Maßnahmen: innerhalb von 10 Monaten
• Schutzkonzept-Dokumentation nach Stand der Technik: bis zum 17. Mai 2027
• Laufende Meldepflicht: erhebliche Sicherheitsvorfälle innerhalb von 24 Stunden an das BBK

Hinweis: Die KRITIS-Verordnung, die genaue Schwellenwerte für einzelne Sektoren konkretisiert, befand sich im September 2026 noch in der Konsultationsphase. Betreiber sollten die Veröffentlichung der finalen Verordnung verfolgen.

Bußgelder

Verstöße gegen das KRITIS-Dachgesetz werden mit empfindlichen Geldbußen geahndet. Die Spanne reicht von 100.000 € bei fehlender Registrierung oder verweigertem Zugang bei Prüfungen über 500.000 € bei fehlenden Audit-Ergebnissen bis zu 1.000.000 € bei Behinderung von BBK-Anordnungen.

KMU als Zulieferer: indirekte Betroffenheit

Die meisten kleinen und mittleren Unternehmen unterschreiten die 500.000-Personen-Schwelle und sind nicht direkt im Anwendungsbereich. Das bedeutet jedoch nicht, dass sie das Gesetz ignorieren können.

KRITIS-Betreiber sind gesetzlich verpflichtet, ihre Lieferketten abzusichern. Als Zulieferer, IT-Dienstleister oder Wartungsunternehmen eines Energieversorgers, Krankenhauses oder Lebensmittelproduzenten können KMU mit Sicherheitsfragebögen, Vertragsklauseln zu Schutzstandards und möglichen Vor-Ort-Prüfungen konfrontiert werden — unabhängig von ihrer eigenen Betriebsgröße. Wer als Dienstleister für KRITIS-Betreiber tätig ist, sollte eigene Sicherheitsnachweise und Dokumentationen vorbereiten.

KRITIS-Dachgesetz und NIS-2 im Parallelbetrieb

Beide Gesetze ergänzen sich und können gleichzeitig gelten. Wer in einem kritischen Sektor tätig ist, hat unter Umständen gegenüber zwei unterschiedlichen Behörden Pflichten zu erfüllen: dem BBK für physische Resilienz und dem BSI für Cybersicherheit nach NIS-2. Die Meldepflichten und Bußgeldregime sind vollständig getrennt.

Was jetzt zu tun ist

Betreiber, die die 500.000-Personen-Schwelle in einem der zehn Sektoren erreichen, sollten den Registrierungsstatus beim BBK prüfen und fehlende Schritte unverzüglich nachholen. Zulieferer und Dienstleister von KRITIS-Betreibern sollten sich auf eingehende Sicherheitsanfragen vorbereiten und eigene Schutzmaßnahmen dokumentieren.

Melde dich für die Macher-Session an: macher-mentor.de

← Zurück zum Blog